Bewijs bewaren vóór wijzigen
Noteer ontdekking, domein, instantie, runtime, symptomen en laatste betrouwbare toestand. Exporteer originele logs met tijdzone, cloudaudit en beschikbare toegestane snapshots. Beperk kopieën en noteer hashes. Stuur geen cookies, tokens of klantgegevens naar openbare scanners. Wis geen logs of verdachte bestanden vóór veiligstelling.
Waarschijnlijke inbraak indammen
Beperk bij actief misbruik toegang of haal instanties uit de loadbalancer met behoud van noodzakelijk bewijs. Betrek hoster of incidentteam. Inventariseer alle PHP, patch beide CVE’s, vervang workers en controleer buren. WAF en tijdelijke maatregelen verwijderen geen toegang, gestolen gegevens of persistentie. Stel indamming niet uit.
Betrouwbaar herstellen
Bouw na bevestigde inbraak opnieuw met vertrouwde images en geverifieerde data; alleen een webshell verwijderen volstaat niet. Verwijder accounts/persistentie, wissel geheimen vanaf een schoon apparaat en maak sessies ongeldig na indamming. Controleer Web-runtime, replica’s en functies. Bewaak verbindingen/inlogacties en bespreek meldplichten met het team.
Primaire bronnen en meer informatie
PHP security teamOrigineel lezen ↗CVE-2026-109618Origineel lezen ↗CVE-2026-109619Origineel lezen ↗Onderzoek en praktische gidsen
PHP2Shell-hulpmiddelen
Controleer openbare websites, lokale configuraties en logs of vind opensourcetools. Elk resultaat vermeldt bewijs en beperkingen.
01PHP2Shell eenvoudig uitgelegd
PHP is de motor achter WordPress, Laravel en plug-ins. Een plug-inupdate werkt PHP niet bij. Twee geheugenfouten kunnen abnormale requestopruiming veranderen in gegevenslekken of code-uitvoering. De openbare controle geeft aanwijzingen; de beheerder moet de echte Web-runtime en patch bevestigen.
02Poging of geslaagde inbraak?
Vreemde multipart of WAF-alarmen kunnen een poging aangeven. OOM, SIGSEGV/SIGABRT en HTTP-500-pieken kennen ook gewone oorzaken. Onverwachte PHP-kindprocessen, verbindingen, bestanden of accounts vereisen onderzoek. Geheugenlekken hoeven geen webshell of bestand achter te laten; een schone bestandsscan sluit ze niet uit.
03Bewijs bewaren vóór wijzigen
Noteer ontdekking, domein, instantie, runtime, symptomen en laatste betrouwbare toestand. Exporteer originele logs met tijdzone, cloudaudit en beschikbare toegestane snapshots. Beperk kopieën en noteer hashes. Stuur geen cookies, tokens of klantgegevens naar openbare scanners. Wis geen logs of verdachte bestanden vóór veiligstelling.
04Wiz en Calif zorgvuldig lezen
Onderzoek beschrijft fouten over requests heen. CVE-2026-109618 toont mod_php-RCE; FPM-kwetsbaarheid volgt uit bronanalyse zonder volledige FPM-exploit voor deze CVE. CVE-2026-109619 bevestigt apart een toepassingsafhankelijk FPM-upload-progress-pad. Lees elke GHSA voor bewijs per SAPI.
05Cloudflare: ook de respons telt
Cloudflare combineert verzoek en originrespons om verdachte antwoorden vóór een mogelijk lek te blokkeren. Relevant zonder shell. Historische uitrol garandeert jouw dekking niet: controleer regels, routering, uitzonderingen en gebeurtenissen. Directe origin en hosts buiten de proxy hebben ook patches nodig.