Cloudflare: відповідь також важлива
Cloudflare поєднує запит і відповідь origin, блокуючи підозрілі відповіді до можливого витоку. Корисно й без shell. Історичне розгортання не гарантує вашого покриття: перевірте правила, маршрут, винятки та події. Прямий origin і вузли без проксі також потребують патча.
CloudflareЧитати оригінал ↗Akamai, Imperva та Unit 42
Akamai називає Adaptive Security Engine 3000991 v1; Unit 42 Threat ID 543004 та інвентар; Imperva багатошаровий захист. Це функції продуктів, не універсальні WAF-правила. Звірте чинні бюлетені, політику й шлях трафіку. Блокування запиту не доводить невдачу попередніх атак.
AkamaiЧитати оригінал ↗ImpervaЧитати оригінал ↗Palo Alto Networks Unit 42Читати оригінал ↗Corelight та Cisco Talos
Corelight публікує Zeek/Suricata. Potentially_Affected_PHP_Version є інвентарем окремо від кореляції запитів/сесій. Потрібна видимість HTTP; частина порогів попередня. Звірте поточні бюлетені. Talos називає Snort 67359, 67360, 67375. Без тривог або з прихованими заголовками безпека не доведена.
CorelightЧитати оригінал ↗Cisco TalosЧитати оригінал ↗Що показує endpoint
CrowdStrike описує захист від подальших дій. Зіставте дочірні PHP-процеси, shell, з’єднання й закріплення з Web-хронологією. Це посилює розслідування; відсутність shell не виключає витік пам’яті. Враховуйте продукт/дату, перевіряйте мережу й вузол разом.
CrowdStrikeЧитати оригінал ↗Першоджерела та додаткові матеріали
PHP security teamЧитати оригінал ↗CVE-2026-109618Читати оригінал ↗CVE-2026-109619Читати оригінал ↗Дослідження та практичні посібники
Інструменти PHP2Shell
Перевіряйте публічні сайти, локальні налаштування й журнали або знаходьте відкриті інструменти. Кожен результат пояснює докази та межі.
01PHP2Shell простими словами
PHP виконує WordPress, Laravel і плагіни. Оновлення плагіна не оновлює PHP. Дві помилки пам’яті можуть перетворити ненормальне очищення запиту на витік або виконання коду. Публічна перевірка дає лише ознаки; справжнє Web-середовище й патч підтверджує адміністратор.
02Спроба чи успішний злам?
Дивний multipart або WAF-подія може бути спробою. OOM, SIGSEGV/SIGABRT і сплески HTTP 500 мають і звичайні причини. Неочікувані дочірні PHP-процеси, з’єднання, файли й облікові записи потребують розслідування. Витік пам’яті може не лишати webshell чи файлів; чисте сканування не виключає його.
03Спочатку збережіть докази
Запишіть час, домен, інстанс, середовище, симптоми й останній довірений стан. Експортуйте оригінальні логи з поясами, хмарний аудит і доступні дозволені знімки. Обмежте копії та запишіть хеші. Не надсилайте Cookie, токени й дані клієнтів публічним сканерам. Не очищайте журнали й файли до збереження.
04Як читати Wiz та Calif
Дослідження пояснюють помилки між запитами. CVE-2026-109618 демонструє mod_php RCE; вразливість FPM випливає з коду без повного FPM-експлойта цього CVE. CVE-2026-109619 окремо підтверджує залежний від застосунку FPM upload-progress-шлях. Докази для кожної SAPI читайте у відповідній GHSA.
05Cloudflare: відповідь також важлива
Cloudflare поєднує запит і відповідь origin, блокуючи підозрілі відповіді до можливого витоку. Корисно й без shell. Історичне розгортання не гарантує вашого покриття: перевірте правила, маршрут, винятки та події. Прямий origin і вузли без проксі також потребують патча.