Low Severity
CVE-2026-109618
Published: Nov 1, 2026
Fast, passive PHP vulnerability scanner in Go for php2shell (CVE-2026-109618 / CVE-2026-109619): subdomain discovery, CIDR scan, CDN/Cloudflare origin bypass, JSON/CSV output.
# php2shell-scanner (CVE-2026-109618 / CVE-2026-109619)
<p align="left">
<img src="https://img.shields.io/badge/CVE-2026--109618-red" alt="CVE-2026-109618">
<img src="https://img.shields.io/badge/CVE-2026--109619-red" alt="CVE-2026-109619">
<img src="https://img.shields.io/badge/Go-1.21%2B-00ADD8?logo=go" alt="Go Version">
<img src="https://img.shields.io/badge/dependencies-standard%20library%20only-green" alt="No external dependencies">
<img src="https://img.shields.io/badge/mode-passive%20audit-orange" alt="Mode">
</p>
Versión de alto rendimiento en **Go (Golang)** para la detección y auditoría de exposición a las vulnerabilidades **php2shell** (**CVE-2026-109618** y **CVE-2026-109619**).
Realiza una comprobación **pasiva y no intrusiva** (inspección de cabeceras HTTP/HTTPS `Server`, `X-Powered-By`, cookies `PHPSESSID` y heurísticas de entorno). **No envía payloads maliciosos, no altera memoria, no sube archivos ni ejecuta código.**
> 🇬🇧 **English summary:** a fast, single-binary, standard-library-only **Go** scanner that passively checks hosts for exposure to the **php2shell** PHP vulnerabilities (**CVE-2026-109618 / CVE-2026-109619**) by reading HTTP banners (`Server`, `X-Powered-By`, `PHPSESSID`). Features: subdomain discovery from free passive sources (`-d`), CIDR expansion, stdin pipelines, CDN/WAF detection with Cloudflare origin discovery, DNS-aware verdicts, and JSON/CSV export with CI-friendly exit codes. It sends no exploit payloads. Build with `make build`, then run `./php2shell-scanner -d example.com -only-vuln`. Use only on assets you are authorized to test.
---
## ⚡ Ventajas de esta versión en Go
* **Concurrencia extrema con Goroutines:** Capaz de auditar miles de hosts y segmentos CIDR completos en segundos con uso mínimo de memoria.
* **Binario único independiente:** Cero dependencias externas (`stdlib` pura). Compila en un único ejecutable sin necesidad de instalar entornos de ejecución.
* **Soporte de tuberías (`stdin`):** Integr