Poging of geslaagde inbraak?
Vreemde multipart of WAF-alarmen kunnen een poging aangeven. OOM, SIGSEGV/SIGABRT en HTTP-500-pieken kennen ook gewone oorzaken. Onverwachte PHP-kindprocessen, verbindingen, bestanden of accounts vereisen onderzoek. Geheugenlekken hoeven geen webshell of bestand achter te laten; een schone bestandsscan sluit ze niet uit.
Koppel meerdere logs
Bewaar tijdzones en klokafwijkingen. Koppel proxy-ID/tijd aan PHP/FPM-fouten, PID, WAF en proces-/netwerkgebeurtenissen. Bekijk PHPSESSID in Set-Cookie van de RESPONS, niet alleen inkomende cookies. Lange of procentgecodeerde waarden zijn aanwijzingen; lokale patronen bewijzen geen PHP2Shell.
Geen treffer sluit inbraak niet uit
Logs missen vaak bodies, responsheaders en sessies. Zonder toegestane ontsleuteling ziet een sensor geen versleuteld HTTP. Bewaartermijn, replica’s en geheugenactiviteit veroorzaken gaten. Noteer hosts en perioden, vraag hosterlogs en escaleer risico’s. Bijwerken bewijst niet wat eerder gebeurde.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Primaire bronnen en meer informatie
PHP security teamOrigineel lezen ↗CVE-2026-109618Origineel lezen ↗CVE-2026-109619Origineel lezen ↗php2shell.ukOrigineel lezen ↗Onderzoek en praktische gidsen
PHP2Shell-hulpmiddelen
Controleer openbare websites, lokale configuraties en logs of vind opensourcetools. Elk resultaat vermeldt bewijs en beperkingen.
01PHP2Shell eenvoudig uitgelegd
PHP is de motor achter WordPress, Laravel en plug-ins. Een plug-inupdate werkt PHP niet bij. Twee geheugenfouten kunnen abnormale requestopruiming veranderen in gegevenslekken of code-uitvoering. De openbare controle geeft aanwijzingen; de beheerder moet de echte Web-runtime en patch bevestigen.
02Poging of geslaagde inbraak?
Vreemde multipart of WAF-alarmen kunnen een poging aangeven. OOM, SIGSEGV/SIGABRT en HTTP-500-pieken kennen ook gewone oorzaken. Onverwachte PHP-kindprocessen, verbindingen, bestanden of accounts vereisen onderzoek. Geheugenlekken hoeven geen webshell of bestand achter te laten; een schone bestandsscan sluit ze niet uit.
03Bewijs bewaren vóór wijzigen
Noteer ontdekking, domein, instantie, runtime, symptomen en laatste betrouwbare toestand. Exporteer originele logs met tijdzone, cloudaudit en beschikbare toegestane snapshots. Beperk kopieën en noteer hashes. Stuur geen cookies, tokens of klantgegevens naar openbare scanners. Wis geen logs of verdachte bestanden vóór veiligstelling.
04Wiz en Calif zorgvuldig lezen
Onderzoek beschrijft fouten over requests heen. CVE-2026-109618 toont mod_php-RCE; FPM-kwetsbaarheid volgt uit bronanalyse zonder volledige FPM-exploit voor deze CVE. CVE-2026-109619 bevestigt apart een toepassingsafhankelijk FPM-upload-progress-pad. Lees elke GHSA voor bewijs per SAPI.
05Cloudflare: ook de respons telt
Cloudflare combineert verzoek en originrespons om verdachte antwoorden vóór een mogelijk lek te blokkeren. Relevant zonder shell. Historische uitrol garandeert jouw dekking niet: controleer regels, routering, uitzonderingen en gebeurtenissen. Directe origin en hosts buiten de proxy hebben ook patches nodig.