Cloudflare：応答も確認する理由
Cloudflare は要求と origin 応答を組み合わせ、疑わしい応答を漏えい前に遮断する仕組みを説明します。Shell がなくても有効な観点です。過去の導入時刻は利用中アカウントの保証ではありません。ルール、経路、例外、イベントを確認し、直接 origin とプロキシ外のホストも修正してください。
Cloudflare原文を読む ↗Akamai、Imperva、Unit 42
Akamai は Adaptive Security Engine 3000991 v1、Unit 42 は Threat ID 543004 と台帳、Imperva は多層防御を説明します。製品固有で汎用 WAF ルールではありません。最新公告、有効ポリシー、通信経路を確認します。1 回の遮断では以前の試行失敗を証明できません。
Akamai原文を読む ↗Imperva原文を読む ↗Palo Alto Networks Unit 42原文を読む ↗Corelight と Cisco Talos
Corelight は Zeek/Suricata を公開。Potentially_Affected_PHP_Version は要求／セッション相関と別の台帳情報です。HTTP の可視性が必要で、一部閾値は暫定です。最新公告と照合します。Talos は Snort 67359、67360、67375 を掲載。警告なしやヘッダー非公開は安全の証明ではありません。
Corelight原文を読む ↗Cisco Talos原文を読む ↗端末側の証拠が示すこと
CrowdStrike は悪用後の活動への保護を説明します。PHP 子プロセス、Shell、外部接続、永続化を Web 要求時系列と照合すると調査が進みますが、Shell なしでもメモリー漏えいは否定できません。製品と発表日を明確にし、ネットワークとホストを合わせて調べます。
CrowdStrike原文を読む ↗一次資料と関連情報
PHP security team原文を読む ↗CVE-2026-109618原文を読む ↗CVE-2026-109619原文を読む ↗研究解説と実用ガイド
PHP2Shell ツール
公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
01PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
02攻撃の試行か、侵入成功か
異常な multipart や WAF 警告は試行の可能性があります。OOM、SIGSEGV/SIGABRT、HTTP 500 増加には通常の障害原因もあります。予期しない PHP 子プロセス、外部接続、ファイル変更、不正アカウントは要調査です。メモリー漏えいは Webshell やファイルを残さない場合があり、ファイル検査の正常結果では否定できません。
03変更前に証拠を保存する
発見時刻、ドメイン、インスタンス、実行環境、症状、最後の信頼できる状態を記録します。原本ログとタイムゾーン、クラウド監査、許可されたスナップショットを保存し、コピーのアクセスを制限してハッシュを記録します。Cookie、トークン、顧客情報を公開スキャナーに送らず、保存前にログや不審ファイルを消さないでください。
04Wiz と Calif を正確に読む
研究は要求をまたいで残る欠陥を説明します。CVE-2026-109618 は mod_php RCE を実証、FPM はソース解析による影響判断で、この CVE の完全な FPM 攻撃実証はありません。CVE-2026-109619 はアプリ依存の FPM upload-progress 経路を別に確認しています。SAPI ごとの証拠は対応 GHSA で確認してください。
05Cloudflare：応答も確認する理由
Cloudflare は要求と origin 応答を組み合わせ、疑わしい応答を漏えい前に遮断する仕組みを説明します。Shell がなくても有効な観点です。過去の導入時刻は利用中アカウントの保証ではありません。ルール、経路、例外、イベントを確認し、直接 origin とプロキシ外のホストも修正してください。