NIEZALEŻNE NARZĘDZIA BEZPIECZEŃSTWA PHP
Trafna ocena zaczyna się od właściwej wersji. Porównaj ją z progiem poprawki PHP2Shell i znajdź następne kroki dla swojego środowiska.
Prywatność: dane pozostają w tej przeglądarce.
PHP to najlepszy język na świecie
01 / SPRAWDŹ WERSJĘ
Wklej wersję PHP, wynik php -v lub jedną wersję w wierszu. To porównanie wersji, bez testowania wykorzystania podatności.
PHP2SHELL / FRAMEWORK / CMS
Usuń PHP2Shell ze stosu witryny, bloga lub sklepu: ustal działający PHP, sprawdź zgodność, usuń przeszkody i potwierdź poprawki CVE-2026-109618 oraz CVE-2026-109619.
PHP2SHELL / Narzędzia PHP2Shell
Sprawdź publiczną witrynę, lokalną konfigurację i logi lub znajdź otwarte narzędzia. Każdy wynik wyjaśnia podstawy i ograniczenia.
Sprawdź publiczną witrynę, lokalną konfigurację i logi lub znajdź otwarte narzędzia. Każdy wynik wyjaśnia podstawy i ograniczenia.
01PHP to silnik WordPressa, Laravela i wtyczek. Aktualizacja wtyczki nie aktualizuje PHP. Dwa błędy pamięci mogą zmienić nieprawidłowe sprzątanie żądania w wyciek lub wykonanie kodu. Publiczny test daje wskazówki; administrator musi potwierdzić środowisko Web i poprawkę.
02Nietypowy multipart lub alert WAF może oznaczać próbę. OOM, SIGSEGV/SIGABRT i skoki HTTP 500 mają też zwykłe przyczyny. Nieoczekiwane procesy potomne PHP, połączenia, pliki i konta wymagają badania. Wyciek pamięci nie musi zostawić webshella ani pliku; czysty skan go nie wyklucza.
03Zapisz odkrycie, domenę, instancję, środowisko, objawy i ostatni zaufany stan. Eksportuj oryginalne logi ze strefą, audyt chmury i dostępne autoryzowane migawki. Ogranicz kopie i zapisz skróty. Nie wysyłaj cookies, tokenów i danych klientów do publicznych skanerów. Nie kasuj logów ani podejrzanych plików przed zabezpieczeniem.
04Badania opisują błędy między żądaniami. CVE-2026-109618 pokazuje mod_php RCE; podatność FPM wynika z kodu, bez kompletnego exploita FPM dla tego CVE. CVE-2026-109619 osobno potwierdza zależną od aplikacji ścieżkę FPM upload-progress. Każdy GHSA określa dowody dla SAPI.
05Cloudflare łączy żądanie i odpowiedź origin, blokując podejrzane odpowiedzi przed możliwym wyciekiem. Ważne także bez shella. Historyczne wdrożenie nie gwarantuje ochrony konta: sprawdź reguły, trasę, wyjątki i zdarzenia. Bezpośredni origin i hosty poza proxy też wymagają poprawek.
02 / PODSTAWA POPRAWKI
Opublikowane przez zespół bezpieczeństwa PHP 21 października 2026 r. Porównuj w ramach swojej gałęzi.
PHP.net ↗
| Gałąź PHP | Wersje źródłowe poniżej | Pierwsza poprawiona wersja | Koniec wsparcia bezpieczeństwa |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 gru 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 gru 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 gru 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 gru 2026 |
Brak regularnego wydania PHP dla tych gałęzi. Minimalne backporty źródeł są dostępne dla 7.4, 8.0 i 8.1. Wsparcie dostawcy sprawdź osobno. Czytaj poradnik ↗
03 / OD KONTROLI DO NAPRAWY
Znajdź wszystkie interpretery PHP, źródła pakietów i handlery witryn.
Zainstaluj poprawioną kompilację lub udokumentowany backport.
Zastąp aktywne procesy i sprawdź każdą instancję.
Ustal php*-common i pakiet handlera Web.
Czytaj poradnikRozróżnij pakiety OS, strumienie aplikacyjne i źródła zewnętrzne.
Czytaj poradnikRestart tego samego kontenera nie instaluje poprawki.
Czytaj poradnikPHP panelu może być niezależny od systemowego.
Czytaj poradnikAktualizacja WordPressa, Drupala lub Joomli nie zmienia PHP.
Czytaj poradnikPHP2SHELL / CVE
PHP2Shell to błędy bezpieczeństwa pamięci w samym PHP. Aktualna aplikacja może korzystać z interpretera bez poprawki.
CVE-2026-109618 dotyczy przedwczesnego wyjścia OOM i użycia częściowo zainicjalizowanej pamięci przy sprzątaniu. Poprawka wprowadza miękką i twardą obsługę pamięci. Pełny RCE potwierdzono dla mod_php. FPM uznano za podatny na ścieżki aplikacyjne, bez pełnego exploita tej CVE.
Czytaj poradnik ↗CVE-2026-109619 pozostawia odwołania do zwolnionej pamięci. Kolejne żądanie do tego samego workera może ich użyć przed inicjalizacją. Potwierdzono ścieżki fatal backtrace PHP 8.5 i postępu wysyłania sesji. RCE zweryfikowano dla mod_php i odpowiedniej ścieżki FPM.
Czytaj poradnik ↗Nie. FPM kończy proces potomny po nieudanym starcie żądania, blokując część sekwencji. Ścieżki aplikacyjne i między żądaniami pozostają. Demonstracja mod_php nie oznacza identycznej eksploatacji wszędzie, lecz FPM nie zwalnia z aktualizacji.
Ubuntu, Debian i Linux firmowy mogą zachować stary numer z poprawioną rewizją. Baner 8.3.6 sam niczego nie dowodzi. Porównaj OS, repozytorium, architekturę i rewizję z OBIEMA CVE. Nie wymyślamy granic wersji pakietów.
Brak zwykłych wydań PHP. Minimalne backporty kodu 7.4, 8.0 i 8.1 są wyjątkiem; kompilacja i walidacja należą do operatora. OS lub LTS może utrzymywać pakiety. Badania od 5.4, zależnie od ścieżki. Migruj i sprawdź poprawki przejściowe.
Tylko pełna poprawka obejmuje warianty. Ustawienia mogą pogorszyć wysyłanie, wydajność i dostępność. Stosuj administracyjnie przed parsowaniem i restartuj wszystkie procesy. Czytaj oba komunikaty. CDN i WAF nie dowodzą naprawy PHP.
Zacznij od wersji. Sprawdź dowody. Zweryfikuj procesy faktycznie obsługujące witrynę.