Simpan bukti sebelum perubahan
Catat waktu temuan, domain, instans, runtime, gejala dan kondisi tepercaya terakhir. Ekspor log asli dengan zona waktu, audit cloud dan snapshot sah yang tersedia. Batasi salinan dan catat hash. Jangan kirim cookie, token atau data pelanggan ke pemindai publik. Jangan hapus log/berkas mencurigakan sebelum disimpan.
Batasi dugaan penyusupan
Jika penyalahgunaan aktif, batasi akses atau keluarkan instans dari penyeimbang beban sembari menjaga bukti. Libatkan hosting/tim insiden. Inventarisasi semua PHP, perbaiki kedua CVE, ganti worker dan periksa tetangga. WAF/langkah sementara tidak menghapus akses, kredensial curian atau persistensi. Jangan tunda pembatasan.
Pulihkan kondisi tepercaya
Jika terbukti, bangun ulang dari image tepercaya dan data terverifikasi, bukan sekadar hapus webshell. Hapus akun/persistensi, ganti rahasia dari perangkat bersih dan batalkan sesi setelah isolasi. Verifikasi runtime Web, replika dan fungsi. Pantau koneksi/autentikasi dan dokumentasikan cakupan serta kewajiban pemberitahuan bersama tim.
Sumber primer dan bacaan lanjutan
PHP security teamBaca sumber asli ↗CVE-2026-109618Baca sumber asli ↗CVE-2026-109619Baca sumber asli ↗Riset dan panduan praktis
Alat PHP2Shell
Periksa situs publik, konfigurasi dan log lokal, atau temukan alat terbuka. Setiap hasil menjelaskan bukti dan batasnya.
01PHP2Shell dengan bahasa sederhana
PHP adalah mesin WordPress, Laravel dan plugin. Memperbarui plugin tidak memperbarui PHP. Dua cacat memori dapat mengubah pembersihan permintaan abnormal menjadi kebocoran atau eksekusi kode. Pemeriksaan publik memberi petunjuk; admin harus membuktikan runtime Web dan patch sebenarnya.
02Percobaan atau penyusupan berhasil?
Multipart aneh atau peringatan WAF dapat berarti percobaan. OOM, SIGSEGV/SIGABRT dan lonjakan HTTP 500 juga punya sebab biasa. Anak proses PHP, koneksi, berkas dan akun tak terduga perlu diselidiki. Kebocoran memori tidak harus meninggalkan webshell/berkas; pemindaian bersih tidak menyingkirkan.
03Simpan bukti sebelum perubahan
Catat waktu temuan, domain, instans, runtime, gejala dan kondisi tepercaya terakhir. Ekspor log asli dengan zona waktu, audit cloud dan snapshot sah yang tersedia. Batasi salinan dan catat hash. Jangan kirim cookie, token atau data pelanggan ke pemindai publik. Jangan hapus log/berkas mencurigakan sebelum disimpan.
04Membaca Wiz dan Calif dengan tepat
Riset menjelaskan galat lintas permintaan. CVE-2026-109618 mendemonstrasikan mod_php RCE; kerentanan FPM berdasarkan kode, tanpa eksploit FPM lengkap untuk CVE itu. CVE-2026-109619 secara terpisah membuktikan jalur FPM upload-progress bergantung aplikasi. Baca tiap GHSA untuk bukti per SAPI.
05Cloudflare: respons juga penting
Cloudflare menggabungkan permintaan dan respons origin untuk memblokir respons mencurigakan sebelum kebocoran. Berguna tanpa shell. Riwayat peluncuran tidak menjamin akun Anda: periksa aturan, rute, pengecualian dan kejadian. Origin langsung dan host di luar proxy tetap perlu patch.