Vérifiez un site public, examinez des paramètres et journaux locaux ou trouvez des outils ouverts. Chaque résultat expose ses preuves et limites.
01 / URL
Vérifier votre site
Saisissez votre propre site public. Nous examinons une page et au plus deux redirections pour repérer des en-têtes PHP et indices de plateforme, sans exploitation.
PHP / ?
Vous ne connaissez pas votre version PHP ?
WordPress : Outils > Santé du site > Informations > Serveur. Dans le panneau, choisissez le domaine et son gestionnaire PHP, pas la valeur par défaut. En SSH, comparez php -v au service FPM/Apache ou conteneur concerné. Sites, tâches CLI et réplicas peuvent différer. Ne publiez pas de page phpinfo.
02 / LOG
Examiner des signaux dans les journaux
Collez un extrait ou sélectionnez un fichier texte. Nous relevons les erreurs mémoire, plantages, erreurs HTTP et PHPSESSID inhabituels par nombre et ligne. Un signal ne prouve pas l’intrusion ; son absence ne l’exclut pas.
Tentative ou intrusion réussie ? →03 / PHP INI
Examiner la configuration PHP
Collez les paramètres php.ini ou du pool FPM. Cette analyse de texte ignore héritage et surcharges par requête, et ne prouve pas leur application. Ces mesures ne remplacent jamais le correctif.
Limites de la mémoire et du recyclage →Répertoire d’outils GitHub
Vérificateur PHP OpenAI
Apache-2.0. Outil Node.js d’inventaire local ou via en-têtes publics, avec JSON. Lisez le README avant usage autorisé. En-têtes cachés, rétroportages et écarts CLI/Web limitent les conclusions. Aucun certificat de non-exploitabilité.
openai/php2shell-checker ↗Règles Corelight Zeek / Suricata
BSD-3-Clause. Règles réseau défensives ; Zeek 7+ corrèle requêtes/sessions et inventorie séparément les versions. Son installation ne charge pas Suricata. Validez configuration, visibilité TLS et faux positifs. notice_body_sample_bytes=0 évite les échantillons sensibles.
corelight/php2shell-detect ↗Informations NCSC-NL
EUPL-1.2. Informations d’intervention et liste de logiciels suivies, utiles pour responsables et correctifs fournisseurs. Ce n’est pas un scanner de parc et la liste peut être incomplète. Conservez vos propres preuves de paquets et déploiement.
NCSC-NL/php2shell ↗Trivy pour images et SBOM
Apache-2.0. Inventaire et analyse générale de paquets/images pour PHP embarqué et images reconstruites. La couverture dépend de la base, de l’identification et des données fournisseur. Un rapport vide ne prouve pas les deux correctifs PHP2Shell.
aquasecurity/trivy ↗Composer audit
MIT. Vérifie les avis des dépendances applicatives gérées par Composer. L’interpréteur PHP n’est pas une bibliothèque Composer. Un audit propre ne met pas PHP à jour, n’examine pas l’hôte et n’exclut pas l’incident.
composer/composer ↗Exemples Apache Syhunt
MIT. Exemples communautaires de limites et blocage multipart. Couverture partielle, risque pour les téléversements, tests indispensables. php_value Apache ne s’applique pas tel quel à CGI/FastCGI. Mesures transitoires revues, jamais protection complète.
syhunt/php2shell-protection ↗Un scanner gratuit prouve-t-il un piratage ?
Pas définitivement. En-têtes et motifs locaux donnent des pistes sans connaître runtime complet, historique manquant ou fuites mémoire. Inventoriez, préservez et corrélez. Si des comptes, processus ou divulgations sont inexpliqués, isolez et faites intervenir l’hébergeur ou l’équipe de réponse.
Demander des preuves à l’hébergeur
Merci de confirmer les correctifs de CVE-2026-109618 ET CVE-2026-109619 pour le runtime Web de mon domaine. Fournissez la révision complète, l’avis fournisseur ou le changelog, et la confirmation du remplacement ou redémarrage de tous les workers FPM/Apache, réplicas et processus persistants. Pouvez-vous examiner les journaux d’accès, PHP et processus conservés ?Sources primaires et lectures complémentaires
PHP security teamLire l’original ↗CVE-2026-109618Lire l’original ↗CVE-2026-109619Lire l’original ↗Analyses et guides pratiques
Outils PHP2Shell
Vérifiez un site public, examinez des paramètres et journaux locaux ou trouvez des outils ouverts. Chaque résultat expose ses preuves et limites.
01Comprendre PHP2Shell simplement
PHP est le moteur de WordPress, Laravel et des plugins. Mettre à jour un plugin ne met pas PHP à jour. Deux failles mémoire peuvent transformer un nettoyage anormal de requête en divulgation ou exécution de code. Le contrôle public fournit des indices ; l’hébergeur doit confirmer le runtime Web et son correctif.
02Tentative ou intrusion réussie ?
Une requête multipart étrange ou une alerte WAF peut signaler une tentative. OOM, SIGSEGV/SIGABRT et pics HTTP 500 ont aussi des causes ordinaires. Processus enfants PHP, connexions, fichiers ou comptes inattendus exigent enquête. Une fuite mémoire peut ne laisser ni webshell ni fichier ; un scan propre ne l’exclut pas.
03Préserver avant de modifier
Notez heure de découverte, domaine, instance, runtime, symptômes et dernier état fiable. Exportez journaux originaux et fuseaux, audits cloud et instantanés autorisés disponibles. Restreignez les copies et calculez leurs empreintes. N’envoyez pas de cookies, jetons ou données clients aux scanners publics. Ne videz pas les journaux et ne supprimez pas les fichiers suspects avant préservation.
04Lire Wiz et Calif avec précision
Les recherches décrivent des erreurs survivant aux requêtes. L’avis CVE-2026-109618 démontre une RCE mod_php ; l’exposition FPM repose sur le code, sans exploit FPM complet pour ce CVE. CVE-2026-109619 confirme séparément un chemin FPM lié à l’application et au suivi des téléversements. Vérifiez les preuves de chaque SAPI dans son GHSA.
05Cloudflare : examiner aussi la réponse
Cloudflare décrit une détection combinant requête et réponse d’origine, pouvant bloquer une réponse suspecte avant divulgation. Utile même sans lancement de shell. Le calendrier historique ne garantit pas votre couverture : vérifiez règles, routage, exclusions et événements. Les accès directs à l’origine et hôtes hors proxy doivent aussi être corrigés.