https://mpeeters.nl/tags/linux/Recent content in Linux on mpeeters.nlHugonl-NLSat, 24 Oct 2026 23:27:16 +0200https://mpeeters.nl/blog/php2shell-sporen-zoeken/Sat, 24 Oct 2026 23:27:16 +0200https://mpeeters.nl/blog/php2shell-sporen-zoeken/<p>Op 21 oktober schreef ik over <a href="https://mpeeters.nl/blog/php2shell-kritieke-php-lekken/">PHP2Shell</a>, de twee kritieke PHP-kwetsbaarheden die uitlekten voordat er een patch was. Toen ging het om voorbereiden en patchen. Drie dagen later is er meer bekend, en één ding verandert de opdracht: het misbruik begon al vóór de patch. Wie netjes heeft bijgewerkt, is daarmee nog niet klaar. De vraag is ook of er in de dagen daarvoor iets is gebeurd.</p> <p>Dit artikel gaat over die tweede vraag. Ik zet de waarnemingen van de afgelopen dagen op een rij en laat daarna zien welke sporen zo&rsquo;n aanval achterlaat en hoe je er op een Linux-webserver naar zoekt. Ik beschrijf geen exploit; de focus ligt op detectie en onderzoek. Paden en adressen in de voorbeelden zijn fictief of komen uit de genoemde bronnen.</p>