सार्वजनिक वेबसाइट जाँचें, स्थानीय कॉन्फ़िगरेशन और लॉग देखें या खुले उपकरण खोजें। हर परिणाम अपने प्रमाण और सीमाएँ बताता है।
01 / URL
अपनी वेबसाइट जाँचें
अपनी सार्वजनिक वेबसाइट डालें। हम एक पेज और अधिकतम दो रीडायरेक्ट में PHP हेडर और प्लेटफ़ॉर्म संकेत देखते हैं। शोषण का प्रयास नहीं करते।
PHP / ?
अपना PHP संस्करण नहीं जानते?
WordPress में टूल्स > साइट हेल्थ > जानकारी > सर्वर खोलें। पैनल में डिफ़ॉल्ट के बजाय सही डोमेन और PHP हैंडलर चुनें। SSH में php -v की तुलना वास्तविक FPM/Apache या कंटेनर से करें। साइट, CLI और प्रतिरूप अलग हो सकते हैं। phpinfo पेज सार्वजनिक न करें।
02 / LOG
संदिग्ध लॉग संकेत देखें
अंश चिपकाएँ या टेक्स्ट फ़ाइल चुनें। मेमोरी त्रुटि, प्रक्रिया क्रैश, HTTP त्रुटि और असामान्य PHPSESSID की गिनती और पंक्तियाँ दिखती हैं। मिलान सेंध का प्रमाण नहीं है; न मिलना भी उसे नकारता नहीं।
हमले की कोशिश या सफल सेंध? →03 / PHP INI
PHP सेटिंग देखें
php.ini या FPM पूल सेटिंग चिपकाएँ। केवल पाठ की समीक्षा होती है: विरासत, प्रति अनुरोध बदलाव और सक्रिय मान नहीं दिखते। यह पैच का विकल्प नहीं है।
मेमोरी और पुनर्चक्रण की सीमाएँ →GitHub प्रतिक्रिया उपकरण सूची
OpenAI PHP checker
Apache-2.0। स्थानीय या सार्वजनिक हेडर संस्करण सूची का Node.js सहायक, JSON सहित। अधिकृत संपत्ति पर उपयोग से पहले README पढ़ें। छिपे हेडर, backport और CLI/Web अंतर निष्कर्ष सीमित करते हैं। शोषण असंभव होने का प्रमाण नहीं।
openai/php2shell-checker ↗Corelight Zeek / Suricata
BSD-3-Clause। रक्षात्मक नियम; Zeek 7+ अनुरोध/सत्र जोड़ता और संस्करण अलग गिनता है। Zeek स्थापना Suricata नहीं लोड करती। सेटिंग, TLS दृश्यता और गलत चेतावनी जाँचें। notice_body_sample_bytes=0 संवेदनशील बॉडी नमूना रोकता है।
corelight/php2shell-detect ↗NCSC-NL जानकारी
EUPL-1.2। जिम्मेदारी और विक्रेता सुधार के लिए अपडेट की गई प्रतिक्रिया सूचना और सॉफ्टवेयर सूची। स्वचालित बेड़ा स्कैनर नहीं; सूची अधूरी हो सकती है। अपने पैकेज/तैनाती प्रमाण रखें।
NCSC-NL/php2shell ↗इमेज और SBOM के लिए Trivy
Apache-2.0। अंतर्निहित PHP और पुनर्निर्माण के लिए सामान्य इमेज/पैकेज सूची और स्कैन। डेटाबेस, पहचान और विक्रेता पर निर्भर। साफ रिपोर्ट दोनों PHP2Shell पैच नहीं साबित करती।
aquasecurity/trivy ↗Composer audit
MIT। Composer निर्भरता सूचनाएँ जाँचता है। PHP इंटरप्रेटर Composer लाइब्रेरी नहीं। साफ audit PHP अपडेट, होस्ट जाँच या सेंध का खंडन नहीं है।
composer/composer ↗Syhunt Apache उदाहरण
MIT। समुदाय के अनुरोध सीमा और multipart रोक उदाहरण। आंशिक दायरा अपलोड बिगाड़ सकता है; पहले परीक्षण करें। Apache php_value को CGI/FastCGI में ज्यों का त्यों न लगाएँ। केवल समीक्षित अस्थायी नियंत्रण।
syhunt/php2shell-protection ↗मुफ्त स्कैनर हैक साबित कर सकता है?
निश्चित रूप से नहीं। हेडर/पैटर्न पूर्ण रनटाइम, खोया इतिहास और मेमोरी रिसाव नहीं देखते। सूची, प्रमाण बचाना और जोड़ना शुरू करें। अज्ञात खाते, प्रक्रिया या रिसाव हो तो अलग करें और होस्टिंग/प्रतिक्रिया टीम जोड़ें।
होस्टिंग से प्रमाण माँगें
मेरे डोमेन के Web PHP में CVE-2026-109618 और CVE-2026-109619 दोनों के सुधार की पुष्टि करें। पूर्ण पैकेज/बिल्ड संशोधन, विक्रेता सूचना या changelog और सभी FPM/Apache वर्कर, प्रतिरूप तथा स्थायी प्रक्रियाओं के बदले या रीस्टार्ट होने का प्रमाण दें। क्या रखे हुए पहुँच, PHP और प्रक्रिया लॉग की जाँच कर सकते हैं?प्राथमिक स्रोत और अतिरिक्त पठन
PHP security teamमूल पढ़ें ↗CVE-2026-109618मूल पढ़ें ↗CVE-2026-109619मूल पढ़ें ↗शोध और व्यावहारिक मार्गदर्शिकाएँ
PHP2Shell उपकरण
सार्वजनिक वेबसाइट जाँचें, स्थानीय कॉन्फ़िगरेशन और लॉग देखें या खुले उपकरण खोजें। हर परिणाम अपने प्रमाण और सीमाएँ बताता है।
01PHP2Shell आसान भाषा में
PHP, WordPress, Laravel और प्लगइन चलाने वाला इंजन है। प्लगइन अपडेट करने से PHP अपडेट नहीं होता। दो मेमोरी दोष असामान्य अनुरोध सफाई को डेटा रिसाव या कोड निष्पादन में बदल सकते हैं। सार्वजनिक जाँच केवल संकेत देती है; असली Web रनटाइम और पैच व्यवस्थापक को सत्यापित करना होगा।
02हमले की कोशिश या सफल सेंध?
अजीब multipart या WAF चेतावनी कोशिश हो सकती है। OOM, SIGSEGV/SIGABRT और HTTP 500 बढ़ना सामान्य खराबी भी हो सकता है। अनपेक्षित PHP चाइल्ड प्रक्रिया, कनेक्शन, फ़ाइल या खाते की जाँच जरूरी है। मेमोरी रिसाव webshell या फ़ाइल छोड़े बिना हो सकता है; साफ फ़ाइल स्कैन उसे नकारता नहीं।
03बदलाव से पहले प्रमाण बचाएँ
खोज समय, डोमेन, इंस्टेंस, रनटाइम, लक्षण और अंतिम विश्वसनीय स्थिति लिखें। मूल लॉग समय क्षेत्र सहित, क्लाउड ऑडिट और उपलब्ध अधिकृत स्नैपशॉट रखें। प्रतियों की पहुँच सीमित करें और हैश लिखें। कुकी, टोकन और ग्राहक डेटा सार्वजनिक स्कैनर को न भेजें। बचाने से पहले लॉग/संदिग्ध फ़ाइल न हटाएँ।
04Wiz और Calif सही तरह पढ़ें
शोध अनुरोधों के पार रहने वाली त्रुटियाँ बताता है। CVE-2026-109618 में mod_php RCE सिद्ध है; FPM असर कोड विश्लेषण पर है, उस CVE का पूरा FPM exploit नहीं दिखा। CVE-2026-109619 अलग से ऐप निर्भर FPM upload-progress रास्ता पुष्ट करता है। हर SAPI के प्रमाण संबंधित GHSA में देखें।
05Cloudflare: प्रतिक्रिया भी जरूरी
Cloudflare अनुरोध और origin प्रतिक्रिया जोड़कर संदिग्ध प्रतिक्रिया को संभावित रिसाव से पहले रोकता है। Shell न हो तब भी उपयोगी है। पुरानी तैनाती आपके खाते की गारंटी नहीं: नियम, मार्ग, अपवाद और घटनाएँ देखें। सीधे origin और प्रॉक्सी बाहर के होस्ट को भी पैच चाहिए।