Cloudflare: важен и ответ
Cloudflare описывает совместный анализ запроса и ответа origin с блокировкой подозрительного ответа до утечки. Это важно и без запуска shell. Историческое развёртывание не гарантирует вашу защиту: проверьте правила, маршрут, исключения и события. Прямой origin и узлы без прокси также требуют патча.
CloudflareЧитать оригинал ↗Akamai, Imperva и Unit 42
Akamai называет Adaptive Security Engine 3000991 v1; Unit 42 - Threat ID 543004 и инвентаризацию; Imperva - многоуровневую защиту. Это возможности продуктов, не универсальные WAF-правила. Проверьте актуальные бюллетени, политики и путь трафика. Блокировка запроса не доказывает неудачу прежних атак.
AkamaiЧитать оригинал ↗ImpervaЧитать оригинал ↗Palo Alto Networks Unit 42Читать оригинал ↗Corelight и Cisco Talos
Corelight публикует Zeek/Suricata. Potentially_Affected_PHP_Version - инвентарный признак, отдельно от корреляции запросов/сессий. Нужен видимый HTTP; часть порогов пока предварительная. Проверьте свежие бюллетени. Talos называет Snort 67359, 67360, 67375. Нет тревог или скрыты заголовки - это не доказательство безопасности.
CorelightЧитать оригинал ↗Cisco TalosЧитать оригинал ↗Что показывает endpoint
CrowdStrike описывает защиту от последующих действий. Сопоставьте дочерние PHP-процессы, shell, соединения и закрепление с Web-хронологией. Это усиливает расследование, но отсутствие shell не исключает утечку памяти. Учитывайте продукт и дату; проверяйте сеть и узел вместе.
CrowdStrikeЧитать оригинал ↗Первоисточники и дополнительные материалы
PHP security teamЧитать оригинал ↗CVE-2026-109618Читать оригинал ↗CVE-2026-109619Читать оригинал ↗Исследования и практические руководства
Инструменты PHP2Shell
Проверяйте публичные сайты, локальные настройки и журналы или выбирайте открытые инструменты. Каждый результат объясняет основания и ограничения.
01PHP2Shell простыми словами
PHP выполняет WordPress, Laravel и плагины. Обновление плагина не обновляет PHP. Две ошибки памяти могут превратить неправильную очистку запроса в утечку или выполнение кода. Публичная проверка даёт лишь признаки; действующую Web-среду и патч подтверждает администратор.
02Попытка атаки или успешный взлом?
Странный multipart или WAF-событие может означать попытку. OOM, SIGSEGV/SIGABRT и всплески HTTP 500 бывают обычными сбоями. Неожиданные дочерние PHP-процессы, соединения, файлы и аккаунты требуют расследования. Утечка памяти может не оставлять webshell и файлов; чистое сканирование её не исключает.
03Сначала сохраните доказательства
Запишите время, домен, инстанс, среду, симптомы и последнее доверенное состояние. Экспортируйте исходные логи с поясами, облачный аудит и доступные разрешённые снимки. Ограничьте копии и запишите хеши. Не отправляйте Cookie, токены и клиентские данные публичным сканерам. Не очищайте логи и не удаляйте файлы до сохранения.
04Как читать Wiz и Calif
Исследования объясняют ошибки между запросами. CVE-2026-109618 демонстрирует mod_php-RCE; подверженность FPM основана на коде, без полного FPM-эксплойта этой CVE. CVE-2026-109619 отдельно подтверждает зависимый от приложения FPM upload-progress-путь. Доказательства для каждой SAPI смотрите в соответствующей GHSA.
05Cloudflare: важен и ответ
Cloudflare описывает совместный анализ запроса и ответа origin с блокировкой подозрительного ответа до утечки. Это важно и без запуска shell. Историческое развёртывание не гарантирует вашу защиту: проверьте правила, маршрут, исключения и события. Прямой origin и узлы без прокси также требуют патча.