Angriffsversuch oder erfolgreicher Einbruch?
Auffällige Multipart-Anfragen oder WAF-Alarme können Versuche anzeigen. OOM, SIGSEGV/SIGABRT und HTTP-500-Spitzen haben auch harmlose Ursachen. Unerwartete PHP-Kindprozesse, Verbindungen, Dateiänderungen oder Konten dringend untersuchen. Speicherlecks müssen keine Webshell oder Datei hinterlassen; ein sauberer Dateiscan schließt sie nicht aus.
Mehrere Protokolle zeitlich verknüpfen
Originalzeitzonen und Uhrabweichungen erhalten. Proxy-Request-ID und Zeit mit PHP-/FPM-Fehlern, Worker-PID, WAF- sowie Prozess-/Netzwerkereignissen abgleichen. Auffällige PHPSESSID im Set-Cookie der ANTWORT prüfen, nicht nur Request-Cookies. Lange oder prozentkodierte Werte sind lediglich Prüfhinweise; lokale Textmuster beweisen kein PHP2Shell.
Keine Treffer schließen einen Einbruch nicht aus
Zugriffslogs enthalten oft keine Bodies, Antwortheader oder Sitzungswerte. Verschlüsseltes HTTP bleibt ohne erlaubte Entschlüsselung unsichtbar. Aufbewahrungslücken, übersehene Replikate und Speicheraktivität begrenzen die Prüfung. Geprüfte Systeme und Zeiten dokumentieren, Hosterlogs anfordern und offene Risiken eskalieren. Ein Update klärt vergangene Vorfälle nicht.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Primärquellen & weiterführende Informationen
PHP security teamOriginal lesen ↗CVE-2026-109618Original lesen ↗CVE-2026-109619Original lesen ↗php2shell.ukOriginal lesen ↗Forschung & Praxisanleitungen
PHP2Shell-Werkzeuge
Öffentliche Websites prüfen, lokale Konfigurationen und Logs untersuchen oder Open-Source-Werkzeuge finden. Jedes Ergebnis nennt Belege und Grenzen.
01PHP2Shell einfach erklärt
PHP ist die Laufzeit hinter WordPress, Laravel und Plugins. Ein Plugin-Update aktualisiert PHP nicht. Zwei Speicherfehler können bei fehlerhafter Request-Bereinigung Daten offenlegen oder Code ausführen. Eine öffentliche Prüfung liefert nur Hinweise; die tatsächliche Web-Laufzeit und den Patch muss der Administrator bestätigen.
02Angriffsversuch oder erfolgreicher Einbruch?
Auffällige Multipart-Anfragen oder WAF-Alarme können Versuche anzeigen. OOM, SIGSEGV/SIGABRT und HTTP-500-Spitzen haben auch harmlose Ursachen. Unerwartete PHP-Kindprozesse, Verbindungen, Dateiänderungen oder Konten dringend untersuchen. Speicherlecks müssen keine Webshell oder Datei hinterlassen; ein sauberer Dateiscan schließt sie nicht aus.
03Beweise vor Änderungen sichern
Entdeckungszeit, Domain, Instanz, Laufzeit, Symptome und letzten vertrauenswürdigen Zustand notieren. Originale Zugriffs-, Fehler-, WAF- und Prozesslogs samt Zeitzone sowie Cloud-Auditdaten und autorisierte Snapshots sichern. Kopien beschränken und hashen. Keine Tokens oder Kundendaten an öffentliche Scanner senden. Logs und verdächtige Dateien vor Sicherung nicht löschen.
04Wiz und Calif richtig einordnen
Die Forschung erklärt Fehler über Request-Grenzen hinweg. GHSA zu CVE-2026-109618 bestätigt mod_php-RCE; FPM-Anfälligkeit beruht auf Quellanalyse ohne vollständigen FPM-Exploit für diese CVE. CVE-2026-109619 bestätigt separat einen anwendungsabhängigen FPM-Upload-Progress-Pfad. Belege je SAPI anhand der jeweiligen offiziellen Advisory unterscheiden.
05Cloudflare: Auch die Antwort zählt
Cloudflare beschreibt Transaktionserkennung aus Anfrage und Origin-Antwort, die passende Antworten vor möglichem Datenabfluss blockiert. Das ist auch ohne Shell-Start relevant. Historische Rollout-Zeiten garantieren keinen Schutz Ihres Kontos. Regeln, Routing, Ausnahmen und Ereignisse prüfen. Direkte Origin-Zugänge und nicht proxied Hosts bleiben zu patchen.