Hiểu PHP2Shell bằng lời dễ hiểu
PHP là động cơ chạy WordPress, Laravel và plugin. Cập nhật plugin không cập nhật PHP. Hai lỗi bộ nhớ có thể biến dọn dẹp yêu cầu bất thường thành rò rỉ hoặc thực thi mã. Kiểm tra công khai chỉ cho dấu hiệu; quản trị viên phải xác nhận runtime Web và bản vá thật.
Tìm PHP website đang dùng
WordPress: Công cụ > Sức khỏe website > Thông tin > Máy chủ. Trong bảng điều khiển chọn đúng tên miền và bộ xử lý PHP, không dùng giá trị mặc định. Qua SSH so php -v với FPM/Apache hay container thực tế. Website, CLI và bản sao có thể khác nhau. Không công khai phpinfo.
Kiểm tra phiên bản →Yêu cầu bằng chứng từ hosting
Vui lòng xác nhận đã sửa CẢ CVE-2026-109618 và CVE-2026-109619 trên runtime Web tên miền của tôi. Cần phiên bản gói/build đầy đủ, thông báo hoặc changelog và xác nhận thay thế/khởi động lại mọi worker FPM/Apache, bản sao và tiến trình thường trực. Có thể xem nhật ký truy cập, PHP và tiến trình còn lưu không?Nguồn sơ cấp và đọc thêm
PHP security teamĐọc bản gốc ↗CVE-2026-109618Đọc bản gốc ↗CVE-2026-109619Đọc bản gốc ↗php2shell.ukĐọc bản gốc ↗Nghiên cứu và hướng dẫn thực tế
Công cụ PHP2Shell
Kiểm tra trang công khai, cấu hình và nhật ký cục bộ hoặc tìm công cụ mở. Mỗi kết quả giải thích bằng chứng và giới hạn.
01Hiểu PHP2Shell bằng lời dễ hiểu
PHP là động cơ chạy WordPress, Laravel và plugin. Cập nhật plugin không cập nhật PHP. Hai lỗi bộ nhớ có thể biến dọn dẹp yêu cầu bất thường thành rò rỉ hoặc thực thi mã. Kiểm tra công khai chỉ cho dấu hiệu; quản trị viên phải xác nhận runtime Web và bản vá thật.
02Thử tấn công hay đã xâm nhập?
Multipart lạ hay cảnh báo WAF có thể là thử tấn công. OOM, SIGSEGV/SIGABRT và HTTP 500 tăng cũng có nguyên nhân thường. Tiến trình con PHP, kết nối, tệp hoặc tài khoản lạ cần điều tra. Rò rỉ bộ nhớ không nhất thiết để lại webshell/tệp; quét sạch không loại trừ được.
03Giữ bằng chứng trước thay đổi
Ghi lúc phát hiện, tên miền, phiên bản máy, runtime, triệu chứng và trạng thái tin cậy cuối. Xuất nhật ký gốc kèm múi giờ, kiểm toán đám mây và ảnh chụp được phép. Hạn chế bản sao và ghi hàm băm. Không gửi cookie, token hay dữ liệu khách tới máy quét công khai. Không xóa nhật ký/tệp nghi vấn trước khi lưu.
04Đọc Wiz và Calif chính xác
Nghiên cứu giải thích lỗi tồn tại qua yêu cầu. CVE-2026-109618 chứng minh mod_php RCE; FPM dựa trên phân tích mã, không có khai thác FPM hoàn chỉnh cho CVE này. CVE-2026-109619 xác nhận riêng đường FPM upload-progress phụ thuộc ứng dụng. Đọc GHSA từng CVE để biết bằng chứng mỗi SAPI.
05Cloudflare: phản hồi cũng quan trọng
Cloudflare kết hợp yêu cầu và phản hồi origin để chặn phản hồi nghi vấn trước rò rỉ. Có ích ngay khi không có shell. Lịch sử triển khai không bảo đảm tài khoản bạn: kiểm quy tắc, tuyến, ngoại lệ và sự kiện. Origin trực tiếp và máy ngoài proxy vẫn cần vá.