हमले की कोशिश या सफल सेंध?
अजीब multipart या WAF चेतावनी कोशिश हो सकती है। OOM, SIGSEGV/SIGABRT और HTTP 500 बढ़ना सामान्य खराबी भी हो सकता है। अनपेक्षित PHP चाइल्ड प्रक्रिया, कनेक्शन, फ़ाइल या खाते की जाँच जरूरी है। मेमोरी रिसाव webshell या फ़ाइल छोड़े बिना हो सकता है; साफ फ़ाइल स्कैन उसे नकारता नहीं।
कई लॉग जोड़कर समयरेखा बनाएँ
मूल समय क्षेत्र और घड़ी का अंतर रखें। प्रॉक्सी ID/समय को PHP/FPM त्रुटि, PID, WAF और प्रक्रिया/नेटवर्क घटना से मिलाएँ। सिर्फ आने वाली कुकी नहीं, प्रतिक्रिया Set-Cookie में PHPSESSID देखें। लंबा या प्रतिशत एन्कोड मान संकेत है; स्थानीय पैटर्न PHP2Shell का प्रमाण नहीं।
मिलान न होना सेंध न होने का प्रमाण नहीं
लॉग में बॉडी, प्रतिक्रिया हेडर और सत्र अक्सर नहीं होते। अधिकृत डिक्रिप्शन के बिना सेंसर एन्क्रिप्टेड HTTP नहीं देखता। अवधि, छूटे प्रतिरूप और मेमोरी गतिविधि खाली जगह छोड़ते हैं। जाँचे होस्ट/समय लिखें, होस्टिंग लॉग माँगें और जोखिम विशेषज्ञ को दें। अपडेट बीती घटना नहीं बताता।
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256प्राथमिक स्रोत और अतिरिक्त पठन
PHP security teamमूल पढ़ें ↗CVE-2026-109618मूल पढ़ें ↗CVE-2026-109619मूल पढ़ें ↗php2shell.ukमूल पढ़ें ↗शोध और व्यावहारिक मार्गदर्शिकाएँ
PHP2Shell उपकरण
सार्वजनिक वेबसाइट जाँचें, स्थानीय कॉन्फ़िगरेशन और लॉग देखें या खुले उपकरण खोजें। हर परिणाम अपने प्रमाण और सीमाएँ बताता है।
01PHP2Shell आसान भाषा में
PHP, WordPress, Laravel और प्लगइन चलाने वाला इंजन है। प्लगइन अपडेट करने से PHP अपडेट नहीं होता। दो मेमोरी दोष असामान्य अनुरोध सफाई को डेटा रिसाव या कोड निष्पादन में बदल सकते हैं। सार्वजनिक जाँच केवल संकेत देती है; असली Web रनटाइम और पैच व्यवस्थापक को सत्यापित करना होगा।
02हमले की कोशिश या सफल सेंध?
अजीब multipart या WAF चेतावनी कोशिश हो सकती है। OOM, SIGSEGV/SIGABRT और HTTP 500 बढ़ना सामान्य खराबी भी हो सकता है। अनपेक्षित PHP चाइल्ड प्रक्रिया, कनेक्शन, फ़ाइल या खाते की जाँच जरूरी है। मेमोरी रिसाव webshell या फ़ाइल छोड़े बिना हो सकता है; साफ फ़ाइल स्कैन उसे नकारता नहीं।
03बदलाव से पहले प्रमाण बचाएँ
खोज समय, डोमेन, इंस्टेंस, रनटाइम, लक्षण और अंतिम विश्वसनीय स्थिति लिखें। मूल लॉग समय क्षेत्र सहित, क्लाउड ऑडिट और उपलब्ध अधिकृत स्नैपशॉट रखें। प्रतियों की पहुँच सीमित करें और हैश लिखें। कुकी, टोकन और ग्राहक डेटा सार्वजनिक स्कैनर को न भेजें। बचाने से पहले लॉग/संदिग्ध फ़ाइल न हटाएँ।
04Wiz और Calif सही तरह पढ़ें
शोध अनुरोधों के पार रहने वाली त्रुटियाँ बताता है। CVE-2026-109618 में mod_php RCE सिद्ध है; FPM असर कोड विश्लेषण पर है, उस CVE का पूरा FPM exploit नहीं दिखा। CVE-2026-109619 अलग से ऐप निर्भर FPM upload-progress रास्ता पुष्ट करता है। हर SAPI के प्रमाण संबंधित GHSA में देखें।
05Cloudflare: प्रतिक्रिया भी जरूरी
Cloudflare अनुरोध और origin प्रतिक्रिया जोड़कर संदिग्ध प्रतिक्रिया को संभावित रिसाव से पहले रोकता है। Shell न हो तब भी उपयोगी है। पुरानी तैनाती आपके खाते की गारंटी नहीं: नियम, मार्ग, अपवाद और घटनाएँ देखें। सीधे origin और प्रॉक्सी बाहर के होस्ट को भी पैच चाहिए।