Conserva prima di modificare
Annota scoperta, dominio, istanza, runtime, sintomi e ultimo stato affidabile. Esporta log originali con fuso, audit cloud e snapshot autorizzati disponibili. Limita le copie e registra hash. Non inviare cookie, token o dati clienti a scanner pubblici. Non cancellare log o file sospetti prima della conservazione.
Contieni una possibile compromissione
Con abuso attivo limita l’accesso o rimuovi istanze dal bilanciatore preservando prove necessarie. Coinvolgi hosting o team incidenti. Censisci tutti i PHP, correggi entrambi i CVE, sostituisci worker e controlla sistemi vicini. WAF e misure temporanee non eliminano accessi, credenziali rubate o persistenza. Non ritardare il contenimento.
Ripristina uno stato affidabile
Con compromissione confermata ricostruisci da immagini fidate e dati verificati, senza limitarti a eliminare webshell. Rimuovi account e persistenza, cambia segreti da dispositivo pulito e invalida sessioni dopo isolamento. Verifica runtime Web, repliche e funzioni. Monitora connessioni/accessi e tratta gli obblighi di notifica con il team.
Fonti primarie e approfondimenti
PHP security teamLeggi l’originale ↗CVE-2026-109618Leggi l’originale ↗CVE-2026-109619Leggi l’originale ↗Ricerca e guide pratiche
Strumenti PHP2Shell
Controlla siti pubblici, configurazioni e log locali o trova strumenti aperti. Ogni risultato spiega prove e limiti.
01PHP2Shell in parole semplici
PHP è il motore di WordPress, Laravel e plugin. Aggiornare un plugin non aggiorna PHP. Due errori di memoria possono trasformare la pulizia anomala di una richiesta in divulgazione o esecuzione di codice. Il controllo pubblico dà indizi; l’hosting deve confermare runtime Web e patch.
02Tentativo o intrusione riuscita?
Multipart anomalo o allarme WAF può indicare un tentativo. OOM, SIGSEGV/SIGABRT e picchi HTTP 500 hanno anche cause normali. Figli PHP, connessioni, file e account inattesi richiedono indagine. Una fuga in memoria può non lasciare webshell o file; scansione pulita non la esclude.
03Conserva prima di modificare
Annota scoperta, dominio, istanza, runtime, sintomi e ultimo stato affidabile. Esporta log originali con fuso, audit cloud e snapshot autorizzati disponibili. Limita le copie e registra hash. Non inviare cookie, token o dati clienti a scanner pubblici. Non cancellare log o file sospetti prima della conservazione.
04Leggere Wiz e Calif con precisione
La ricerca descrive errori oltre la singola richiesta. CVE-2026-109618 dimostra RCE mod_php; FPM risulta suscettibile dal codice, senza exploit FPM completo per quel CVE. CVE-2026-109619 conferma separatamente un percorso FPM upload-progress dipendente dall’applicazione. Leggi ogni GHSA per distinguere le prove per SAPI.
05Cloudflare: conta anche la risposta
Cloudflare combina richiesta e risposta origin per bloccare risposte sospette prima di possibili fughe. Utile anche senza shell. Il rollout storico non garantisce copertura del tuo account: verifica regole, percorso, esclusioni ed eventi. Origin diretto e host senza proxy richiedono comunque patch.