Cloudflare：为什么要看响应
Cloudflare 介绍结合请求与源站响应的完整事务检测，可在匹配到可疑响应时阻断可能的数据流出，这对不启动 Shell 的泄露路径也有意义。文章中的上线时间只是历史记录，不代表你的账号和路由已覆盖。请核实规则可用性、排除项和事件日志；直接访问源站和未经过代理的主机，仍需要修复与排查。
Cloudflare阅读原文 ↗Akamai、Imperva 与 Unit 42：核查实际覆盖
Akamai 提到 Adaptive Security Engine 规则 3000991 v1；Unit 42 列出 Threat ID 543004 和资产发现建议；Imperva 解释运行时漏洞及分层防护。这些是具体产品的能力说明，不是任何 WAF 都能直接复制的通用规则。核查最新厂商公告、启用策略及域名是否真正经过防护。某次请求被拦截，不能证明之前的攻击全部失败。
Akamai阅读原文 ↗Imperva阅读原文 ↗Palo Alto Networks Unit 42阅读原文 ↗Corelight 与 Cisco Talos：区分资产提示和攻击检测
Corelight 提供 Zeek、Suricata 规则，其中 Potentially_Affected_PHP_Version 只是版本资产提示，与请求和会话关联告警不同。Zeek 需要看见 HTTP 流量并适配现场配置。仓库部分阈值仍标为暂定，使用前应核对当前公告。Cisco Talos 提到 Snort 67359、67360、67375。没有告警、流量加密或 PHP 响应头隐藏，都不能证明安全。
Corelight阅读原文 ↗Cisco Talos阅读原文 ↗CrowdStrike：端点证据能回答什么
CrowdStrike 介绍 PHP2Shell 后续活动的防护，包括利用后的行为。把 PHP 异常子进程、Shell 启动、外连及持久化，与 Web 请求时间线对应，能加强入侵判断。但没有子 Shell，也不能排除纯内存信息泄露。引用时要对应具体产品和文章日期，排查时同时核对网络与主机证据。
CrowdStrike阅读原文 ↗一手来源与延伸阅读
PHP security team阅读原文 ↗CVE-2026-109618阅读原文 ↗CVE-2026-109619阅读原文 ↗研究解读与实用攻略
PHP2Shell 工具箱
检测公开网站、检查本地配置和日志，或查找开源应急工具。每种结果都会说明依据和局限。
01用通俗的话理解 PHP2Shell
PHP 是网站的运行引擎，WordPress、Laravel 和插件运行在它上面。更新插件不等于更新 PHP。这两个运行时内存安全漏洞可能让异常请求清理演变成信息泄露或代码执行。公开网站检测只能寻找线索，实际 Web 运行时和补丁必须由主机商或管理员确认。
02是攻击尝试，还是已经入侵？
异常 multipart 请求或 WAF 告警可能是攻击尝试。内存耗尽、SIGSEGV/SIGABRT、HTTP 500 突增也可能由正常故障造成。PHP 异常子进程、外连、文件修改或未授权账号值得立即排查，但归因仍需证据。纯内存泄露可能不生成 Webshell 或新文件，文件扫描干净也不能排除。
03先保全证据，再改动主机
记录发现时间、域名、实例、运行时、异常表现及最近一次可信状态。导出原始访问、错误、WAF 和进程日志并保留时区；有条件时保全云审计记录和经授权的磁盘、内存快照。限制副本访问权限，记录哈希。不要把 Cookie、令牌和用户数据传给公开扫描站。取证前避免清空日志或直接删除可疑文件。
04如何阅读 Wiz 与 Calif 的技术研究
两份研究解释了请求生命周期的错误为何可能影响后续请求。CVE-2026-109618 官方公告验证了 mod_php RCE；FPM 的易受影响判断基于源码分析，并没有展示该 CVE 的完整 FPM 利用。CVE-2026-109619 则确认了依赖应用条件的 FPM 上传进度利用路径。判断每个 SAPI 的证据范围应看对应 GHSA，不要把所有部署说成同样已验证。
05Cloudflare：为什么要看响应
Cloudflare 介绍结合请求与源站响应的完整事务检测，可在匹配到可疑响应时阻断可能的数据流出，这对不启动 Shell 的泄露路径也有意义。文章中的上线时间只是历史记录，不代表你的账号和路由已覆盖。请核实规则可用性、排除项和事件日志；直接访问源站和未经过代理的主机，仍需要修复与排查。