Juniorlef11

IT System administrator, Security enthusiast and CTF player.

[Marcus Hutchins @MalwareTechBlog]

I'll be the first to admit I'm mediocre at exploit development, but I am in contact with enough extremely talented exploit developers to say this for certain:

Anyone claiming they were "easily" able to generate a working php2shell exploit with AI is either:

a) a world-class exploit developer with an extreme case of imposter syndrome.

b) currently looking at some very confident-sounding but wrong LLM output.

I'm rather certain it's the latter based on the number of AI-hallucinated exploits I've seen posted on GitHub. Threat actors are also blasting my honeypot network with "php2shell" exploits that not only don't work, but aren't even within 10,000 miles of anything to do with how the exploit actually works.

I've seen the same technique from the attached image in multiple alleged "php2shell exploits", including one on GitHub with over 100 stars. Problem is, it's not php2shell, nor is it even a vulnerability at all. It's a technique known as "session poisoning", which can be leveraged to exploit local file inclusion (LFI) vulnerabilities in PHP apps (not PHP itself).

The only thing it has in common with CVE-2026-109618/CVE-2026-109619 is they both use the "PHP_SESSION_UPLOAD_PROGRESS" feature. And mitigation advice for both issues reference setting "session.upload_progress.enabled" to "Off".

People are shoving loose details of the vulnerability into LLMs, the LLMs are keying in on the "PHP_SESSION_UPLOAD_PROGRESS" string, then generating session poisoning code that has nothing to do with the actual CVE. And because the people doing this have absolutely no idea what they're doing, they're confident enough to post their "proof of concept exploit" to GitHub and share it on social media.

So if you see people talking about "session poisoning + LFI" it's likely their LLM hallucinated an exploit based on a 2018 blog by Orange Tsai talking about a local file inclusion attack vector.

What's even worse is that "security researchers" are then using LLMs to triage these exploitation attempts, falling victim to the same hallucinations, then confirming there is ongoing mass-exploitation (there currently isn't).

The actual real exploit is very difficult to exploit, and so far I've not seen anyone successfully get it working on more than a handful of PHP version with highly-specific configurations.

LLMs are useful tools in the hands of skilled professionals, but for others, they're often just a Dunning-Kruger accelerator.

[Juniorlef11 @juniorlef11]

@Makis_sketo @BMarankoudake Στην Κίνα τα μπλοκάρουν τα vpn!

[Juniorlef11 @juniorlef11]

@Mitsos_NBA_EL Περπάτησε ξυπόλητος, χρειάζεται να γειωθεις λίγο!

[Themis Kessaris @Kessaris_]

Το 2020 κανένα τηλεοπτικό κανάλι δεν έδειξε ζωντανά την ανακοίνωση των αποφάσεων για τη Χρυσή Αυγή.

Δεν έχουν ούτε ένα βίντεο με ο,τι συνέβη, ως ιστορικό ντοκουμέντο.

Σήμερα είδα ζωντανά τον Κασιδιάρη να βγαίνει από τη φυλακή και να κάνει δηλώσεις, όχι σε παράθυρο, αλλά full screen.

Θα έτυχε.

[Juniorlef11 @juniorlef11]

@U_dioica Σε σάλτσα ντομάτα εμένα με τρελαίνει πάντως!

[Juniorlef11 @juniorlef11]

@U_dioica Πήγαινε για camping το έχεις ανάγκη θαρρώ!

[Juniorlef11 @juniorlef11]

@U_dioica Το καλύτερο για εμενα είναι με τα terminals για να μπορείς να τα βγάζεις εύκολα! Μπορείς να πάρεις terminal έτοιμο να κουμπώνει το esp από πάνω και να το βάλεις και σε ένα κουτάκι να βιδωθει

[Juniorlef11 @juniorlef11]

@nikolas_nsp @U_dioica Το καταλαβαίνω! Και είναι λογικό αλλά είναι φτιαγμένοι για να δουλεύουν χρόνια και είναι πολύ πιο γρήγοροι από τους επεξεργαστές που έχουν κάτι ελέγκτες τριοδης των 300-400€. Αυτό που χαλάει πρώτα σε όλα αυτά και πρέπει να το μελετήσεις σωστά ειναι τα ρεύματα και το τροφοδοτικό

[Juniorlef11 @juniorlef11]

@nikolas_nsp @U_dioica Από τα τεστ!

[Juniorlef11 @juniorlef11]

@nikolas_nsp @U_dioica Η αλήθεια είναι ότι και εγώ με 2 esp32 τρέχω όλη την θέρμανση-ψυξη στο σπίτι! Και έχω και μια Cheap yellow display σαν χειριστήριο για όλα και πληροφορίες! Είναι υπερπαλαβο το esp!

[Juniorlef11 @juniorlef11]

@nikolas_nsp @U_dioica Καίει η αντλία. Και έχει πρόγνωση καιρού για 4 μέρες στην οθόνη και καρτέλα για την ενέργεια που έχει κάψει /μέρα /μήνα /total. Σχεδίασα και κουτάκια να τα βάλω μέσα, τα εκτύπωσα στο 3d printer και τα έστησα! Σε 3 εβδομάδες όλα. Από μηδέν.

[Juniorlef11 @juniorlef11]

@nikolas_nsp @U_dioica Τον κυκλοφορητή που στέλνει το νερό στο σπίτι στη ενδοδαπεδια και στα fancoil, στέλνω ειδοποιήσεις μέσω telegram για τα πάντα. Και μπορώ να τα ελέγξω από παντού επίσης. Όμως το σύστημα δουλεύει αυτόνομα χώρις να χρειάζεται internet, επίσης υπολογίζει το κόστος και τα watt που

[Juniorlef11 @juniorlef11]

@nikolas_nsp @U_dioica Ρυθμίζει τριοδη Βάνα με αντιστάθμιση με βάση την εξωτερική θερμοκρασία-θερμοκρασια σπιτιου-υγρασια σπιτιου, ελέγχει τα δοχεία αδράνειας ζεστό και κρύο, ελέγχει την αντλία θερμότητας για να την βάζει μπροστά όταν χρειάζεται ζεστό νερό ή κρύο νερό τώρα τον χειμώνα, ελέγχω τον

[Juniorlef11 @juniorlef11]

@U_dioica Φτιάξε ένα συστηματακι να ψεκάζει νερό για την απόλυτη εμπειρία!

[Juniorlef11 @juniorlef11]

@SebOgier @TGR_WRC @OfficialWRC @AcropolisRally @redbullmotors Good luck Seb! ❤️

[Juniorlef11 @juniorlef11]

@U_dioica Ή αυτό ή δόντια!

[Juniorlef11 @juniorlef11]

Ρε μαλακες εκεί στην #ΕΡΤ. Ακόμα και στο Ertflix έχετε βάλει διαφήμιση στοιχηματικής εταιρείας χωρίς καν να μπορούμε να κάνουμε skip? Σιχαματα παντού.

[nikolas kosmatopoulos 🇵🇸 @NikolaCosmi]

Η υπόθεση «Ζουκοφ» μας δειχνει ότι η τοξικότητα, κυνισμός, ρατσισμός στα σοσιαλ είναι αποτέλεσμα οργανωμένων δομών κ σκοτεινών κέντρων, όχι εγγενές χαρακτηριστικό της κοινωνίας. Σκοπός του ιδεολογικού πολέμου είναι να πιστέψουμε ότι η κοινωνία είναι σάπια σαν κι αυτόν. Δεν είναι!

[Juniorlef11 @juniorlef11]

@NikolaCosmi Οι Ιρανοί έχουν βομβαρδισει ένα πολύ ακριβό αμερικανικό ραντάρ και φαίνεται ο Κίμων να είναι αντικαταστάτης εφόσον στην περιοχή ειναι το μόνο που διαθέτει τόσο ισχυρά ραντάρ. Αυτό το είχα ακούσει από αναλυτή όταν κατέβηκε Κύπρο ο Κίμων!

[Juniorlef11 @juniorlef11]

@Lux_is_Back To @BDSGreece τους ζήτησε να μποϊκοτάρουν και αυτοί σαν παρουσιαστές αλλά ούτε που τους απάντησαν. Αλλά,ναι μην τον ρωτάτε τέτοια πράγματα, έχει βάλει πλυντήριο μέσα. Ρωτήστε για αυτό. Εν τω μεταξύ, λυπάμαι γιατί νιώθω λίγο μια απογοήτευση.