Cloudflare: olhe também a resposta
Cloudflare descreve detecção da transação completa com requisição e resposta da origem, bloqueando respostas suspeitas antes de possível vazamento. Útil sem shell. O histórico de implantação não garante sua cobertura: confira regras, rota, exclusões e eventos. Origem direta e hosts fora do proxy também precisam de patch.
CloudflareLer o original ↗Akamai, Imperva e Unit 42
Akamai cita Adaptive Security Engine 3000991 v1; Unit 42, Threat ID 543004 e inventário; Imperva, proteção em camadas. São funções específicas, não regras WAF universais. Confira avisos atuais, política ativa e caminho real. Uma requisição bloqueada não prova falha dos ataques anteriores.
AkamaiLer o original ↗ImpervaLer o original ↗Palo Alto Networks Unit 42Ler o original ↗Corelight e Cisco Talos
Corelight publica regras Zeek/Suricata. Potentially_Affected_PHP_Version é inventário, separado da correlação de requisições/sessões. Zeek precisa ver HTTP; alguns limites seguem provisórios. Confira avisos atuais. Talos cita Snort 67359, 67360, 67375. Sem alertas ou com cabeçalhos ocultos não há prova de segurança.
CorelightLer o original ↗Cisco TalosLer o original ↗O que a evidência de endpoint mostra
CrowdStrike descreve proteção contra atividade pós-exploração. Relacione filhos PHP, shells, conexões e persistência à linha do tempo Web. Fortalecem a investigação; ausência de shell não exclui vazamento de memória. Vincule declarações ao produto e data; combine rede e host.
CrowdStrikeLer o original ↗Fontes primárias e leitura complementar
PHP security teamLer o original ↗CVE-2026-109618Ler o original ↗CVE-2026-109619Ler o original ↗Pesquisa e guias práticos
Ferramentas PHP2Shell
Verifique sites públicos, revise configurações e logs locais ou encontre ferramentas abertas. Cada resultado explica evidências e limitações.
01PHP2Shell em linguagem simples
PHP é o motor de WordPress, Laravel e plugins. Atualizar um plugin não atualiza PHP. Duas falhas de memória podem transformar a limpeza anormal de uma requisição em vazamento ou execução de código. O teste público dá indícios; a hospedagem deve confirmar o runtime Web e o patch.
02Tentativa ou invasão bem-sucedida?
Multipart estranho ou alerta WAF pode indicar tentativa. OOM, SIGSEGV/SIGABRT e picos HTTP 500 também têm causas comuns. Filhos PHP, conexões, arquivos e contas inesperados exigem investigação. Vazamento de memória pode não deixar webshell ou arquivo; varredura limpa não o descarta.
03Preserve antes de alterar
Registre descoberta, domínio, instância, runtime, sintomas e último estado confiável. Exporte logs originais com fuso, auditoria cloud e snapshots autorizados disponíveis. Restrinja cópias e registre hashes. Não envie cookies, tokens ou dados de clientes a scanners públicos. Não apague logs ou arquivos suspeitos antes de preservá-los.
04Como ler Wiz e Calif
A pesquisa mostra erros que sobrevivem às requisições. CVE-2026-109618 demonstra RCE mod_php; suscetibilidade FPM deriva do código, sem exploit FPM completo para esse CVE. CVE-2026-109619 confirma outro caminho FPM de upload-progress dependente da aplicação. Consulte cada GHSA para distinguir evidências por SAPI.
05Cloudflare: olhe também a resposta
Cloudflare descreve detecção da transação completa com requisição e resposta da origem, bloqueando respostas suspeitas antes de possível vazamento. Útil sem shell. O histórico de implantação não garante sua cobertura: confira regras, rota, exclusões e eventos. Origem direta e hosts fora do proxy também precisam de patch.