Windows PHP Worker Spawns Suspicious Child Process After PHP2Shell Activity - STRICT
SIGMA detection rule by Adama ASSIONGBON (SOC & CTI Consultant), https://linkedin.com/in/adama-assiongbon-9029893a · Unknown
Detects an Apache, IIS-linked PHP, PHP-CGI, PHP-FPM, or nginx worker spawning a Windows shell, interpreter, downloader, or discovery utility with a suspicious command line. This is a high-confidence post-exploitation signal consistent with PHP2Shell on Windows, but it is not specific to one CVE; SOC L1 should verify the parent chain, service account, originating web requests, and created files.
Détecte un worker Apache, PHP lié à IIS, PHP-CGI, PHP-FPM ou nginx qui lance un shell Windows, un interpréteur, un outil de téléchargement ou un utilitaire de reconnaissance avec une ligne de commande suspecte. Il s’agit d’un signal post-exploitation à haute confiance cohérent avec PHP2Shell sous Windows, mais il n’est pas spécifique à un seul CVE ; le SOC L1 doit vérifier la chaîne parent, le compte de service, les requêtes web d’origine et les fichiers créés.
title: Windows PHP Worker Spawns Suspicious Child Process After PHP2Shell Activity - STRICT
id: 6a1e4d93-7b52-4f80-9c21-5e8d3a6f2047
status: experimental
description: |
Detects an Apache, IIS-linked PHP, PHP-CGI, PHP-FPM, or nginx worker spawning a Windows shell, interpreter, downloader, or discovery utility with a suspicious command line. This is a high-confidence post-exploitation signal consistent with PHP2Shell on Windows, but it is not specific to one CVE; SOC L1 should verify the parent chain, service account, originating web requests, and created files.
Détecte un worker Apache, PHP lié à IIS, PHP-CGI, PHP-FPM ou nginx qui lance un shell Windows, un interpréteur, un outil de téléchargement ou un utilitaire de reconnaissance avec une ligne de commande suspecte. Il s’agit d’un signal post-exploitation à haute confiance cohérent avec PHP2Shell sous Windows, mais il n’est pas spécifique à un seul CVE ; le SOC L1 doit vérifier la chaîne parent, le compte de service, les requêtes web d’origine et les fichiers créés.
references:
- https://cert.europa.eu/publications/security-advisories/2026-018/
- https://www.elastic.co/security-labs/threat-command/php2shell-php-rce-detection
author: Adama ASSIONGBON (SOC & CTI Consultant), https://linkedin.com/in/adama-assiongbon-9029893a
date: 2026-10-22
logsource:
product: windows
category: process_creation
detection:
selection_parent:
ParentImage|endswith:
- '\php-cgi.exe'
- '\php-fpm.exe'
- '\httpd.exe'
- '\apache.exe'
- '\nginx.exe'
- '\w3wp.exe'
selection_child:
Image|endswith:
- '\cmd.exe'
- '\powershell.exe'
- '\pwsh.exe'
- '\wscript.exe'
- '\cscript.exe'
- '\mshta.exe'
- '\certutil.exe'
- '\curl.exe'
- '\bitsadmin.exe'
- '\rundll32.exe'
selection_command:
CommandLine|contains:
- 'whoami'
- 'systeminfo'
- 'cmd /c'
- 'powershell -'
- ' -enc '
- ' -e '
- 'http://'
- 'https://'
- 'certutil -urlcache'
- 'bitsadmin /transfer'
- 'AppData\Local\Temp'
- 'Windows\Temp'
filter_known_healthcheck:
CommandLine|contains:
- '\monitoring\php-healthcheck.cmd'
- '\monitoring\php-healthcheck.ps1'
condition: selection_parent and selection_child and selection_command and not 1 of filter_*
fields:
- UtcTime
- Computer
- User
- Image
- CommandLine
- ParentImage
- ParentCommandLine
- CurrentDirectory
- ProcessId
- ParentProcessId
- IntegrityLevel
falsepositives:
- Authorized maintenance performed by a documented web service account
- EDR or monitoring components that intentionally launch diagnostics from the web worker
level: high
tags:
- attack.execution
- attack.t1059
- attack.t1059.001
- attack.t1505.003
- cve.2026-109618
- cve.2026-109619