PHP2Shell dengan bahasa sederhana
PHP adalah mesin WordPress, Laravel dan plugin. Memperbarui plugin tidak memperbarui PHP. Dua cacat memori dapat mengubah pembersihan permintaan abnormal menjadi kebocoran atau eksekusi kode. Pemeriksaan publik memberi petunjuk; admin harus membuktikan runtime Web dan patch sebenarnya.
Temukan PHP situs Anda
WordPress: Peralatan > Kesehatan Situs > Informasi > Server. Di panel pilih domain dan handler PHP, bukan nilai bawaan. Dengan SSH bandingkan php -v dengan FPM/Apache atau kontainer sebenarnya. Situs, CLI dan replika dapat berbeda. Jangan publikasikan phpinfo.
Periksa versi saya →Minta bukti dari hosting
Mohon konfirmasi perbaikan KEDUA CVE-2026-109618 dan CVE-2026-109619 pada runtime Web domain saya. Berikan revisi paket lengkap, buletin/changelog, serta konfirmasi penggantian atau restart seluruh worker FPM/Apache, replika dan proses menetap. Dapatkah log akses, PHP dan proses yang tersimpan ditinjau?Sumber primer dan bacaan lanjutan
PHP security teamBaca sumber asli ↗CVE-2026-109618Baca sumber asli ↗CVE-2026-109619Baca sumber asli ↗php2shell.ukBaca sumber asli ↗Riset dan panduan praktis
Alat PHP2Shell
Periksa situs publik, konfigurasi dan log lokal, atau temukan alat terbuka. Setiap hasil menjelaskan bukti dan batasnya.
01PHP2Shell dengan bahasa sederhana
PHP adalah mesin WordPress, Laravel dan plugin. Memperbarui plugin tidak memperbarui PHP. Dua cacat memori dapat mengubah pembersihan permintaan abnormal menjadi kebocoran atau eksekusi kode. Pemeriksaan publik memberi petunjuk; admin harus membuktikan runtime Web dan patch sebenarnya.
02Percobaan atau penyusupan berhasil?
Multipart aneh atau peringatan WAF dapat berarti percobaan. OOM, SIGSEGV/SIGABRT dan lonjakan HTTP 500 juga punya sebab biasa. Anak proses PHP, koneksi, berkas dan akun tak terduga perlu diselidiki. Kebocoran memori tidak harus meninggalkan webshell/berkas; pemindaian bersih tidak menyingkirkan.
03Simpan bukti sebelum perubahan
Catat waktu temuan, domain, instans, runtime, gejala dan kondisi tepercaya terakhir. Ekspor log asli dengan zona waktu, audit cloud dan snapshot sah yang tersedia. Batasi salinan dan catat hash. Jangan kirim cookie, token atau data pelanggan ke pemindai publik. Jangan hapus log/berkas mencurigakan sebelum disimpan.
04Membaca Wiz dan Calif dengan tepat
Riset menjelaskan galat lintas permintaan. CVE-2026-109618 mendemonstrasikan mod_php RCE; kerentanan FPM berdasarkan kode, tanpa eksploit FPM lengkap untuk CVE itu. CVE-2026-109619 secara terpisah membuktikan jalur FPM upload-progress bergantung aplikasi. Baca tiap GHSA untuk bukti per SAPI.
05Cloudflare: respons juga penting
Cloudflare menggabungkan permintaan dan respons origin untuk memblokir respons mencurigakan sebelum kebocoran. Berguna tanpa shell. Riwayat peluncuran tidak menjamin akun Anda: periksa aturan, rute, pengecualian dan kejadian. Origin langsung dan host di luar proxy tetap perlu patch.