Спроба чи успішний злам?
Дивний multipart або WAF-подія може бути спробою. OOM, SIGSEGV/SIGABRT і сплески HTTP 500 мають і звичайні причини. Неочікувані дочірні PHP-процеси, з’єднання, файли й облікові записи потребують розслідування. Витік пам’яті може не лишати webshell чи файлів; чисте сканування не виключає його.
Зіставте кілька журналів
Збережіть часові пояси та похибки годинника. Пов’яжіть ID/час проксі з помилками PHP/FPM, PID, WAF, процесами й мережею. Перевіряйте PHPSESSID у Set-Cookie ВІДПОВІДІ, а не лише вхідні Cookie. Довжина й відсоткове кодування є підказками; локальні шаблони не доводять PHP2Shell.
Відсутність збігів не виключає злам
Логи часто не містять тіл, заголовків відповіді й сесій. Без дозволеного розшифрування сенсор не бачить шифрований HTTP. Строк зберігання, репліки й активність у пам’яті створюють прогалини. Запишіть вузли/періоди, попросіть логи хостера та передайте ризики фахівцям. Оновлення не пояснює минуле.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Першоджерела та додаткові матеріали
PHP security teamЧитати оригінал ↗CVE-2026-109618Читати оригінал ↗CVE-2026-109619Читати оригінал ↗php2shell.ukЧитати оригінал ↗Дослідження та практичні посібники
Інструменти PHP2Shell
Перевіряйте публічні сайти, локальні налаштування й журнали або знаходьте відкриті інструменти. Кожен результат пояснює докази та межі.
01PHP2Shell простими словами
PHP виконує WordPress, Laravel і плагіни. Оновлення плагіна не оновлює PHP. Дві помилки пам’яті можуть перетворити ненормальне очищення запиту на витік або виконання коду. Публічна перевірка дає лише ознаки; справжнє Web-середовище й патч підтверджує адміністратор.
02Спроба чи успішний злам?
Дивний multipart або WAF-подія може бути спробою. OOM, SIGSEGV/SIGABRT і сплески HTTP 500 мають і звичайні причини. Неочікувані дочірні PHP-процеси, з’єднання, файли й облікові записи потребують розслідування. Витік пам’яті може не лишати webshell чи файлів; чисте сканування не виключає його.
03Спочатку збережіть докази
Запишіть час, домен, інстанс, середовище, симптоми й останній довірений стан. Експортуйте оригінальні логи з поясами, хмарний аудит і доступні дозволені знімки. Обмежте копії та запишіть хеші. Не надсилайте Cookie, токени й дані клієнтів публічним сканерам. Не очищайте журнали й файли до збереження.
04Як читати Wiz та Calif
Дослідження пояснюють помилки між запитами. CVE-2026-109618 демонструє mod_php RCE; вразливість FPM випливає з коду без повного FPM-експлойта цього CVE. CVE-2026-109619 окремо підтверджує залежний від застосунку FPM upload-progress-шлях. Докази для кожної SAPI читайте у відповідній GHSA.
05Cloudflare: відповідь також важлива
Cloudflare поєднує запит і відповідь origin, блокуючи підозрілі відповіді до можливого витоку. Корисно й без shell. Історичне розгортання не гарантує вашого покриття: перевірте правила, маршрут, винятки та події. Прямий origin і вузли без проксі також потребують патча.