Girişim mi, başarılı sızma mı?
Tuhaf multipart veya WAF uyarısı girişim olabilir. OOM, SIGSEGV/SIGABRT ve HTTP 500 artışlarının sıradan nedenleri de vardır. Beklenmeyen PHP alt süreçleri, bağlantılar, dosyalar ve hesaplar incelenmelidir. Bellek sızıntısı webshell veya dosya bırakmayabilir; temiz dosya taraması dışlamaz.
Birden çok günlüğü ilişkilendirin
Saat dilimi ve saat sapmalarını koruyun. Proxy istek kimliği/zamanını PHP/FPM hatası, PID, WAF, süreç/ağ olaylarıyla eşleştirin. Yalnız gelen çerezleri değil YANIT Set-Cookie PHPSESSID değerini inceleyin. Uzunluk ve yüzde kodlama ipucudur; yerel kalıplar PHP2Shell’i kanıtlamaz.
Eşleşme yokluğu sızmayı dışlamaz
Günlükler gövde, yanıt başlığı ve oturumları atlayabilir. Yetkili çözümleme olmadan sensör şifreli HTTP’yi göremez. Saklama, kopyalar ve bellek etkinliği boşluk bırakır. İncelenen sunucu/dönemleri kaydedin, sağlayıcı günlüklerini isteyin, riskleri uzmana iletin. Güncelleme geçmişi açıklamaz.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Birincil kaynaklar ve ek okumalar
PHP security teamAslını oku ↗CVE-2026-109618Aslını oku ↗CVE-2026-109619Aslını oku ↗php2shell.ukAslını oku ↗Araştırma ve uygulama rehberleri
PHP2Shell araçları
Herkese açık siteleri, yerel yapılandırma ve günlükleri inceleyin ya da açık kaynak araçları bulun. Her sonuç kanıtını ve sınırlarını açıklar.
01PHP2Shell basitçe nedir?
PHP, WordPress, Laravel ve eklentilerin motorudur. Eklenti güncellemesi PHP’yi güncellemez. İki bellek hatası anormal istek temizliğini veri sızıntısı veya kod çalıştırmaya dönüştürebilir. Açık site kontrolü yalnızca ipucu verir; gerçek Web çalışma ortamı ve yamayı yönetici doğrulamalıdır.
02Girişim mi, başarılı sızma mı?
Tuhaf multipart veya WAF uyarısı girişim olabilir. OOM, SIGSEGV/SIGABRT ve HTTP 500 artışlarının sıradan nedenleri de vardır. Beklenmeyen PHP alt süreçleri, bağlantılar, dosyalar ve hesaplar incelenmelidir. Bellek sızıntısı webshell veya dosya bırakmayabilir; temiz dosya taraması dışlamaz.
03Değişiklikten önce kanıtı koruyun
Bulunma zamanı, alan adı, örnek, ortam, belirtiler ve son güvenilir durumu kaydedin. Asıl günlükleri saat dilimiyle, bulut denetimini ve yetkili anlık görüntüleri alın. Kopyaları kısıtlayıp hash kaydedin. Çerez, token veya müşteri verisini açık tarayıcılara göndermeyin. Kanıt almadan günlük/dosya silmeyin.
04Wiz ve Calif’i doğru okumak
Araştırma istekler arası hataları açıklar. CVE-2026-109618 mod_php RCE gösterir; FPM yatkınlığı kaynak analizine dayanır, bu CVE için tam FPM istismarı gösterilmez. CVE-2026-109619 ayrıca uygulamaya bağlı FPM upload-progress yolu doğrular. Her SAPI’nin kanıtını ilgili GHSA’dan okuyun.
05Cloudflare: yanıt da önemlidir
Cloudflare istek ve origin yanıtını birleştirerek şüpheli yanıtı olası sızıntıdan önce engeller. Shell olmadan da yararlıdır. Tarihsel dağıtım hesabınızın kapsamını garanti etmez; kural, rota, istisna ve olayları doğrulayın. Doğrudan origin ve proxy dışı sunucular da yamalanmalıdır.