Zabezpiecz dowody przed zmianami
Zapisz odkrycie, domenę, instancję, środowisko, objawy i ostatni zaufany stan. Eksportuj oryginalne logi ze strefą, audyt chmury i dostępne autoryzowane migawki. Ogranicz kopie i zapisz skróty. Nie wysyłaj cookies, tokenów i danych klientów do publicznych skanerów. Nie kasuj logów ani podejrzanych plików przed zabezpieczeniem.
Ogranicz prawdopodobne włamanie
Przy aktywnym nadużyciu ogranicz dostęp lub usuń instancje z load balancera, zachowując potrzebne dowody. Zaangażuj hosting lub zespół incydentowy. Spisz PHP, popraw oba CVE, wymień procesy i sprawdź sąsiednie systemy. WAF i obejścia nie usuwają dostępu, skradzionych kluczy ani trwałości. Nie odkładaj izolacji.
Odtwórz zaufany stan
Po potwierdzonym włamaniu odbuduj z zaufanych obrazów i danych, nie tylko usuń webshell. Usuń konta i trwałość, zmień sekrety z czystego urządzenia i unieważnij sesje po izolacji. Sprawdź środowisko Web, repliki i funkcje. Monitoruj połączenia/logowania, dokumentuj zakres i obowiązki powiadomień z zespołem.
Źródła pierwotne i dalsze materiały
PHP security teamCzytaj oryginał ↗CVE-2026-109618Czytaj oryginał ↗CVE-2026-109619Czytaj oryginał ↗Badania i praktyczne poradniki
Narzędzia PHP2Shell
Sprawdź publiczną witrynę, lokalną konfigurację i logi lub znajdź otwarte narzędzia. Każdy wynik wyjaśnia podstawy i ograniczenia.
01PHP2Shell prostym językiem
PHP to silnik WordPressa, Laravela i wtyczek. Aktualizacja wtyczki nie aktualizuje PHP. Dwa błędy pamięci mogą zmienić nieprawidłowe sprzątanie żądania w wyciek lub wykonanie kodu. Publiczny test daje wskazówki; administrator musi potwierdzić środowisko Web i poprawkę.
02Próba czy udane włamanie?
Nietypowy multipart lub alert WAF może oznaczać próbę. OOM, SIGSEGV/SIGABRT i skoki HTTP 500 mają też zwykłe przyczyny. Nieoczekiwane procesy potomne PHP, połączenia, pliki i konta wymagają badania. Wyciek pamięci nie musi zostawić webshella ani pliku; czysty skan go nie wyklucza.
03Zabezpiecz dowody przed zmianami
Zapisz odkrycie, domenę, instancję, środowisko, objawy i ostatni zaufany stan. Eksportuj oryginalne logi ze strefą, audyt chmury i dostępne autoryzowane migawki. Ogranicz kopie i zapisz skróty. Nie wysyłaj cookies, tokenów i danych klientów do publicznych skanerów. Nie kasuj logów ani podejrzanych plików przed zabezpieczeniem.
04Czytaj Wiz i Calif precyzyjnie
Badania opisują błędy między żądaniami. CVE-2026-109618 pokazuje mod_php RCE; podatność FPM wynika z kodu, bez kompletnego exploita FPM dla tego CVE. CVE-2026-109619 osobno potwierdza zależną od aplikacji ścieżkę FPM upload-progress. Każdy GHSA określa dowody dla SAPI.
05Cloudflare: ważna jest odpowiedź
Cloudflare łączy żądanie i odpowiedź origin, blokując podejrzane odpowiedzi przed możliwym wyciekiem. Ważne także bez shella. Historyczne wdrożenie nie gwarantuje ochrony konta: sprawdź reguły, trasę, wyjątki i zdarzenia. Bezpośredni origin i hosty poza proxy też wymagają poprawek.