Percobaan atau penyusupan berhasil?
Multipart aneh atau peringatan WAF dapat berarti percobaan. OOM, SIGSEGV/SIGABRT dan lonjakan HTTP 500 juga punya sebab biasa. Anak proses PHP, koneksi, berkas dan akun tak terduga perlu diselidiki. Kebocoran memori tidak harus meninggalkan webshell/berkas; pemindaian bersih tidak menyingkirkan.
Hubungkan beberapa log
Simpan zona waktu dan selisih jam. Cocokkan ID/waktu proxy dengan galat PHP/FPM, PID, WAF dan kejadian proses/jaringan. Periksa PHPSESSID pada Set-Cookie RESPONS, bukan hanya cookie masuk. Nilai panjang atau berpersen adalah petunjuk; pola lokal tidak membuktikan PHP2Shell.
Tidak cocok bukan berarti tidak disusupi
Log sering tidak memuat badan, header respons dan sesi. Tanpa dekripsi sah sensor tidak melihat HTTP terenkripsi. Retensi, replika dan aktivitas memori memberi celah. Catat host/periode, minta log hosting dan eskalasi risiko. Pembaruan tidak menjelaskan masa lalu.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Sumber primer dan bacaan lanjutan
PHP security teamBaca sumber asli ↗CVE-2026-109618Baca sumber asli ↗CVE-2026-109619Baca sumber asli ↗php2shell.ukBaca sumber asli ↗Riset dan panduan praktis
Alat PHP2Shell
Periksa situs publik, konfigurasi dan log lokal, atau temukan alat terbuka. Setiap hasil menjelaskan bukti dan batasnya.
01PHP2Shell dengan bahasa sederhana
PHP adalah mesin WordPress, Laravel dan plugin. Memperbarui plugin tidak memperbarui PHP. Dua cacat memori dapat mengubah pembersihan permintaan abnormal menjadi kebocoran atau eksekusi kode. Pemeriksaan publik memberi petunjuk; admin harus membuktikan runtime Web dan patch sebenarnya.
02Percobaan atau penyusupan berhasil?
Multipart aneh atau peringatan WAF dapat berarti percobaan. OOM, SIGSEGV/SIGABRT dan lonjakan HTTP 500 juga punya sebab biasa. Anak proses PHP, koneksi, berkas dan akun tak terduga perlu diselidiki. Kebocoran memori tidak harus meninggalkan webshell/berkas; pemindaian bersih tidak menyingkirkan.
03Simpan bukti sebelum perubahan
Catat waktu temuan, domain, instans, runtime, gejala dan kondisi tepercaya terakhir. Ekspor log asli dengan zona waktu, audit cloud dan snapshot sah yang tersedia. Batasi salinan dan catat hash. Jangan kirim cookie, token atau data pelanggan ke pemindai publik. Jangan hapus log/berkas mencurigakan sebelum disimpan.
04Membaca Wiz dan Calif dengan tepat
Riset menjelaskan galat lintas permintaan. CVE-2026-109618 mendemonstrasikan mod_php RCE; kerentanan FPM berdasarkan kode, tanpa eksploit FPM lengkap untuk CVE itu. CVE-2026-109619 secara terpisah membuktikan jalur FPM upload-progress bergantung aplikasi. Baca tiap GHSA untuk bukti per SAPI.
05Cloudflare: respons juga penting
Cloudflare menggabungkan permintaan dan respons origin untuk memblokir respons mencurigakan sebelum kebocoran. Berguna tanpa shell. Riwayat peluncuran tidak menjamin akun Anda: periksa aturan, rute, pengecualian dan kejadian. Origin langsung dan host di luar proxy tetap perlu patch.