Cloudflare: ook de respons telt
Cloudflare combineert verzoek en originrespons om verdachte antwoorden vóór een mogelijk lek te blokkeren. Relevant zonder shell. Historische uitrol garandeert jouw dekking niet: controleer regels, routering, uitzonderingen en gebeurtenissen. Directe origin en hosts buiten de proxy hebben ook patches nodig.
CloudflareOrigineel lezen ↗Akamai, Imperva en Unit 42
Akamai noemt Adaptive Security Engine 3000991 v1; Unit 42 Threat ID 543004 en inventaris; Imperva gelaagde bescherming. Productfuncties zijn geen universele WAF-regels. Controleer actuele adviezen, actieve policy en verkeersroute. Eén geblokkeerd verzoek bewijst niet dat eerdere pogingen mislukten.
AkamaiOrigineel lezen ↗ImpervaOrigineel lezen ↗Palo Alto Networks Unit 42Origineel lezen ↗Corelight en Cisco Talos
Corelight publiceert Zeek/Suricata. Potentially_Affected_PHP_Version is inventaris, apart van request-/sessiecorrelatie. HTTP moet zichtbaar zijn; enkele drempels zijn voorlopig. Controleer actuele adviezen. Talos noemt Snort 67359, 67360, 67375. Ontbrekende alarmen of verborgen headers bewijzen geen veiligheid.
CorelightOrigineel lezen ↗Cisco TalosOrigineel lezen ↗Wat endpointbewijs toont
CrowdStrike beschrijft bescherming tegen activiteiten na exploitatie. Koppel PHP-kindprocessen, shells, verbindingen en persistentie aan de Web-tijdlijn. Dit versterkt onderzoek; geen shell sluit geheugenlekken niet uit. Verbind claims aan product en datum en controleer netwerk plus host.
CrowdStrikeOrigineel lezen ↗Primaire bronnen en meer informatie
PHP security teamOrigineel lezen ↗CVE-2026-109618Origineel lezen ↗CVE-2026-109619Origineel lezen ↗Onderzoek en praktische gidsen
PHP2Shell-hulpmiddelen
Controleer openbare websites, lokale configuraties en logs of vind opensourcetools. Elk resultaat vermeldt bewijs en beperkingen.
01PHP2Shell eenvoudig uitgelegd
PHP is de motor achter WordPress, Laravel en plug-ins. Een plug-inupdate werkt PHP niet bij. Twee geheugenfouten kunnen abnormale requestopruiming veranderen in gegevenslekken of code-uitvoering. De openbare controle geeft aanwijzingen; de beheerder moet de echte Web-runtime en patch bevestigen.
02Poging of geslaagde inbraak?
Vreemde multipart of WAF-alarmen kunnen een poging aangeven. OOM, SIGSEGV/SIGABRT en HTTP-500-pieken kennen ook gewone oorzaken. Onverwachte PHP-kindprocessen, verbindingen, bestanden of accounts vereisen onderzoek. Geheugenlekken hoeven geen webshell of bestand achter te laten; een schone bestandsscan sluit ze niet uit.
03Bewijs bewaren vóór wijzigen
Noteer ontdekking, domein, instantie, runtime, symptomen en laatste betrouwbare toestand. Exporteer originele logs met tijdzone, cloudaudit en beschikbare toegestane snapshots. Beperk kopieën en noteer hashes. Stuur geen cookies, tokens of klantgegevens naar openbare scanners. Wis geen logs of verdachte bestanden vóór veiligstelling.
04Wiz en Calif zorgvuldig lezen
Onderzoek beschrijft fouten over requests heen. CVE-2026-109618 toont mod_php-RCE; FPM-kwetsbaarheid volgt uit bronanalyse zonder volledige FPM-exploit voor deze CVE. CVE-2026-109619 bevestigt apart een toepassingsafhankelijk FPM-upload-progress-pad. Lees elke GHSA voor bewijs per SAPI.
05Cloudflare: ook de respons telt
Cloudflare combineert verzoek en originrespons om verdachte antwoorden vóór een mogelijk lek te blokkeren. Relevant zonder shell. Historische uitrol garandeert jouw dekking niet: controleer regels, routering, uitzonderingen en gebeurtenissen. Directe origin en hosts buiten de proxy hebben ook patches nodig.