Paladin Front PHP Rescue & Zero-PHP Migration MCP

io.github.AGI-CEO由 GitHub 账号 AGI-CEO 发布v1.0.0更新于 Oct 30, 2026

PHP2Shell (CVE-2026-109618) scanner and automated WordPress to Zero-PHP Next.js migration.

已验证Streamable HTTP可网页运行网页搜索与抓取开发者工具安全与监控

概览

AI 生成的概览

远程 MCP 服务器，可扫描网站是否使用 PHP 运行时并评估其声称的 PHP 漏洞，同时生成 Next.js 替代站点预览。

可以做什么
  • 按网址扫描站点的 PHP 运行时响应头、WordPress 资源与 .php 特征，返回针对所列 CVE 的结构化威胁报告。
  • 抓取 WordPress 或 PHP 站点的品牌、标题、服务与图片，编译托管在厂商站点的 Next.js App Router 预览并附认领链接。
  • 获取第一人称的漏洞说明、为何插件据称无法拦截、DNS 切换流程与价格档位。
适用场景
当你需要快速自动判断某站点是否疑似运行 PHP 或 WordPress、并被描述为受所列 PHP2Shell CVE 影响时，或希望以现有 WordPress 站点为基础生成 Next.js 预览作为迁移起点时。
运行要求
需要可访问的远程 streamable HTTP 端点；未声明任何认证、环境变量或请求头。README 另给出可选的本地 Node.js stdio 桥接与 Smithery CLI 安装方式。需能访问厂商站点。
安装前请注意
该服务器由商业厂商运营，工具返回营销内容、价格档位与认领链接，结果应视为销售材料而非独立审计。扫描会检查你指定的第三方站点，转换工具会抓取其内容与图片并在厂商处托管预览。所列 CVE 编号与 CVSS 评分由厂商自行声明，本条目中无第三方佐证。

安装

在 SourceWeft 中

  1. 打开 控制台中的 Paladin Front PHP Rescue & Zero-PHP Migration MCP，将其添加到工作区。
  2. 为需要使用其工具的对话启用该服务。

Web executable，通过 Streamable HTTP。 远程服务在工作区中配置后即可从网页运行时运行。

交给智能体安装

把这段提示词粘贴到 Claude Code、Codex、Cursor 等智能体，或 SourceWeft 对话中。智能体会读取该服务器的安装指南，先向你展示发布者、端点和登录方式，经你同意后再把它添加到你的客户端。密钥不会写进任何命令。

阅读 https://sourceweft.com/mcp/io.github.AGI-CEO%2Fpaladin-php-rescue-mcp/install.md，并按其中说明把这个 MCP 服务器接入我的客户端。修改任何配置之前，先告诉我它的发布者、端点和登录方式，等我确认。不要把 API 密钥写进命令或我会提交的文件；问我密钥应从哪里获取。

查看智能体所依据的安装指南

其他 MCP 客户端

把它添加到你客户端的 mcpServers 配置中。

{
  "mcpServers": {
    "paladin-front-php-rescue-zero-php-migrat": {
      "type": "http",
      "url": "https://www.paladinfront.com/api/mcp"
    }
  }
}

README

PHP2Shell (CVE-2026-109618) Scanner & WordPress-to-Next.js Converter MCP Server

[MCP Protocol] [Smithery Skill] [Zero-PHP Rescue Hub]

I am Blaise Pascual, a veteran and former Marine Corps officer (Captain, O-3) and senior full-stack software engineer (blaisep.com, nootropic.ai, retatruti.de).

I engineered this public, zero-authentication Remote Model Context Protocol (MCP) Server (https://www.paladinfront.com/api/mcp) and Agent Plugin / Skill so AI coding agents (Claude, Cursor, Windsurf, ChatGPT, and OpenAI Codex) can audit any website for PHP2Shell (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) runtime flaws and compile a live Zero-PHP Next.js App Router replacement preview in seconds.

Live Endpoints & Discovery Manifests

Exposed MCP Tools

  1. scan_php_vulnerability ({ url: string })
    • Inspects target website HTTP runtime headers (X-Powered-By, Server, /wp-content/, .php signatures) and returns a structured CVSS 9.2 threat report for CVE-2026-109618 & CVE-2026-109619 with plain-English business risk analysis.
  2. convert_php_site_to_nextjs ({ url: string, abVariant?: "A" | "B" | "C" })
    • Scrapes target WordPress/PHP website branding, services, and imagery, compiles a live Zero-PHP Next.js App Router replacement preview, and returns previewUrl (https://www.paladinfront.com/web-factory/preview/[slug]) and $0 Free Migration + $29/mo claim links.
  3. get_php2shell_remediation_guide ({ topic?: "overview" | "why_plugins_fail" | "dns_cutover" | "pricing" })
    • Returns authoritative first-person technical guidance explaining why application-layer WordPress plugins (Wordfence, Sucuri) cannot intercept C-level PHP SAPI memory corruption, how my 10-minute zero-downtime DNS cutover works, and pricing tiers.

Quick Connect Instructions

1. Claude Code / Remote HTTP MCP Clients

bash
claude mcp add --transport http paladin-php-rescue https://www.paladinfront.com/api/mcp

2. Cursor IDE / Claude Desktop (mcp.json)

json
{  "mcpServers": {    "paladin-php-rescue": {      "type": "streamable-http",      "url": "https://www.paladinfront.com/api/mcp"    }  }}

3. Local Stdio Bridge (tools/php-rescue-mcp-stdio.mjs)

json
{  "mcpServers": {    "paladin-php-rescue": {      "command": "node",      "args": ["tools/php-rescue-mcp-stdio.mjs"]    }  }}

4. Smithery Skill Install

bash
npx @smithery/cli@latest skill add jetblaise/php2shell-rescue

Contact & Direct Engineering Support

来源：README.md，提交 5303091

工具

3

scan_php_vulnerability

Inspects a website URL for PHP runtime signatures (X-Powered-By, Server, WordPress cookies/assets) and evaluates exposure to the critical PHP2Shell vulnerability (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2).

输入参数url必填

convert_php_site_to_nextjs

Scrapes a target WordPress or PHP website, extracts business branding, headings, services, and photos, and compiles a hardened, zero-PHP Next.js App Router live preview with Stripe claim integration.

输入参数url必填abVariant

get_php2shell_remediation_guide

Returns authoritative first-person guidance from Blaise Pascual explaining how PHP2Shell (CVE-2026-109618) works, why security plugins cannot stop it, the 10-minute DNS cutover process, and pricing tiers.

输入参数topic

版本历史

1
  1. v1.0.0最新Oct 22, 2026

评分

已满足适用检查项的 100%

该评分衡量此收录条目的完整程度，依据注册中心条目、端点与公开来源计算得出。它不是对服务器本身的评价，也不表示服务器安全或当前可用：可连通性是带日期的检查结果，评分也不包含安装量或用户评价。

  • 近 30 天内可连通必需25 分
  • 已声明认证方式必需10 分
  • 已列出工具必需15 分
  • 描述必需15 分
  • 图标10 分
  • 文档15 分
  • 许可证10 分