Periksa situs publik, konfigurasi dan log lokal, atau temukan alat terbuka. Setiap hasil menjelaskan bukti dan batasnya.

01 / URL

Periksa situs Anda

Masukkan situs publik milik Anda. Kami membaca satu halaman dan maksimal dua pengalihan untuk mencari header PHP dan petunjuk platform, tanpa mencoba eksploitasi.

Pemeriksaan daring opsional mengirim alamat ke Cloudflare untuk DNS dan GET biasa. Kueri dan fragmen dihapus. Versi, konfigurasi dan log tetap di peramban.

PHP / ?

Tidak tahu versi PHP Anda?

WordPress: Peralatan > Kesehatan Situs > Informasi > Server. Di panel pilih domain dan handler PHP, bukan nilai bawaan. Dengan SSH bandingkan php -v dengan FPM/Apache atau kontainer sebenarnya. Situs, CLI dan replika dapat berbeda. Jangan publikasikan phpinfo.

WordPress dan hosting terkelola →BaoTa dan 1Panel →1. Temukan runtime Web sebenarnya →Pesan untuk penyedia hosting →

02 / LOG

Tinjau sinyal log mencurigakan

Tempel cuplikan atau pilih berkas teks. Kami menampilkan jumlah dan baris kesalahan memori, crash, galat HTTP dan PHPSESSID tak biasa. Kecocokan tidak membuktikan penyusupan; ketiadaannya tidak menyingkirkan.

Batas lokal: konfigurasi 100 KB / 2.000 baris; log 2 MB / 20.000 baris. Tidak ada unggahan. Hasil hanya pengaturan dikenal atau jumlah/baris, bukan log asli atau cookie. Bersihkan sesudahnya.

Percobaan atau penyusupan berhasil? →

03 / PHP INI

Tinjau konfigurasi PHP

Tempel pengaturan php.ini atau pool FPM. Hanya teks dianalisis: pewarisan, perubahan per permintaan dan nilai aktif tidak diketahui. Ini tidak menggantikan patch.

Batas lokal: konfigurasi 100 KB / 2.000 baris; log 2 MB / 20.000 baris. Tidak ada unggahan. Hasil hanya pengaturan dikenal atau jumlah/baris, bukan log asli atau cookie. Bersihkan sesudahnya.

Batas memori dan daur ulang →

Direktori alat GitHub

Apache-2.0

Pemeriksa PHP OpenAI

Apache-2.0. Bantuan Node.js inventaris lokal atau header publik dengan JSON. Baca README sebelum penggunaan sah. Header tersembunyi, backport dan perbedaan CLI/Web membatasi kesimpulan. Bukan sertifikat tak dapat dieksploitasi.

openai/php2shell-checker ↗
BSD-3-Clause

Corelight Zeek / Suricata

BSD-3-Clause. Aturan defensif; Zeek 7+ mengorelasikan permintaan/sesi dan versi terpisah. Instalasi Zeek tidak memuat Suricata. Validasi konfigurasi, visibilitas TLS dan positif palsu. notice_body_sample_bytes=0 menghindari sampel sensitif.

corelight/php2shell-detect ↗
EUPL-1.2

Informasi NCSC-NL

EUPL-1.2. Informasi respons dan daftar perangkat lunak terpelihara untuk penanggung jawab serta patch vendor. Bukan pemindai armada; daftar dapat tidak lengkap. Simpan bukti paket/penerapan sendiri.

NCSC-NL/php2shell ↗
Apache-2.0

Trivy untuk image dan SBOM

Apache-2.0. Inventaris dan pemindaian umum image/paket untuk PHP tertanam dan pembangunan ulang. Bergantung basis data, identifikasi dan vendor. Laporan bersih tidak membuktikan kedua patch PHP2Shell.

aquasecurity/trivy ↗
MIT

Composer audit

MIT. Memeriksa buletin dependensi Composer. Interpreter PHP bukan pustaka Composer. Audit bersih tidak memperbarui PHP, memeriksa host atau menyingkirkan penyusupan.

composer/composer ↗
MIT

Contoh Apache Syhunt

MIT. Batas permintaan dan blokir multipart komunitas. Cakupan parsial dapat merusak unggahan; uji dulu. php_value Apache tidak berlaku langsung ke CGI/FastCGI. Hanya kontrol sementara yang ditinjau.

syhunt/php2shell-protection ↗

Pemindai gratis membuktikan peretasan?

Tidak secara pasti. Header/pola memberi petunjuk tanpa runtime lengkap, riwayat hilang atau kebocoran memori. Inventarisasi, simpan dan hubungkan. Jika akun, proses atau kebocoran tak terjelaskan, isolasi lalu libatkan hosting atau tim insiden.

Minta bukti dari hosting

Pesan untuk penyedia hosting
Mohon konfirmasi perbaikan KEDUA CVE-2026-109618 dan CVE-2026-109619 pada runtime Web domain saya. Berikan revisi paket lengkap, buletin/changelog, serta konfirmasi penggantian atau restart seluruh worker FPM/Apache, replika dan proses menetap. Dapatkah log akses, PHP dan proses yang tersimpan ditinjau?

Sumber primer dan bacaan lanjutan

PHP security teamBaca sumber asli ↗CVE-2026-109618Baca sumber asli ↗CVE-2026-109619Baca sumber asli ↗

Riset dan panduan praktis

>_

Alat PHP2Shell

Periksa situs publik, konfigurasi dan log lokal, atau temukan alat terbuka. Setiap hasil menjelaskan bukti dan batasnya.

01

PHP2Shell dengan bahasa sederhana

PHP adalah mesin WordPress, Laravel dan plugin. Memperbarui plugin tidak memperbarui PHP. Dua cacat memori dapat mengubah pembersihan permintaan abnormal menjadi kebocoran atau eksekusi kode. Pemeriksaan publik memberi petunjuk; admin harus membuktikan runtime Web dan patch sebenarnya.

02

Percobaan atau penyusupan berhasil?

Multipart aneh atau peringatan WAF dapat berarti percobaan. OOM, SIGSEGV/SIGABRT dan lonjakan HTTP 500 juga punya sebab biasa. Anak proses PHP, koneksi, berkas dan akun tak terduga perlu diselidiki. Kebocoran memori tidak harus meninggalkan webshell/berkas; pemindaian bersih tidak menyingkirkan.

03

Simpan bukti sebelum perubahan

Catat waktu temuan, domain, instans, runtime, gejala dan kondisi tepercaya terakhir. Ekspor log asli dengan zona waktu, audit cloud dan snapshot sah yang tersedia. Batasi salinan dan catat hash. Jangan kirim cookie, token atau data pelanggan ke pemindai publik. Jangan hapus log/berkas mencurigakan sebelum disimpan.

04

Membaca Wiz dan Calif dengan tepat

Riset menjelaskan galat lintas permintaan. CVE-2026-109618 mendemonstrasikan mod_php RCE; kerentanan FPM berdasarkan kode, tanpa eksploit FPM lengkap untuk CVE itu. CVE-2026-109619 secara terpisah membuktikan jalur FPM upload-progress bergantung aplikasi. Baca tiap GHSA untuk bukti per SAPI.

05

Cloudflare: respons juga penting

Cloudflare menggabungkan permintaan dan respons origin untuk memblokir respons mencurigakan sebelum kebocoran. Berguna tanpa shell. Riwayat peluncuran tidak menjamin akun Anda: periksa aturan, rute, pengecualian dan kejadian. Origin langsung dan host di luar proxy tetap perlu patch.