Controleer openbare websites, lokale configuraties en logs of vind opensourcetools. Elk resultaat vermeldt bewijs en beperkingen.
01 / URL
Controleer je website
Voer je eigen openbare website in. We lezen één pagina en maximaal twee omleidingen voor PHP-headers en platformaanwijzingen, zonder exploits te proberen.
PHP / ?
Weet je niet welke PHP je gebruikt?
WordPress: Gereedschap > Sitediagnose > Informatie > Server. Kies in het paneel het specifieke domein en de PHP-handler, niet de standaard. Vergelijk via SSH php -v met de gebruikte FPM/Apache of container. Sites, CLI-taken en replica’s kunnen verschillen. Publiceer geen phpinfo.
02 / LOG
Verdachte logsignalen bekijken
Plak een fragment of kies een tekstbestand. We tonen aantallen en regelnummers voor geheugenfouten, crashes, HTTP-fouten en ongebruikelijke PHPSESSID-waarden. Een treffer bewijst geen inbraak; geen treffer sluit deze niet uit.
Poging of geslaagde inbraak? →03 / PHP INI
PHP-configuratie bekijken
Plak php.ini- of FPM-poolinstellingen. Alleen tekst wordt bekeken: overerving, wijzigingen per verzoek en actieve waarden zijn niet zichtbaar. Dit vervangt geen patch.
Grenzen van geheugen en recycling →GitHub-gereedschapslijst
OpenAI PHP-checker
Apache-2.0. Node.js-hulp voor lokale inventaris of openbare headers met JSON. Lees README vóór toegestaan gebruik. Verborgen headers, backports en CLI/Web-verschillen beperken conclusies. Geen bewijs van onuitbuitbaarheid.
openai/php2shell-checker ↗Corelight Zeek / Suricata
BSD-3-Clause. Defensieve regels; Zeek 7+ koppelt requests/sessies en inventariseert versies apart. Installatie laadt Suricata niet. Controleer configuratie, TLS-zichtbaarheid en foutpositieven. notice_body_sample_bytes=0 voorkomt gevoelige samples.
corelight/php2shell-detect ↗NCSC-NL-informatie
EUPL-1.2. Bijgehouden responsinformatie en softwarelijst voor eigenaars en leveranciersfixes. Geen vlootscanner; lijst kan onvolledig zijn. Bewaar eigen pakket- en uitrolbewijs.
NCSC-NL/php2shell ↗Trivy voor images en SBOM
Apache-2.0. Algemene image-/pakketinventaris en kwetsbaarhedencontrole voor ingebouwde PHP en nieuwe images. Hangt af van database, herkenning en leverancier. Schoon rapport bewijst beide PHP2Shell-fixes niet.
aquasecurity/trivy ↗Composer audit
MIT. Controleert adviezen voor Composer-afhankelijkheden. PHP zelf is geen Composer-bibliotheek. Schoon auditresultaat werkt PHP niet bij, onderzoekt geen host en sluit inbraak niet uit.
composer/composer ↗Syhunt Apache-voorbeelden
MIT. Community-requestlimieten en multipartblokkering. Gedeeltelijke dekking, kan uploads breken, eerst testen. Apache php_value geldt niet ongewijzigd voor CGI/FastCGI. Alleen beoordeelde tijdelijke controles.
syhunt/php2shell-protection ↗Bewijst een gratis scanner een hack?
Niet sluitend. Headers en patronen geven aanwijzingen zonder volledige runtime, ontbrekende historie of geheugenlekken. Inventariseer, bewaar en koppel. Isoleer bij vreemde accounts, processen of onverklaarde lekken en betrek hoster of incidentteam.
Vraag je hoster om bewijs
Bevestig fixes voor BEIDE CVE-2026-109618 en CVE-2026-109619 in de Web-runtime van mijn domein. Geef de volledige pakketrevisie, leveranciersadvies of changelog en bevestig vervanging of herstart van alle FPM/Apache-workers, replica’s en blijvende processen. Kunnen jullie bewaarde toegangs-, PHP- en proceslogs onderzoeken?Primaire bronnen en meer informatie
PHP security teamOrigineel lezen ↗CVE-2026-109618Origineel lezen ↗CVE-2026-109619Origineel lezen ↗Onderzoek en praktische gidsen
PHP2Shell-hulpmiddelen
Controleer openbare websites, lokale configuraties en logs of vind opensourcetools. Elk resultaat vermeldt bewijs en beperkingen.
01PHP2Shell eenvoudig uitgelegd
PHP is de motor achter WordPress, Laravel en plug-ins. Een plug-inupdate werkt PHP niet bij. Twee geheugenfouten kunnen abnormale requestopruiming veranderen in gegevenslekken of code-uitvoering. De openbare controle geeft aanwijzingen; de beheerder moet de echte Web-runtime en patch bevestigen.
02Poging of geslaagde inbraak?
Vreemde multipart of WAF-alarmen kunnen een poging aangeven. OOM, SIGSEGV/SIGABRT en HTTP-500-pieken kennen ook gewone oorzaken. Onverwachte PHP-kindprocessen, verbindingen, bestanden of accounts vereisen onderzoek. Geheugenlekken hoeven geen webshell of bestand achter te laten; een schone bestandsscan sluit ze niet uit.
03Bewijs bewaren vóór wijzigen
Noteer ontdekking, domein, instantie, runtime, symptomen en laatste betrouwbare toestand. Exporteer originele logs met tijdzone, cloudaudit en beschikbare toegestane snapshots. Beperk kopieën en noteer hashes. Stuur geen cookies, tokens of klantgegevens naar openbare scanners. Wis geen logs of verdachte bestanden vóór veiligstelling.
04Wiz en Calif zorgvuldig lezen
Onderzoek beschrijft fouten over requests heen. CVE-2026-109618 toont mod_php-RCE; FPM-kwetsbaarheid volgt uit bronanalyse zonder volledige FPM-exploit voor deze CVE. CVE-2026-109619 bevestigt apart een toepassingsafhankelijk FPM-upload-progress-pad. Lees elke GHSA voor bewijs per SAPI.
05Cloudflare: ook de respons telt
Cloudflare combineert verzoek en originrespons om verdachte antwoorden vóór een mogelijk lek te blokkeren. Relevant zonder shell. Historische uitrol garandeert jouw dekking niet: controleer regels, routering, uitzonderingen en gebeurtenissen. Directe origin en hosts buiten de proxy hebben ook patches nodig.