Próba czy udane włamanie?
Nietypowy multipart lub alert WAF może oznaczać próbę. OOM, SIGSEGV/SIGABRT i skoki HTTP 500 mają też zwykłe przyczyny. Nieoczekiwane procesy potomne PHP, połączenia, pliki i konta wymagają badania. Wyciek pamięci nie musi zostawić webshella ani pliku; czysty skan go nie wyklucza.
Połącz kilka dzienników
Zachowaj strefy i różnice zegarów. Powiąż ID/czas proxy z błędami PHP/FPM, PID, WAF i zdarzeniami sieci/procesów. Sprawdzaj PHPSESSID w Set-Cookie ODPOWIEDZI, nie tylko wejściowe cookies. Długość i kodowanie procentowe to wskazówki; lokalne wzorce nie dowodzą PHP2Shell.
Brak trafień nie wyklucza włamania
Logi często nie zawierają treści, nagłówków odpowiedzi i sesji. Bez uprawnionego odszyfrowania czujnik nie widzi zaszyfrowanego HTTP. Retencja, repliki i działania w pamięci tworzą luki. Zapisz hosty i okresy, poproś o logi hostingu, eskaluj ryzyka. Aktualizacja nie wyjaśnia przeszłości.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Źródła pierwotne i dalsze materiały
PHP security teamCzytaj oryginał ↗CVE-2026-109618Czytaj oryginał ↗CVE-2026-109619Czytaj oryginał ↗php2shell.ukCzytaj oryginał ↗Badania i praktyczne poradniki
Narzędzia PHP2Shell
Sprawdź publiczną witrynę, lokalną konfigurację i logi lub znajdź otwarte narzędzia. Każdy wynik wyjaśnia podstawy i ograniczenia.
01PHP2Shell prostym językiem
PHP to silnik WordPressa, Laravela i wtyczek. Aktualizacja wtyczki nie aktualizuje PHP. Dwa błędy pamięci mogą zmienić nieprawidłowe sprzątanie żądania w wyciek lub wykonanie kodu. Publiczny test daje wskazówki; administrator musi potwierdzić środowisko Web i poprawkę.
02Próba czy udane włamanie?
Nietypowy multipart lub alert WAF może oznaczać próbę. OOM, SIGSEGV/SIGABRT i skoki HTTP 500 mają też zwykłe przyczyny. Nieoczekiwane procesy potomne PHP, połączenia, pliki i konta wymagają badania. Wyciek pamięci nie musi zostawić webshella ani pliku; czysty skan go nie wyklucza.
03Zabezpiecz dowody przed zmianami
Zapisz odkrycie, domenę, instancję, środowisko, objawy i ostatni zaufany stan. Eksportuj oryginalne logi ze strefą, audyt chmury i dostępne autoryzowane migawki. Ogranicz kopie i zapisz skróty. Nie wysyłaj cookies, tokenów i danych klientów do publicznych skanerów. Nie kasuj logów ani podejrzanych plików przed zabezpieczeniem.
04Czytaj Wiz i Calif precyzyjnie
Badania opisują błędy między żądaniami. CVE-2026-109618 pokazuje mod_php RCE; podatność FPM wynika z kodu, bez kompletnego exploita FPM dla tego CVE. CVE-2026-109619 osobno potwierdza zależną od aplikacji ścieżkę FPM upload-progress. Każdy GHSA określa dowody dla SAPI.
05Cloudflare: ważna jest odpowiedź
Cloudflare łączy żądanie i odpowiedź origin, blokując podejrzane odpowiedzi przed możliwym wyciekiem. Ważne także bez shella. Historyczne wdrożenie nie gwarantuje ochrony konta: sprawdź reguły, trasę, wyjątki i zdarzenia. Bezpośredni origin i hosty poza proxy też wymagają poprawek.