Попытка атаки или успешный взлом?
Странный multipart или WAF-событие может означать попытку. OOM, SIGSEGV/SIGABRT и всплески HTTP 500 бывают обычными сбоями. Неожиданные дочерние PHP-процессы, соединения, файлы и аккаунты требуют расследования. Утечка памяти может не оставлять webshell и файлов; чистое сканирование её не исключает.
Сопоставьте несколько журналов
Сохраните часовые пояса и смещения часов. Свяжите ID/время прокси с ошибками PHP/FPM, PID, WAF и событиями процессов/сети. Проверяйте PHPSESSID в Set-Cookie ОТВЕТА, а не только входящие Cookie. Длина и процентное кодирование лишь повод проверить; локальные шаблоны не доказывают PHP2Shell.
Отсутствие совпадений не исключает взлом
Обычные логи не содержат тела, заголовков ответа и сессий. Без разрешённой расшифровки датчик не видит зашифрованный HTTP. Срок хранения, реплики и активность в памяти создают пробелы. Запишите проверенные узлы/периоды, запросите логи хостера и передайте риски специалистам. Обновление не объясняет прошлое.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Первоисточники и дополнительные материалы
PHP security teamЧитать оригинал ↗CVE-2026-109618Читать оригинал ↗CVE-2026-109619Читать оригинал ↗php2shell.ukЧитать оригинал ↗Исследования и практические руководства
Инструменты PHP2Shell
Проверяйте публичные сайты, локальные настройки и журналы или выбирайте открытые инструменты. Каждый результат объясняет основания и ограничения.
01PHP2Shell простыми словами
PHP выполняет WordPress, Laravel и плагины. Обновление плагина не обновляет PHP. Две ошибки памяти могут превратить неправильную очистку запроса в утечку или выполнение кода. Публичная проверка даёт лишь признаки; действующую Web-среду и патч подтверждает администратор.
02Попытка атаки или успешный взлом?
Странный multipart или WAF-событие может означать попытку. OOM, SIGSEGV/SIGABRT и всплески HTTP 500 бывают обычными сбоями. Неожиданные дочерние PHP-процессы, соединения, файлы и аккаунты требуют расследования. Утечка памяти может не оставлять webshell и файлов; чистое сканирование её не исключает.
03Сначала сохраните доказательства
Запишите время, домен, инстанс, среду, симптомы и последнее доверенное состояние. Экспортируйте исходные логи с поясами, облачный аудит и доступные разрешённые снимки. Ограничьте копии и запишите хеши. Не отправляйте Cookie, токены и клиентские данные публичным сканерам. Не очищайте логи и не удаляйте файлы до сохранения.
04Как читать Wiz и Calif
Исследования объясняют ошибки между запросами. CVE-2026-109618 демонстрирует mod_php-RCE; подверженность FPM основана на коде, без полного FPM-эксплойта этой CVE. CVE-2026-109619 отдельно подтверждает зависимый от приложения FPM upload-progress-путь. Доказательства для каждой SAPI смотрите в соответствующей GHSA.
05Cloudflare: важен и ответ
Cloudflare описывает совместный анализ запроса и ответа origin с блокировкой подозрительного ответа до утечки. Это важно и без запуска shell. Историческое развёртывание не гарантирует вашу защиту: проверьте правила, маршрут, исключения и события. Прямой origin и узлы без прокси также требуют патча.