Paladin Front PHP Rescue & Zero-PHP Migration MCP

io.github.AGI-CEO由 GitHub 帳號 AGI-CEO 發布v1.0.0更新於 Oct 30, 2026

PHP2Shell (CVE-2026-109618) scanner and automated WordPress to Zero-PHP Next.js migration.

已驗證Streamable HTTP可網頁執行網頁搜尋與抓取開發者工具安全與監控

概覽

AI 產生的概覽

遠端 MCP 伺服器，可掃描網站是否使用 PHP 執行環境並評估其宣稱的 PHP 漏洞，同時產生 Next.js 替代網站預覽。

可以做什麼
  • 依網址掃描網站的 PHP 執行環境回應標頭、WordPress 資源與 .php 特徵，回傳針對所列 CVE 的結構化威脅報告。
  • 擷取 WordPress 或 PHP 網站的品牌、標題、服務與圖片，編譯託管於廠商網站的 Next.js App Router 預覽並附上認領連結。
  • 取得第一人稱的漏洞說明、為何外掛據稱無法攔阻、DNS 切換流程與價格方案。
適用情境
當你需要快速自動判斷某網站是否疑似執行 PHP 或 WordPress、且被描述為受所列 PHP2Shell CVE 影響時，或希望以現有 WordPress 網站為基礎產生 Next.js 預覽作為搬遷起點時。
執行需求
需要可連線的遠端 streamable HTTP 端點；未宣告任何驗證、環境變數或標頭。README 另提供可選的本機 Node.js stdio 橋接與 Smithery CLI 安裝方式。需能連線至廠商網站。
安裝前請注意
此伺服器由商業廠商營運，工具回傳行銷內容、價格方案與認領連結，結果應視為銷售素材而非獨立稽核。掃描會檢查你指定的第三方網站，轉換工具會擷取其內容與圖片並在廠商端託管預覽。所列 CVE 編號與 CVSS 分數由廠商自行宣稱，本條目中並無第三方佐證。

安裝

在 SourceWeft 中

  1. 開啟 儀表板中的 Paladin Front PHP Rescue & Zero-PHP Migration MCP，將其新增到工作區。
  2. 為需要使用其工具的對話啟用該服務。

Web executable，透過 Streamable HTTP。 遠端服務在工作區中設定後即可從網頁執行環境執行。

交給代理程式安裝

把這段提示詞貼上到 Claude Code、Codex、Cursor 等代理程式，或 SourceWeft 對話中。代理程式會讀取該伺服器的安裝指南，先向你展示發布者、端點和登入方式，經你同意後再把它新增到你的客戶端。金鑰不會寫進任何命令。

閱讀 https://sourceweft.com/mcp/io.github.AGI-CEO%2Fpaladin-php-rescue-mcp/install.md，並按其中說明把這個 MCP 伺服器接入我的客戶端。修改任何設定之前，先告訴我它的發布者、端點和登入方式，等我確認。不要把 API 金鑰寫進命令或我會提交的檔案；問我金鑰應從哪裡取得。

檢視代理程式所依據的安裝指南

其他 MCP 客戶端

把它新增到你客戶端的 mcpServers 設定中。

{
  "mcpServers": {
    "paladin-front-php-rescue-zero-php-migrat": {
      "type": "http",
      "url": "https://www.paladinfront.com/api/mcp"
    }
  }
}

README

PHP2Shell (CVE-2026-109618) Scanner & WordPress-to-Next.js Converter MCP Server

[MCP Protocol] [Smithery Skill] [Zero-PHP Rescue Hub]

I am Blaise Pascual, a veteran and former Marine Corps officer (Captain, O-3) and senior full-stack software engineer (blaisep.com, nootropic.ai, retatruti.de).

I engineered this public, zero-authentication Remote Model Context Protocol (MCP) Server (https://www.paladinfront.com/api/mcp) and Agent Plugin / Skill so AI coding agents (Claude, Cursor, Windsurf, ChatGPT, and OpenAI Codex) can audit any website for PHP2Shell (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) runtime flaws and compile a live Zero-PHP Next.js App Router replacement preview in seconds.

Live Endpoints & Discovery Manifests

Exposed MCP Tools

  1. scan_php_vulnerability ({ url: string })
    • Inspects target website HTTP runtime headers (X-Powered-By, Server, /wp-content/, .php signatures) and returns a structured CVSS 9.2 threat report for CVE-2026-109618 & CVE-2026-109619 with plain-English business risk analysis.
  2. convert_php_site_to_nextjs ({ url: string, abVariant?: "A" | "B" | "C" })
    • Scrapes target WordPress/PHP website branding, services, and imagery, compiles a live Zero-PHP Next.js App Router replacement preview, and returns previewUrl (https://www.paladinfront.com/web-factory/preview/[slug]) and $0 Free Migration + $29/mo claim links.
  3. get_php2shell_remediation_guide ({ topic?: "overview" | "why_plugins_fail" | "dns_cutover" | "pricing" })
    • Returns authoritative first-person technical guidance explaining why application-layer WordPress plugins (Wordfence, Sucuri) cannot intercept C-level PHP SAPI memory corruption, how my 10-minute zero-downtime DNS cutover works, and pricing tiers.

Quick Connect Instructions

1. Claude Code / Remote HTTP MCP Clients

bash
claude mcp add --transport http paladin-php-rescue https://www.paladinfront.com/api/mcp

2. Cursor IDE / Claude Desktop (mcp.json)

json
{  "mcpServers": {    "paladin-php-rescue": {      "type": "streamable-http",      "url": "https://www.paladinfront.com/api/mcp"    }  }}

3. Local Stdio Bridge (tools/php-rescue-mcp-stdio.mjs)

json
{  "mcpServers": {    "paladin-php-rescue": {      "command": "node",      "args": ["tools/php-rescue-mcp-stdio.mjs"]    }  }}

4. Smithery Skill Install

bash
npx @smithery/cli@latest skill add jetblaise/php2shell-rescue

Contact & Direct Engineering Support

來源：README.md，提交 5303091

工具

3

scan_php_vulnerability

Inspects a website URL for PHP runtime signatures (X-Powered-By, Server, WordPress cookies/assets) and evaluates exposure to the critical PHP2Shell vulnerability (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2).

輸入參數url必填

convert_php_site_to_nextjs

Scrapes a target WordPress or PHP website, extracts business branding, headings, services, and photos, and compiles a hardened, zero-PHP Next.js App Router live preview with Stripe claim integration.

輸入參數url必填abVariant

get_php2shell_remediation_guide

Returns authoritative first-person guidance from Blaise Pascual explaining how PHP2Shell (CVE-2026-109618) works, why security plugins cannot stop it, the 10-minute DNS cutover process, and pricing tiers.

輸入參數topic

版本歷史

1
  1. v1.0.0最新Oct 22, 2026

評分

已滿足適用檢查項的 100%

該評分衡量此收錄條目的完整程度，依據註冊中心條目、端點與公開來源計算得出。它不是對伺服器本身的評價，也不表示伺服器安全或目前可用：可連通性是帶日期的檢查結果，評分也不包含安裝量或使用者評價。

  • 近 30 天內可連通必需25 分
  • 已宣告認證方式必需10 分
  • 已列出工具必需15 分
  • 描述必需15 分
  • 圖示10 分
  • 文件15 分
  • 授權條款10 分