Verifique sites públicos, revise configurações e logs locais ou encontre ferramentas abertas. Cada resultado explica evidências e limitações.
01 / URL
Verifique seu site
Informe seu próprio site público. Examinamos uma página e até dois redirecionamentos em busca de cabeçalhos PHP e indícios de plataforma, sem explorar falhas.
PHP / ?
Não sabe qual PHP você usa?
WordPress: Ferramentas > Saúde do site > Informações > Servidor. No painel, selecione o domínio e seu handler PHP, não o padrão. Por SSH, compare php -v com FPM/Apache ou o contêiner que atende esse domínio. Sites, tarefas CLI e réplicas podem diferir. Não publique phpinfo.
02 / LOG
Revisar sinais em logs
Cole um trecho ou escolha um arquivo de texto. Exibimos contagens e linhas de erros de memória, falhas de workers, erros HTTP e PHPSESSID incomuns. Um sinal não comprova invasão; nenhum sinal não a descarta.
Tentativa ou invasão bem-sucedida? →03 / PHP INI
Revisar configuração PHP
Cole parâmetros do php.ini ou pool FPM. A análise considera apenas texto: não vê herança nem alterações por requisição e não prova o valor ativo. Essas medidas nunca substituem o patch.
Limites de memória e reciclagem →Diretório de ferramentas GitHub
Verificador PHP OpenAI
Apache-2.0. Auxiliar Node.js para inventário local ou cabeçalhos públicos com JSON. Leia README antes do uso autorizado. Cabeçalhos ocultos, backports e diferenças CLI/Web limitam conclusões. Não certifica impossibilidade de exploração.
openai/php2shell-checker ↗Regras Corelight Zeek / Suricata
BSD-3-Clause. Regras defensivas; Zeek 7+ correlaciona requisições/sessões e inventaria versões à parte. Instalar Zeek não carrega Suricata. Valide configuração, visibilidade TLS e falsos positivos. notice_body_sample_bytes=0 evita amostras sensíveis.
corelight/php2shell-detect ↗Informações NCSC-NL
EUPL-1.2. Resposta e inventário mantidos para responsáveis e patches de fornecedores. Não é scanner de frota; a lista pode ser incompleta. Guarde suas evidências de pacotes e implantação.
NCSC-NL/php2shell ↗Trivy para imagens e SBOM
Apache-2.0. Inventário e análise geral de imagens/pacotes para PHP embutido e reconstruções. Depende da base, identificação e fornecedor. Relatório limpo não prova os dois patches PHP2Shell.
aquasecurity/trivy ↗Composer audit
MIT. Analisa avisos de dependências gerenciadas pelo Composer. O interpretador PHP não é biblioteca Composer. Um audit limpo não atualiza PHP, examina o host nem exclui invasão.
composer/composer ↗Exemplos Apache Syhunt
MIT. Limites de requisição e bloqueio multipart comunitários. Cobrem parte dos caminhos e podem quebrar uploads; teste antes. php_value Apache não se aplica sem mudanças a CGI/FastCGI. Somente controles temporários revisados.
syhunt/php2shell-protection ↗Scanner grátis comprova invasão?
Não conclusivamente. Cabeçalhos e padrões dão pistas sem ver runtime completo, histórico ausente e vazamentos de memória. Inventarie, preserve e correlacione. Com contas, processos ou vazamentos inexplicados, isole e contate hospedagem ou equipe de resposta.
Peça evidências à hospedagem
Confirmem os patches de CVE-2026-109618 E CVE-2026-109619 no runtime Web do meu domínio. Enviem revisão completa do pacote, aviso ou changelog e confirmação de troca ou reinício de todos os workers FPM/Apache, réplicas e processos persistentes. Podem revisar logs de acesso, PHP e processos ainda disponíveis?Fontes primárias e leitura complementar
PHP security teamLer o original ↗CVE-2026-109618Ler o original ↗CVE-2026-109619Ler o original ↗Pesquisa e guias práticos
Ferramentas PHP2Shell
Verifique sites públicos, revise configurações e logs locais ou encontre ferramentas abertas. Cada resultado explica evidências e limitações.
01PHP2Shell em linguagem simples
PHP é o motor de WordPress, Laravel e plugins. Atualizar um plugin não atualiza PHP. Duas falhas de memória podem transformar a limpeza anormal de uma requisição em vazamento ou execução de código. O teste público dá indícios; a hospedagem deve confirmar o runtime Web e o patch.
02Tentativa ou invasão bem-sucedida?
Multipart estranho ou alerta WAF pode indicar tentativa. OOM, SIGSEGV/SIGABRT e picos HTTP 500 também têm causas comuns. Filhos PHP, conexões, arquivos e contas inesperados exigem investigação. Vazamento de memória pode não deixar webshell ou arquivo; varredura limpa não o descarta.
03Preserve antes de alterar
Registre descoberta, domínio, instância, runtime, sintomas e último estado confiável. Exporte logs originais com fuso, auditoria cloud e snapshots autorizados disponíveis. Restrinja cópias e registre hashes. Não envie cookies, tokens ou dados de clientes a scanners públicos. Não apague logs ou arquivos suspeitos antes de preservá-los.
04Como ler Wiz e Calif
A pesquisa mostra erros que sobrevivem às requisições. CVE-2026-109618 demonstra RCE mod_php; suscetibilidade FPM deriva do código, sem exploit FPM completo para esse CVE. CVE-2026-109619 confirma outro caminho FPM de upload-progress dependente da aplicação. Consulte cada GHSA para distinguir evidências por SAPI.
05Cloudflare: olhe também a resposta
Cloudflare descreve detecção da transação completa com requisição e resposta da origem, bloqueando respostas suspeitas antes de possível vazamento. Útil sem shell. O histórico de implantação não garante sua cobertura: confira regras, rota, exclusões e eventos. Origem direta e hosts fora do proxy também precisam de patch.