Сначала сохраните доказательства
Запишите время, домен, инстанс, среду, симптомы и последнее доверенное состояние. Экспортируйте исходные логи с поясами, облачный аудит и доступные разрешённые снимки. Ограничьте копии и запишите хеши. Не отправляйте Cookie, токены и клиентские данные публичным сканерам. Не очищайте логи и не удаляйте файлы до сохранения.
Сдерживание вероятного взлома
При активной угрозе ограничьте доступ или уберите инстансы из балансировщика, сохраняя нужные доказательства. Подключите хостера или команду реагирования. Учтите все PHP, исправьте оба CVE, замените воркеры и проверьте соседние системы. WAF и временные меры не удаляют доступ, украденные ключи и закрепление. Не откладывайте изоляцию.
Восстановите доверенное состояние
При подтверждённом взломе пересоберите из доверенных образов и проверенных данных, а не просто удалите webshell. Уберите чужие аккаунты и закрепление, смените секреты с чистого устройства, аннулируйте сессии после изоляции. Проверьте Web-среду, реплики и функции. Наблюдайте соединения/входы, документируйте масштаб и обязательные уведомления с командой.
Первоисточники и дополнительные материалы
PHP security teamЧитать оригинал ↗CVE-2026-109618Читать оригинал ↗CVE-2026-109619Читать оригинал ↗Исследования и практические руководства
Инструменты PHP2Shell
Проверяйте публичные сайты, локальные настройки и журналы или выбирайте открытые инструменты. Каждый результат объясняет основания и ограничения.
01PHP2Shell простыми словами
PHP выполняет WordPress, Laravel и плагины. Обновление плагина не обновляет PHP. Две ошибки памяти могут превратить неправильную очистку запроса в утечку или выполнение кода. Публичная проверка даёт лишь признаки; действующую Web-среду и патч подтверждает администратор.
02Попытка атаки или успешный взлом?
Странный multipart или WAF-событие может означать попытку. OOM, SIGSEGV/SIGABRT и всплески HTTP 500 бывают обычными сбоями. Неожиданные дочерние PHP-процессы, соединения, файлы и аккаунты требуют расследования. Утечка памяти может не оставлять webshell и файлов; чистое сканирование её не исключает.
03Сначала сохраните доказательства
Запишите время, домен, инстанс, среду, симптомы и последнее доверенное состояние. Экспортируйте исходные логи с поясами, облачный аудит и доступные разрешённые снимки. Ограничьте копии и запишите хеши. Не отправляйте Cookie, токены и клиентские данные публичным сканерам. Не очищайте логи и не удаляйте файлы до сохранения.
04Как читать Wiz и Calif
Исследования объясняют ошибки между запросами. CVE-2026-109618 демонстрирует mod_php-RCE; подверженность FPM основана на коде, без полного FPM-эксплойта этой CVE. CVE-2026-109619 отдельно подтверждает зависимый от приложения FPM upload-progress-путь. Доказательства для каждой SAPI смотрите в соответствующей GHSA.
05Cloudflare: важен и ответ
Cloudflare описывает совместный анализ запроса и ответа origin с блокировкой подозрительного ответа до утечки. Это важно и без запуска shell. Историческое развёртывание не гарантирует вашу защиту: проверьте правила, маршрут, исключения и события. Прямой origin и узлы без прокси также требуют патча.