攻撃の試行か、侵入成功か
異常な multipart や WAF 警告は試行の可能性があります。OOM、SIGSEGV/SIGABRT、HTTP 500 増加には通常の障害原因もあります。予期しない PHP 子プロセス、外部接続、ファイル変更、不正アカウントは要調査です。メモリー漏えいは Webshell やファイルを残さない場合があり、ファイル検査の正常結果では否定できません。
複数ログで時系列を作る
元のタイムゾーンと時計のずれを保存します。プロキシ要求 ID／時刻を PHP/FPM エラー、PID、WAF、プロセス／ネットワークイベントと照合します。受信 Cookie だけでなく応答 Set-Cookie の PHPSESSID を確認します。長い値やパーセント符号化は再確認の手掛かりで、ローカルの文字列一致は PHP2Shell の確証ではありません。
一致なしでも侵入を否定できない
通常ログには本文、応答ヘッダー、セッションがない場合があります。許可された復号なしでは暗号化 HTTP は見えません。保存期間、未確認レプリカ、メモリー内の活動が盲点になります。調べたホストと期間を記録し、事業者ログを求め、未解決リスクは専門家へ。更新は過去の侵入有無を証明しません。
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256一次資料と関連情報
PHP security team原文を読む ↗CVE-2026-109618原文を読む ↗CVE-2026-109619原文を読む ↗php2shell.uk原文を読む ↗研究解説と実用ガイド
PHP2Shell ツール
公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
01PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
02攻撃の試行か、侵入成功か
異常な multipart や WAF 警告は試行の可能性があります。OOM、SIGSEGV/SIGABRT、HTTP 500 増加には通常の障害原因もあります。予期しない PHP 子プロセス、外部接続、ファイル変更、不正アカウントは要調査です。メモリー漏えいは Webshell やファイルを残さない場合があり、ファイル検査の正常結果では否定できません。
03変更前に証拠を保存する
発見時刻、ドメイン、インスタンス、実行環境、症状、最後の信頼できる状態を記録します。原本ログとタイムゾーン、クラウド監査、許可されたスナップショットを保存し、コピーのアクセスを制限してハッシュを記録します。Cookie、トークン、顧客情報を公開スキャナーに送らず、保存前にログや不審ファイルを消さないでください。
04Wiz と Calif を正確に読む
研究は要求をまたいで残る欠陥を説明します。CVE-2026-109618 は mod_php RCE を実証、FPM はソース解析による影響判断で、この CVE の完全な FPM 攻撃実証はありません。CVE-2026-109619 はアプリ依存の FPM upload-progress 経路を別に確認しています。SAPI ごとの証拠は対応 GHSA で確認してください。
05Cloudflare：応答も確認する理由
Cloudflare は要求と origin 応答を組み合わせ、疑わしい応答を漏えい前に遮断する仕組みを説明します。Shell がなくても有効な観点です。過去の導入時刻は利用中アカウントの保証ではありません。ルール、経路、例外、イベントを確認し、直接 origin とプロキシ外のホストも修正してください。