Controlla siti pubblici, configurazioni e log locali o trova strumenti aperti. Ogni risultato spiega prove e limiti.
01 / URL
Controlla il tuo sito
Inserisci un tuo sito pubblico. Esaminiamo una pagina e al massimo due reindirizzamenti per cercare header PHP e indizi della piattaforma, senza tentare exploit.
PHP / ?
Non sai quale PHP utilizzi?
WordPress: Strumenti > Salute del sito > Informazioni > Server. Nel pannello scegli dominio e handler PHP, non il valore predefinito. Con SSH confronta php -v con FPM/Apache o container effettivo. Siti, CLI e repliche possono differire. Non pubblicare phpinfo.
02 / LOG
Esamina segnali nei log
Incolla un estratto o scegli un file. Mostriamo conteggi e righe di errori memoria, crash, errori HTTP e PHPSESSID insoliti. I riscontri non provano l’intrusione e l’assenza non la esclude.
Tentativo o intrusione riuscita? →03 / PHP INI
Esamina configurazione PHP
Incolla impostazioni php.ini o del pool FPM. È un’analisi testuale: non vede ereditarietà, override per richiesta né prova che il valore sia attivo. Non sostituisce la patch.
Limiti di memoria e riciclo →Directory strumenti GitHub
Checker PHP OpenAI
Apache-2.0. Aiuto Node.js per inventario locale o header pubblici, con JSON. Leggi README prima dell’uso autorizzato. Header nascosti, backport e differenze CLI/Web limitano conclusioni. Nessun certificato di non sfruttabilità.
openai/php2shell-checker ↗Regole Corelight Zeek / Suricata
BSD-3-Clause. Regole difensive; Zeek 7+ correla richieste/sessioni e inventaria versioni separatamente. Installare Zeek non carica Suricata. Valida configurazione, visibilità TLS e falsi positivi. notice_body_sample_bytes=0 evita campioni sensibili.
corelight/php2shell-detect ↗Informazioni NCSC-NL
EUPL-1.2. Risposta e inventario mantenuti per responsabili e fix dei fornitori. Non è scanner di flotta; elenco incompleto possibile. Conserva prove proprie di pacchetti e distribuzione.
NCSC-NL/php2shell ↗Trivy per immagini e SBOM
Apache-2.0. Inventario e analisi generale di immagini/pacchetti per PHP integrato e ricostruzioni. Dipende da database, riconoscimento e fornitore. Un report pulito non prova entrambe le patch PHP2Shell.
aquasecurity/trivy ↗Composer audit
MIT. Controlla avvisi delle dipendenze Composer. L’interprete PHP non è una libreria Composer. Un audit pulito non aggiorna PHP, esamina l’host o esclude intrusioni.
composer/composer ↗Esempi Apache Syhunt
MIT. Limiti di richiesta e blocco multipart della comunità. Copertura parziale, possibili problemi agli upload, test necessari. php_value Apache non si trasferisce invariato a CGI/FastCGI. Solo misure temporanee revisionate.
syhunt/php2shell-protection ↗Uno scanner gratuito dimostra l’intrusione?
Non definitivamente. Header e pattern forniscono indizi senza runtime completo, storia assente o fughe in memoria. Censisci, conserva e correla. Con account, processi o divulgazioni inspiegati, isola e coinvolgi hosting o team incidenti.
Chiedi prove all’hosting
Confermate la correzione di ENTRAMBI CVE-2026-109618 e CVE-2026-109619 nel runtime Web del mio dominio. Servono revisione completa, avviso o changelog e conferma di sostituzione o riavvio di tutti i worker FPM/Apache, repliche e processi persistenti. Potete esaminare i log di accesso, PHP e processi conservati?Fonti primarie e approfondimenti
PHP security teamLeggi l’originale ↗CVE-2026-109618Leggi l’originale ↗CVE-2026-109619Leggi l’originale ↗Ricerca e guide pratiche
Strumenti PHP2Shell
Controlla siti pubblici, configurazioni e log locali o trova strumenti aperti. Ogni risultato spiega prove e limiti.
01PHP2Shell in parole semplici
PHP è il motore di WordPress, Laravel e plugin. Aggiornare un plugin non aggiorna PHP. Due errori di memoria possono trasformare la pulizia anomala di una richiesta in divulgazione o esecuzione di codice. Il controllo pubblico dà indizi; l’hosting deve confermare runtime Web e patch.
02Tentativo o intrusione riuscita?
Multipart anomalo o allarme WAF può indicare un tentativo. OOM, SIGSEGV/SIGABRT e picchi HTTP 500 hanno anche cause normali. Figli PHP, connessioni, file e account inattesi richiedono indagine. Una fuga in memoria può non lasciare webshell o file; scansione pulita non la esclude.
03Conserva prima di modificare
Annota scoperta, dominio, istanza, runtime, sintomi e ultimo stato affidabile. Esporta log originali con fuso, audit cloud e snapshot autorizzati disponibili. Limita le copie e registra hash. Non inviare cookie, token o dati clienti a scanner pubblici. Non cancellare log o file sospetti prima della conservazione.
04Leggere Wiz e Calif con precisione
La ricerca descrive errori oltre la singola richiesta. CVE-2026-109618 dimostra RCE mod_php; FPM risulta suscettibile dal codice, senza exploit FPM completo per quel CVE. CVE-2026-109619 conferma separatamente un percorso FPM upload-progress dipendente dall’applicazione. Leggi ogni GHSA per distinguere le prove per SAPI.
05Cloudflare: conta anche la risposta
Cloudflare combina richiesta e risposta origin per bloccare risposte sospette prima di possibili fughe. Utile anche senza shell. Il rollout storico non garantisce copertura del tuo account: verifica regole, percorso, esclusioni ed eventi. Origin diretto e host senza proxy richiedono comunque patch.