Tentativo o intrusione riuscita?
Multipart anomalo o allarme WAF può indicare un tentativo. OOM, SIGSEGV/SIGABRT e picchi HTTP 500 hanno anche cause normali. Figli PHP, connessioni, file e account inattesi richiedono indagine. Una fuga in memoria può non lasciare webshell o file; scansione pulita non la esclude.
Collega più log
Conserva fusi e scarti d’orologio. Incrocia ID/ora del proxy con errori PHP/FPM, PID, WAF, processi e rete. Esamina PHPSESSID nel Set-Cookie della RISPOSTA, non solo cookie ricevuti. Lunghezza e codifica percentuale sono indizi; i pattern locali non dimostrano PHP2Shell.
Nessun riscontro non esclude l’intrusione
I log spesso omettono corpi, header risposta e sessioni. Senza decifratura autorizzata il sensore non vede HTTP cifrato. Conservazione, repliche e attività in memoria creano lacune. Documenta host e periodi, richiedi log all’hosting e segnala rischi irrisolti. Aggiornare non ricostruisce il passato.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Fonti primarie e approfondimenti
PHP security teamLeggi l’originale ↗CVE-2026-109618Leggi l’originale ↗CVE-2026-109619Leggi l’originale ↗php2shell.ukLeggi l’originale ↗Ricerca e guide pratiche
Strumenti PHP2Shell
Controlla siti pubblici, configurazioni e log locali o trova strumenti aperti. Ogni risultato spiega prove e limiti.
01PHP2Shell in parole semplici
PHP è il motore di WordPress, Laravel e plugin. Aggiornare un plugin non aggiorna PHP. Due errori di memoria possono trasformare la pulizia anomala di una richiesta in divulgazione o esecuzione di codice. Il controllo pubblico dà indizi; l’hosting deve confermare runtime Web e patch.
02Tentativo o intrusione riuscita?
Multipart anomalo o allarme WAF può indicare un tentativo. OOM, SIGSEGV/SIGABRT e picchi HTTP 500 hanno anche cause normali. Figli PHP, connessioni, file e account inattesi richiedono indagine. Una fuga in memoria può non lasciare webshell o file; scansione pulita non la esclude.
03Conserva prima di modificare
Annota scoperta, dominio, istanza, runtime, sintomi e ultimo stato affidabile. Esporta log originali con fuso, audit cloud e snapshot autorizzati disponibili. Limita le copie e registra hash. Non inviare cookie, token o dati clienti a scanner pubblici. Non cancellare log o file sospetti prima della conservazione.
04Leggere Wiz e Calif con precisione
La ricerca descrive errori oltre la singola richiesta. CVE-2026-109618 dimostra RCE mod_php; FPM risulta suscettibile dal codice, senza exploit FPM completo per quel CVE. CVE-2026-109619 conferma separatamente un percorso FPM upload-progress dipendente dall’applicazione. Leggi ogni GHSA per distinguere le prove per SAPI.
05Cloudflare: conta anche la risposta
Cloudflare combina richiesta e risposta origin per bloccare risposte sospette prima di possibili fughe. Utile anche senza shell. Il rollout storico non garantisce copertura del tuo account: verifica regole, percorso, esclusioni ed eventi. Origin diretto e host senza proxy richiedono comunque patch.