PHP2Shell 被动检测

一次普通 GET，读取公开 PHP 版本线索。不发送 exploit。修复线：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。

仅检测你有权测试的站点。隐藏版本 ≠ 已修补。

常见问题

能检测到什么程度？

只能根据公开响应头（如 X-Powered-By）和页面指纹做疑似判断：版本偏旧、疑似已修、有 PHP 但版本隐藏、或无法判断。不能证明可被利用，也不能证明已安全或未被入侵。

会不会对目标站发起攻击？

不会。检测只发一次普通 GET，不发送 POST、上传或任何 exploit。请仅检测你有权测试的站点。

修复版本是哪些？

PHP 安全团队针对 CVE-2026-109618、CVE-2026-109619 公布的修复线包括 8.2.35、8.3.36、8.4.27、8.5.12。EOL 分支（8.1 及更早）通常无官方修复，需升级到受支持分支。发行版可能 backport，请对照厂商公告。

显示版本隐藏，我安全吗？

不安全假设。许多站点关闭 expose_php，这只是藏起版本号。请在服务器运行 php -v 并升级到修复版。

会保存我输入的网址吗？

检测请求在服务端即时处理，不写入账号或长期档案。可能保留短时限流计数与排障日志（不含完整页面正文）。详见隐私说明。