محاولة هجوم أم اختراق ناجح؟
قد يشير multipart غريب أو تنبيه WAF إلى محاولة. قد تنتج OOM وSIGSEGV/SIGABRT وارتفاع HTTP 500 عن أعطال عادية أيضا. عمليات PHP الفرعية والاتصالات والملفات والحسابات غير المتوقعة تستدعي التحقيق. تسريب الذاكرة قد لا يترك webshell أو ملفا؛ الفحص النظيف لا ينفيه.
اربط عدة سجلات زمنيا
احتفظ بالمناطق الزمنية وفروق الساعة. طابق معرف ووقت الوكيل مع أخطاء PHP/FPM وPID وWAF وأحداث العمليات والشبكة. راجع PHPSESSID في Set-Cookie للاستجابة لا ملفات الطلب فقط. القيم الطويلة أو ترميز النسبة مؤشرات للمراجعة؛ الأنماط المحلية لا تثبت PHP2Shell.
غياب التطابق لا ينفي الاختراق
غالبا لا تحتوي سجلات الوصول على الأجسام وترويسات الاستجابة والجلسات. دون فك تشفير مصرح لا يرى المستشعر HTTP المشفر. الاحتفاظ والنسخ والنشاط في الذاكرة تترك فجوات. وثق الأجهزة والفترات واطلب سجلات الاستضافة وصعد المخاطر. التحديث لا يفسر الماضي.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256المصادر الأولية وقراءات إضافية
PHP security teamاقرأ الأصل ↗CVE-2026-109618اقرأ الأصل ↗CVE-2026-109619اقرأ الأصل ↗php2shell.ukاقرأ الأصل ↗أبحاث وأدلة عملية
أدوات PHP2Shell
افحص موقعا عاما أو راجع الإعدادات والسجلات محليا أو ابحث عن أدوات مفتوحة. توضح كل نتيجة الأدلة وحدودها.
01شرح PHP2Shell بلغة بسيطة
PHP هو المحرك خلف WordPress وLaravel والإضافات. تحديث إضافة لا يحدث PHP. قد يحول خللان في الذاكرة تنظيف الطلب غير الطبيعي إلى تسريب أو تنفيذ شيفرة. الفحص العام يعطي مؤشرات فقط؛ على المسؤول تأكيد بيئة Web الفعلية وتصحيحها.
02محاولة هجوم أم اختراق ناجح؟
قد يشير multipart غريب أو تنبيه WAF إلى محاولة. قد تنتج OOM وSIGSEGV/SIGABRT وارتفاع HTTP 500 عن أعطال عادية أيضا. عمليات PHP الفرعية والاتصالات والملفات والحسابات غير المتوقعة تستدعي التحقيق. تسريب الذاكرة قد لا يترك webshell أو ملفا؛ الفحص النظيف لا ينفيه.
03احفظ الأدلة قبل التغيير
سجل وقت الاكتشاف والنطاق والنسخة والبيئة والأعراض وآخر حالة موثوقة. صدر السجلات الأصلية مع التوقيت وتدقيق السحابة واللقطات المصرح بها المتاحة. قيد النسخ وسجل البصمات. لا ترسل cookies أو رموزا أو بيانات عملاء إلى ماسحات عامة. لا تمسح السجلات والملفات المشبوهة قبل حفظها.
04قراءة Wiz وCalif بدقة
تشرح الأبحاث أخطاء تتجاوز الطلب. يثبت CVE-2026-109618 تنفيذ mod_php؛ قابلية FPM مبنية على الشيفرة دون استغلال FPM كامل لهذا CVE. يؤكد CVE-2026-109619 مسارا منفصلا يعتمد على التطبيق لتقدم الرفع في FPM. اقرأ GHSA لكل SAPI لتحديد الأدلة.
05Cloudflare: الاستجابة مهمة أيضا
تجمع Cloudflare الطلب واستجابة الأصل لحجب استجابات مشبوهة قبل تسريب محتمل. يفيد ذلك دون shell. النشر التاريخي لا يضمن تغطية حسابك؛ تحقق من القواعد والمسار والاستثناءات والأحداث. الأصل المباشر والأجهزة خارج الوكيل تحتاج التصحيح أيضا.