Спочатку збережіть докази
Запишіть час, домен, інстанс, середовище, симптоми й останній довірений стан. Експортуйте оригінальні логи з поясами, хмарний аудит і доступні дозволені знімки. Обмежте копії та запишіть хеші. Не надсилайте Cookie, токени й дані клієнтів публічним сканерам. Не очищайте журнали й файли до збереження.
Стримайте ймовірний злам
За активної загрози обмежте доступ або виведіть інстанси з балансувальника, зберігаючи потрібні докази. Залучіть хостера або команду реагування. Перерахуйте всі PHP, виправте обидва CVE, замініть воркери й перевірте сусідів. WAF та обхідні заходи не видаляють доступ, викрадені ключі й закріплення. Не відкладайте ізоляцію.
Відновіть довірений стан
Після підтвердженого зламу перебудуйте з довірених образів і перевірених даних, а не лише видаліть webshell. Приберіть чужі акаунти й закріплення, змініть секрети з чистого пристрою та анулюйте сесії після ізоляції. Перевірте Web-середовище, репліки й функції. Спостерігайте з’єднання/входи, документуйте масштаб і повідомлення з командою.
Першоджерела та додаткові матеріали
PHP security teamЧитати оригінал ↗CVE-2026-109618Читати оригінал ↗CVE-2026-109619Читати оригінал ↗Дослідження та практичні посібники
Інструменти PHP2Shell
Перевіряйте публічні сайти, локальні налаштування й журнали або знаходьте відкриті інструменти. Кожен результат пояснює докази та межі.
01PHP2Shell простими словами
PHP виконує WordPress, Laravel і плагіни. Оновлення плагіна не оновлює PHP. Дві помилки пам’яті можуть перетворити ненормальне очищення запиту на витік або виконання коду. Публічна перевірка дає лише ознаки; справжнє Web-середовище й патч підтверджує адміністратор.
02Спроба чи успішний злам?
Дивний multipart або WAF-подія може бути спробою. OOM, SIGSEGV/SIGABRT і сплески HTTP 500 мають і звичайні причини. Неочікувані дочірні PHP-процеси, з’єднання, файли й облікові записи потребують розслідування. Витік пам’яті може не лишати webshell чи файлів; чисте сканування не виключає його.
03Спочатку збережіть докази
Запишіть час, домен, інстанс, середовище, симптоми й останній довірений стан. Експортуйте оригінальні логи з поясами, хмарний аудит і доступні дозволені знімки. Обмежте копії та запишіть хеші. Не надсилайте Cookie, токени й дані клієнтів публічним сканерам. Не очищайте журнали й файли до збереження.
04Як читати Wiz та Calif
Дослідження пояснюють помилки між запитами. CVE-2026-109618 демонструє mod_php RCE; вразливість FPM випливає з коду без повного FPM-експлойта цього CVE. CVE-2026-109619 окремо підтверджує залежний від застосунку FPM upload-progress-шлях. Докази для кожної SAPI читайте у відповідній GHSA.
05Cloudflare: відповідь також важлива
Cloudflare поєднує запит і відповідь origin, блокуючи підозрілі відповіді до можливого витоку. Корисно й без shell. Історичне розгортання не гарантує вашого покриття: перевірте правила, маршрут, винятки та події. Прямий origin і вузли без проксі також потребують патча.