PHP2Shell простыми словами

PHP выполняет WordPress, Laravel и плагины. Обновление плагина не обновляет PHP. Две ошибки памяти могут превратить неправильную очистку запроса в утечку или выполнение кода. Публичная проверка даёт лишь признаки; действующую Web-среду и патч подтверждает администратор.

Найдите PHP вашего сайта

WordPress: Инструменты > Здоровье сайта > Информация > Сервер. В панели выберите конкретный домен и обработчик PHP, а не значение по умолчанию. Через SSH сравните php -v с обслуживающим FPM/Apache или контейнером. Сайты, CLI и реплики могут различаться. Не публикуйте phpinfo.

Проверить версию →

Запрос хостеру

Сообщение вашему хостеру

Подтвердите исправления ОБОИХ CVE-2026-109618 и CVE-2026-109619 для Web-среды моего домена. Нужны полная ревизия пакета, бюллетень или changelog и подтверждение замены либо перезапуска всех FPM/Apache-воркеров, реплик и долгоживущих процессов. Можете проверить сохранённые журналы доступа, PHP и процессов?

Первоисточники и дополнительные материалы

PHP security teamЧитать оригинал ↗CVE-2026-109618Читать оригинал ↗CVE-2026-109619Читать оригинал ↗php2shell.ukЧитать оригинал ↗

Исследования и практические руководства

Инструменты PHP2Shell

Проверяйте публичные сайты, локальные настройки и журналы или выбирайте открытые инструменты. Каждый результат объясняет основания и ограничения.

PHP2Shell простыми словами

Попытка атаки или успешный взлом?

Странный multipart или WAF-событие может означать попытку. OOM, SIGSEGV/SIGABRT и всплески HTTP 500 бывают обычными сбоями. Неожиданные дочерние PHP-процессы, соединения, файлы и аккаунты требуют расследования. Утечка памяти может не оставлять webshell и файлов; чистое сканирование её не исключает.

Сначала сохраните доказательства

Запишите время, домен, инстанс, среду, симптомы и последнее доверенное состояние. Экспортируйте исходные логи с поясами, облачный аудит и доступные разрешённые снимки. Ограничьте копии и запишите хеши. Не отправляйте Cookie, токены и клиентские данные публичным сканерам. Не очищайте логи и не удаляйте файлы до сохранения.

Как читать Wiz и Calif

Исследования объясняют ошибки между запросами. CVE-2026-109618 демонстрирует mod_php-RCE; подверженность FPM основана на коде, без полного FPM-эксплойта этой CVE. CVE-2026-109619 отдельно подтверждает зависимый от приложения FPM upload-progress-путь. Доказательства для каждой SAPI смотрите в соответствующей GHSA.

Cloudflare: важен и ответ

Cloudflare описывает совместный анализ запроса и ответа origin с блокировкой подозрительного ответа до утечки. Это важно и без запуска shell. Историческое развёртывание не гарантирует вашу защиту: проверьте правила, маршрут, исключения и события. Прямой origin и узлы без прокси также требуют патча.