Thử tấn công hay đã xâm nhập?
Multipart lạ hay cảnh báo WAF có thể là thử tấn công. OOM, SIGSEGV/SIGABRT và HTTP 500 tăng cũng có nguyên nhân thường. Tiến trình con PHP, kết nối, tệp hoặc tài khoản lạ cần điều tra. Rò rỉ bộ nhớ không nhất thiết để lại webshell/tệp; quét sạch không loại trừ được.
Liên kết nhiều nhật ký
Giữ múi giờ và sai lệch đồng hồ. Ghép ID/thời gian proxy với lỗi PHP/FPM, PID, WAF và sự kiện tiến trình/mạng. Xem PHPSESSID trong Set-Cookie PHẢN HỒI, không chỉ cookie đến. Giá trị dài hay mã hóa phần trăm là gợi ý; mẫu cục bộ không chứng minh PHP2Shell.
Không trùng không có nghĩa chưa bị xâm nhập
Nhật ký thường thiếu nội dung, tiêu đề phản hồi và phiên. Không giải mã được phép thì cảm biến không thấy HTTP mã hóa. Lưu trữ, bản sao và hoạt động trong bộ nhớ tạo khoảng mù. Ghi máy/thời gian đã xét, yêu cầu nhật ký hosting và chuyển rủi ro cho chuyên gia. Cập nhật không giải thích quá khứ.
journalctl -u php8.3-fpm --since "2026-10-21 00:00:00 UTC" --until "2026-10-22 23:59:59 UTC" --no-pager
journalctl -k --since "2026-10-21 00:00:00 UTC" --no-pager
ps -eo pid,ppid,lstart,args
ss -tpn
# Only use an independently trusted pre-incident manifest:
sha256sum -c /path/to/trusted-manifest.sha256Nguồn sơ cấp và đọc thêm
PHP security teamĐọc bản gốc ↗CVE-2026-109618Đọc bản gốc ↗CVE-2026-109619Đọc bản gốc ↗php2shell.ukĐọc bản gốc ↗Nghiên cứu và hướng dẫn thực tế
Công cụ PHP2Shell
Kiểm tra trang công khai, cấu hình và nhật ký cục bộ hoặc tìm công cụ mở. Mỗi kết quả giải thích bằng chứng và giới hạn.
01Hiểu PHP2Shell bằng lời dễ hiểu
PHP là động cơ chạy WordPress, Laravel và plugin. Cập nhật plugin không cập nhật PHP. Hai lỗi bộ nhớ có thể biến dọn dẹp yêu cầu bất thường thành rò rỉ hoặc thực thi mã. Kiểm tra công khai chỉ cho dấu hiệu; quản trị viên phải xác nhận runtime Web và bản vá thật.
02Thử tấn công hay đã xâm nhập?
Multipart lạ hay cảnh báo WAF có thể là thử tấn công. OOM, SIGSEGV/SIGABRT và HTTP 500 tăng cũng có nguyên nhân thường. Tiến trình con PHP, kết nối, tệp hoặc tài khoản lạ cần điều tra. Rò rỉ bộ nhớ không nhất thiết để lại webshell/tệp; quét sạch không loại trừ được.
03Giữ bằng chứng trước thay đổi
Ghi lúc phát hiện, tên miền, phiên bản máy, runtime, triệu chứng và trạng thái tin cậy cuối. Xuất nhật ký gốc kèm múi giờ, kiểm toán đám mây và ảnh chụp được phép. Hạn chế bản sao và ghi hàm băm. Không gửi cookie, token hay dữ liệu khách tới máy quét công khai. Không xóa nhật ký/tệp nghi vấn trước khi lưu.
04Đọc Wiz và Calif chính xác
Nghiên cứu giải thích lỗi tồn tại qua yêu cầu. CVE-2026-109618 chứng minh mod_php RCE; FPM dựa trên phân tích mã, không có khai thác FPM hoàn chỉnh cho CVE này. CVE-2026-109619 xác nhận riêng đường FPM upload-progress phụ thuộc ứng dụng. Đọc GHSA từng CVE để biết bằng chứng mỗi SAPI.
05Cloudflare: phản hồi cũng quan trọng
Cloudflare kết hợp yêu cầu và phản hồi origin để chặn phản hồi nghi vấn trước rò rỉ. Có ích ngay khi không có shell. Lịch sử triển khai không bảo đảm tài khoản bạn: kiểm quy tắc, tuyến, ngoại lệ và sự kiện. Origin trực tiếp và máy ngoài proxy vẫn cần vá.