cyberszkola/Studiu de caz: PHP2Shell

Studiu de caz · laborator gratuit cu narațiune

PHP2Shell: cum afli dacă patch-ul PHP funcționează

Parcurgi incidentul PHP2Shell pas cu pas: de la avertismentul php.net până la dovada că remedierea funcționează. În browser, fără înscriere.

9 etape · aproximativ 20 min · voce în PL, EN, RO · fără înscriere

Pornește laboratorulCe vei vedea
Trimite-ți linkul pe calculatorPornește oricum

Bramblewood Academy și Harbourline Cloud sunt fictive; faptele publice sunt reale. Laboratorul arată ce a făcut atacul, niciodată cum se declanșează. Informații actualizate la: · Surse

Vrei să exersezi asta pe cont propriu?Web Security PROUn curs despre atacul și apărarea aplicațiilor web: 132 de laboratoare în browser.Începutul ediției 16 noiembrie 2026Vezi cursul
PHP2Shell · studiu de caz

Comenzile și scripturile din laborator sunt scrise pentru serverele fictive ale acestei simulări. Nu le copia ca atare pe serverul tău: oprirea unui container, modificarea php.ini sau înlocuirea fișierelor PHP pot întrerupe funcționarea unui serviciu.

Laboratorul se deschide în modul Ghidat: îl parcurgi pas cu pas, în ritmul tău. Preferi să urmărești totul ca pe o demonstrație? Comută modul pe Automat.

Demo-ul și laboratoarele funcționează cel mai bine pe calculator — laptop sau desktop.

Narațiune: voce sintetică. După pornire, laboratorul descarcă aproximativ 15 MB de date.

Vrei să înveți asta?

Un laborator din cursul Web Security PRO: aplicația în browser, inspectorul de cereri HTTP și tutorele
Așa arată un laborator din curs: aplicația, instrumentele și tutorele într-o singură fereastră de browser.

Web și aplicațiiListă de așteptare

Web Security PRO

Un curs despre atacul și apărarea aplicațiilor web. Exersezi pe cont propriu în 132 de laboratoare în browser: recunoaștere, vulnerabilități, dovadă și verificarea remedierii.

Începutul ediției
16 noiembrie 2026
Prețul planificat al primei ediții
189 € cu taxe incluse
Mediu
În browser, fără instalare
Vezi cursul Web Security PRO Anunță-mă la lansare

Programul cursului urmează OWASP Web Security Testing Guide (WSTG), ghidul folosit pe scară largă pentru testarea securității aplicațiilor web.

În curs, o faci pe cont propriu

Patru abilități din acest caz

  • Identifici serverul și versiunea luiși verifici dacă bannerul spune adevărul. Ca în etapa 2.
  • Găsești gazde uitate și setări riscanteun al doilea nume de gazdă pentru aceeași aplicație și o pagină phpinfo care nu trebuie să fie publică. Ca în acest caz.
  • Demonstrezi o vulnerabilitate fără să ghiceșticu o probă de control care ar fi putut ieși altfel. Ca în etapa 5.
  • Verifici dacă remedierea chiar funcționeazăprintr-o retestare, nu după numărul versiunii. Ca în etapa 8.

Cazul PHP2Shell este un laborator separat, în afara celor 132 de laboratoare ale cursului. Web Security PRO te învață testarea aplicațiilor web — nu aplicarea de patch-uri pe imagini de container sau gestionarea răspunsului la incidente.

Corespondența cu OWASP WSTG (pentru avansați)
  1. Ce vezi în studiul de caz

    Bannerul cu versiunea este un indiciu, nu o dovadă.

    Unde exersezi asta în cursIdentificarea serverului prin headere și eroriWSTG-INFO-02
    Capitolul și data deschiderii

    Capitolul 01 · Recunoașterea aplicației

  2. Ce vezi în studiul de caz

    Un al doilea hostname duce la aceeași aplicație.

    Unde exersezi asta în cursGăsirea aplicațiilor pe un server partajatWSTG-INFO-04
    Capitolul și data deschiderii

    Capitolul 01 · Recunoașterea aplicației

  3. Ce vezi în studiul de caz

    Ce se află între internet și server.

    Unde exersezi asta în cursHarta arhitecturii și a dependențelorWSTG-INFO-10
    Capitolul și data deschiderii

    Capitolul 01 · Recunoașterea aplicației

  4. Ce vezi în studiul de caz

    Vulnerabilitățile cunoscute ale software-ului de server și retestarea după remediere.

    Unde exersezi asta în cursConfigurarea infrastructurii de rețeaWSTG-CONF-01
    Capitolul și data deschiderii

    Capitolul 02 · Configurare și implementare

  5. Ce vezi în studiul de caz

    phpinfo ca instrument care nu are voie să fie public.

    Unde exersezi asta în cursConfigurarea platformei aplicațieiWSTG-CONF-02
    Capitolul și data deschiderii

    Capitolul 02 · Configurare și implementare

  6. Ce vezi în studiul de caz

    Dump-ul bazei de date, păstrat în afara directorului aplicației.

    Unde exersezi asta în cursFișiere de backup și fișiere uitateWSTG-CONF-04
    Capitolul și data deschiderii

    Capitolul 02 · Configurare și implementare

  7. Ce vezi în studiul de caz

    Urma pe care o lasă un shell pornit de serverul web.

    Unde exersezi asta în cursInjecție de comenzi ale sistemului de operareWSTG-INPV-12
    Capitolul și data deschiderii

    Capitolul 07 · Date de intrare și injecție

Capitolele 01 și 02 se deschid în primele două săptămâni ale ediției. Un capitol deblocat nu se mai închide.

Vezi toate cele 132 de laboratoare

Cum se desfășoară laboratorul

Patru zile în nouă etape.

Marți seara: anunțul prealabil. Miercuri: inventar, loguri, izolare, remediere și dovadă. Joi: restartul care a anulat remedierea. Vineri: a treia vulnerabilitate și închiderea incidentului.

În laborator ești persoana de gardă dintr-o organizație fictivă; „noi” din narațiune înseamnă echipa ei. Nu tastezi nimic: pașii rulează singuri comenzile, iar tutorul îți arată unde să te uiți.

  1. Citește anunțul înainte de lansare

    php.net anunță că urmează remedieri pentru două vulnerabilități critice, încă fără detalii. Se conturează un plan: inventar, expunere, soluții temporare, remediere și dovadă.

  2. Amprentează-ți propriul host, din exterior și din interior

    Headere și o scanare din exterior, versiunea și modulul PHP din interior. Un al doilea hostname duce la aceeași aplicație.

  3. Este aceasta configurația demonstrată?

    Buletinele sunt deja publice. Un script care compară numere de versiune dă verdictul corect din motivul greșit, iar pe drumul cererii nimic nu filtrează traficul în fața serverului.

Arată celelalte 6 etape

  1. Cum arăta atacul din interior

    Logul de erori și logul de acces pe același ceas: căderi ale proceselor serverului și o serie de răspunsuri 500 de la o singură adresă. Verdict: expunere confirmată, compromiterea nu a fost exclusă.

  2. Verificarea compromiterii, cu controale; dump-ul verificat

    Trei verificări ale urmelor, fiecare cu o probă de control care ar fi putut ieși altfel, și ce se poate concluziona din ele. Înainte de orice modificare: un dump al bazei de date, verificat înainte de a te baza pe el.

  3. Offline și soluția temporară care aici nu costă nimic

    Serviciul este oprit, iar costul acestei decizii este spus direct. Setarea recomandată de php.net închide o singură cale de atac, dar nu elimină vulnerabilitatea.

  4. 0 upgraded: imaginea nu are bază de date a pachetelor

    Managerul de pachete nu are ce actualiza. Remedierea ajunge în container din pachetele semnate ale distribuției — și trebuie să știi exact unde rămâne.

  5. Dovedește remedierea prin build-ul încărcat de server, nu prin banner

    Bannerul arată în continuare PHP/8.3.6. Decisive sunt data build-ului, fișierul modulului încărcat de serverul web și o verificare care poate și să treacă, și să eșueze.

  6. Restart-ul care a anulat patch-ul; continuarea din 23 octombrie

    Un restart din panoul furnizorului recreează containerul și revine vechiul build. Apoi remedierea aplicată din nou, a treia vulnerabilitate vineri și șapte lecții.

Lecții pentru următorul incident

Șapte reguli care funcționează nu doar pentru această vulnerabilitate.

  1. Inventariază fiecare hostname, nu doar pe cel public.
  2. Expunerea nu înseamnă compromitere: notează ce poți dovedi și ce nu poți exclude.
  3. Ai încredere doar în verificările care pot și să treacă, și să eșueze.
  4. Înainte de orice modificare, fă dump-ul bazei de date și verifică-l.
  5. O soluție temporară închide o singură cale de atac. Numai actualizarea elimină vulnerabilitatea.
  6. Dovedește remedierea prin build-ul încărcat efectiv de server, nu prin bannerul de versiune.
  7. Unele reporniri recreează containerul, așa că verifică build-ul după fiecare repornire.

Studiu de caz: PHP2Shell

Listă de verificare de descărcat

Serverul încarcă PHP-ul remediat? Opt verificări.

Lista rezumă metoda din acest caz. Nu înlocuiește recomandările producătorului sau ale furnizorului de hosting și nu este un ghid pentru testarea sistemelor altora.

Acesta este un material educațional, nu instrucțiuni pentru serverul tău: testează orice modificare mai întâi într-un mediu de test, cu o copie de rezervă actuală, și aplic-o pe propria răspundere.

  1. Înainte de orice modificare, fă un dump al bazei de date și verifică-l. Păstrează-l în afara directorului aplicației.
  2. Include în inventar fiecare hostname la care răspunde serverul, nu doar adresa publică.
  3. Nu judeca remedierea după bannerul X-Powered-By sau după numărul versiunii. Unele distribuții adaugă remedieri fără să schimbe numărul: Ubuntu 24.04 afișează 8.3.6 și înainte, și după patch.
  4. Compară data build-ului din php -v și din câmpul Build Date din phpinfo cu data remedierii din changelogul pachetului distribuției.
  5. Verifică fișierul modulului PHP pe care îl încarcă serverul web. Linia de comandă și serverul web pot folosi build-uri diferite.
  6. Rulează phpinfo doar pe o pagină care nu este accesibilă public și șterge-o după verificare.
  7. Ai încredere doar în verificările care pot și să treacă, și să eșueze. Un script de verificare trebuie să poată întoarce atât „neremediat”, cât și „remediat”, iar când datele nu permit o concluzie, „nu se poate stabili”.
  8. După fiecare restart din panoul furnizorului și după fiecare actualizare a imaginii, verifică din nou build-ul. Unele reporniri recreează containerul.

php.net recomandă setarea session.upload_progress.enabled = 0 până la următoarea lansare PHP din ciclul obișnuit, chiar și după actualizarea din 21 octombrie. Această setare închide o singură cale de atac; numai actualizarea elimină vulnerabilitatea.

Urmărește tot incidentul în laboratorul gratuit cu narațiune (în browser, fără înscriere): cyberszkola.pl/php2shell

Informații actualizate la:

Descarcă lista de verificare (PDF)

Două pagini A4: lista, cu un cod QR către laboratorul gratuit, și sursele.

Surse

  1. PHP security advisory GHSA-w8hw-w9fx-j79w — CVE-2026-109618, RCE via OOM corruption
  2. PHP security advisory GHSA-6wmf-4rv5-p3rp — CVE-2026-109619, RCE via stale global state
  3. php.net — advance notice of 20 October 2026
  4. php.net — informational advisory: session upload progress (23 October 2026, CVE-2026-115560)
  5. CERT-EU Security Advisory 2026-018 — Critical Vulnerabilities in PHP (v1.2)
  6. Ubuntu Security — CVE-2026-109618 (package table, USN-8948-1/2)
  7. Launchpad — php8.3 8.3.6-0ubuntu0.24.04.13 (changelog: SECURITY UPDATE, CVE-2026-109618/109619)
  8. Tenable — php2shell FAQ (updated 28 October 2026)
  9. Datadog Security Labs — PHP2Shell: what the logs and processes show (updated 23 October 2026)
  10. Varonis — PHP2Shell: the log pattern to hunt for
  11. NCSC-NL — third-party software that embeds PHP (inventory aid, referenced by CERT-EU)
  12. CISA — Known Exploited Vulnerabilities Catalog
  13. OWASP WSTG-CONF-01: Test Network Infrastructure Configuration
  14. OWASP WSTG-INFO-02: Fingerprint Web Server
  15. OWASP WSTG-INFO-08: Fingerprint Web Application Framework
Afișul laboratorului SQL injection din cursul Web Security PRO: magazinul ShopMart

Un laborator din curs

Vezi un laborator complet din cursul Web Security PRO: SQL injection

De la un parametru din adresa produsului la date din baza de date și o retestare după remediere. Fără înscriere, în browser.

Deschide demo-ul pe pagina cursului

Prima ediție

Pasul următor: exersează pe cont propriu.

Start pe 16 noiembrie 2026 · 13 săptămâni, un capitol nou în fiecare luni · acces 365 de zile · consumatori: 14 zile pentru rambursare, fără să dai un motiv

  • 132 de laboratoare tehnice: subiecte WSTG și extensii originale.
  • Acces timp de 365 de zile de la cumpărare, fără reînnoire automată.
  • Ghidare interactivă cu tutor, narațiune și instrumente în browser. Fără instalare de Docker, VPN sau laborator local.
  • Certificat de absolvire în limba engleză, cu cod de verificare.
  • Cursul este disponibil în poloneză și engleză.

Persoanele de pe listă primesc informații despre înscrieri și oferta completă înainte ca înscrierile să fie deschise public.

Laboratorul PHP2Shell este gratuit și funcționează fără înscriere. Formularul de înscriere este doar pentru lista de așteptare Web Security PRO.

Web Security PRO

Înscrie-te pe lista de așteptare

Ai o întrebare? Scrie-mi pe e-mail

Îți poți retrage consimțământul oricând. Această înscriere se referă la cursul selectat — nu te adăugăm automat pe listele celorlalte cursuri.

Pentru echipe

Discutați acest caz în echipă.

Poți trimite mai departe linkul către această pagină sau poți porni laboratorul la o ședință a echipei. Cele șapte lecții și lista de verificare sunt gata de tipărit.

Web Security PRO pentru firme: licențe pentru echipă, factură cu TVA și un proiect pilot gratuit înainte de cumpărarea licențelor.

Cere o ofertă

Surse și starea de fapt

Fapte publice, o organizație fictivă.

Informații actualizate la:

Cronologia publică a evenimentelor provine din buletinele și comunicatele de mai jos. Organizația, furnizorul ei, serverele, adresele, logurile și cifrele din laborator sunt fictive; adresele IP provin din intervale rezervate pentru documentație. Laboratorul citează 21 de surse publice.

Cronologie și surse
  1. 20.10.2026 — php.net anunță că urmează remedieri pentru două vulnerabilități critice (CVSS 9,2).
  2. 21.10.2026 — versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35, precum și două buletine GitHub; Ubuntu publică un build remediat care păstrează numărul 8.3.6.
  3. 23.10.2026 — php.net anunță o a treia vulnerabilitate (CVE-2026-115560), care va fi remediată în ciclul obișnuit de lansări, și recomandă păstrarea setării temporare.
  4. 26.10.2026 — CISA adaugă CVE-2026-109618 și CVE-2026-109619 în catalogul KEV.

Întrebări

Bine de știut.

Este un incident real?

Vulnerabilitățile CVE-2026-109618 și CVE-2026-109619, ca și cronologia publică a evenimentelor, sunt reale și descrise în surse. Bramblewood Academy, Harbourline Cloud, serverele, adresele și logurile lor, precum și cifrele din laborator sunt fictive.

Arată laboratorul cum se execută atacul?

Nu. Arată ce vede apărătorul în logurile, procesele și configurația serverului și cum se evaluează expunerea. Nu conține cereri, payload-uri sau instrumente care ar permite declanșarea vulnerabilității.

Pot folosi comenzile din laborator pe serverul meu?

Nu ca atare. Comenzile care doar citesc date, de exemplu versiunea PHP, antetele răspunsului sau jurnalele, de obicei nu schimbă nimic. Cele care comută contextul Docker, opresc un container, modifică php.ini sau înlocuiesc fișiere PHP sunt scrise pentru serverul fictiv din laborator și, în producție, pot întrerupe funcționarea unui serviciu. Urmează recomandările producătorului și ale furnizorului, testează orice modificare mai întâi într-un mediu de test, cu o copie de rezervă actuală, și aplic-o pe propria răspundere.

Trebuie să mă înscriu sau să îmi fac cont?

Nu. Laboratorul este gratuit și rulează în browser, fără cont și fără adresă de e-mail. Formularele de pe această pagină sunt doar pentru lista de așteptare Web Security PRO și sunt opționale.

Cât durează și prin ce diferă modurile?

Modul Automat durează aproximativ 20 de minute și rulează singur, ca un film cu narațiune. În modul Ghidat treci prin laborator pas cu pas, cu butoanele Înainte și Înapoi, în ritmul tău. Textul narațiunii apare pe ecran, așa că laboratorul funcționează și fără sunet.

Pe ce îl pot rula?

Pe un calculator cu ecran de cel puțin 1280 × 720, într-un browser actualizat. După pornire, laboratorul descarcă aproximativ 15 MB de date. Pe telefon poți citi descrierea și lecțiile, iar linkul ți-l trimiți pe calculator.

De ce se închide laboratorul când se deschid instrumentele pentru dezvoltatori?

Este o protecție a conținutului, la fel ca în celelalte demo-uri de pe cyberszkola.pl. Închide instrumentele pentru dezvoltatori și apasă „Înapoi la laborator”; în modul Ghidat, bara „Capitole” te lasă să sari la capitolul ales.

Ce legătură are acest caz cu Web Security PRO?

Este un laborator separat și gratuit, în afara celor 132 de laboratoare ale cursului, construit în același mediu. În Web Security PRO exersezi aceeași metodă — recunoaștere, dovadă și reverificarea remedierii — pe cont propriu, din perspectiva testării aplicațiilor. Cursul nu te învață să aplici patch-uri pe imagini de container sau să gestionezi răspunsul la incidente.

Jacek Wlodarczyk

Autorul proiectului

Jacek Wlodarczyk

Creatorul Cyberwiedza, cyberszkola și AI SecLabs. În aceste cursuri leg explicarea mecanismelor de practică, observație și decizii pe care trebuie să le justifici.

Nu ajunge să rulezi o comandă. Contează ce confirmă rezultatul ei, ce nu confirmă și care ar trebui să fie pasul următor.

Mai multe despre autor