Giữ bằng chứng trước thay đổi
Ghi lúc phát hiện, tên miền, phiên bản máy, runtime, triệu chứng và trạng thái tin cậy cuối. Xuất nhật ký gốc kèm múi giờ, kiểm toán đám mây và ảnh chụp được phép. Hạn chế bản sao và ghi hàm băm. Không gửi cookie, token hay dữ liệu khách tới máy quét công khai. Không xóa nhật ký/tệp nghi vấn trước khi lưu.
Khoanh vùng xâm nhập nghi ngờ
Nếu đang bị lạm dụng, hạn chế truy cập hoặc bỏ máy khỏi cân bằng tải trong khi giữ chứng cứ cần thiết. Liên hệ hosting/đội ứng cứu. Kiểm kê mọi PHP, vá hai CVE, thay worker và xét hệ thống cạnh bên. WAF/thiết lập tạm không xóa truy cập, bí mật bị đánh cắp hay cơ chế bám trụ. Không trì hoãn cô lập.
Khôi phục trạng thái tin cậy
Nếu xác nhận xâm nhập, dựng lại từ ảnh tin cậy và dữ liệu kiểm chứng, không chỉ xóa webshell. Xóa tài khoản/bám trụ, đổi bí mật từ thiết bị sạch và vô hiệu phiên sau cô lập. Kiểm runtime Web, bản sao và chức năng. Theo dõi kết nối/xác thực, ghi phạm vi và xử lý nghĩa vụ thông báo cùng đội ứng cứu.
Nguồn sơ cấp và đọc thêm
PHP security teamĐọc bản gốc ↗CVE-2026-109618Đọc bản gốc ↗CVE-2026-109619Đọc bản gốc ↗Nghiên cứu và hướng dẫn thực tế
Công cụ PHP2Shell
Kiểm tra trang công khai, cấu hình và nhật ký cục bộ hoặc tìm công cụ mở. Mỗi kết quả giải thích bằng chứng và giới hạn.
01Hiểu PHP2Shell bằng lời dễ hiểu
PHP là động cơ chạy WordPress, Laravel và plugin. Cập nhật plugin không cập nhật PHP. Hai lỗi bộ nhớ có thể biến dọn dẹp yêu cầu bất thường thành rò rỉ hoặc thực thi mã. Kiểm tra công khai chỉ cho dấu hiệu; quản trị viên phải xác nhận runtime Web và bản vá thật.
02Thử tấn công hay đã xâm nhập?
Multipart lạ hay cảnh báo WAF có thể là thử tấn công. OOM, SIGSEGV/SIGABRT và HTTP 500 tăng cũng có nguyên nhân thường. Tiến trình con PHP, kết nối, tệp hoặc tài khoản lạ cần điều tra. Rò rỉ bộ nhớ không nhất thiết để lại webshell/tệp; quét sạch không loại trừ được.
03Giữ bằng chứng trước thay đổi
Ghi lúc phát hiện, tên miền, phiên bản máy, runtime, triệu chứng và trạng thái tin cậy cuối. Xuất nhật ký gốc kèm múi giờ, kiểm toán đám mây và ảnh chụp được phép. Hạn chế bản sao và ghi hàm băm. Không gửi cookie, token hay dữ liệu khách tới máy quét công khai. Không xóa nhật ký/tệp nghi vấn trước khi lưu.
04Đọc Wiz và Calif chính xác
Nghiên cứu giải thích lỗi tồn tại qua yêu cầu. CVE-2026-109618 chứng minh mod_php RCE; FPM dựa trên phân tích mã, không có khai thác FPM hoàn chỉnh cho CVE này. CVE-2026-109619 xác nhận riêng đường FPM upload-progress phụ thuộc ứng dụng. Đọc GHSA từng CVE để biết bằng chứng mỗi SAPI.
05Cloudflare: phản hồi cũng quan trọng
Cloudflare kết hợp yêu cầu và phản hồi origin để chặn phản hồi nghi vấn trước rò rỉ. Có ích ngay khi không có shell. Lịch sử triển khai không bảo đảm tài khoản bạn: kiểm quy tắc, tuyến, ngoại lệ và sự kiện. Origin trực tiếp và máy ngoài proxy vẫn cần vá.