<?php 独立した PHP セキュリティチェック
お使いの PHP は PHP2Shell の影響を受けますか？
PHP 本体にある 2 件の重大な脆弱性により、リモートからコードを実行される可能性があります。これらは 2026 年 10 月 21 日に修正されました。ウェブサイトが PHP バージョンについて何を公開しているかを確認するか、バージョン文字列を貼り付けてください。具体的な対処方法をご案内します。
- パッシブ：通常のリクエスト 1 回のみ、攻撃なし
- 無料・登録不要・広告なし
- php.net と公式アドバイザリに基づく
2バージョンを確認
お使いのブラウザー内で判定され、当方には何も送信されません。1 行に 1 バージョン、最大 20 件です。
01 · php.net · 2026-10-23
修正済みバージョン
| ブランチ | 修正バージョン | ブランチの状態 |
|---|---|---|
| PHP 8.5 | 8.5.12 | アクティブサポート中 |
| PHP 8.4 | 8.4.27 | アクティブサポート中 |
| PHP 8.3 | 8.3.36 | セキュリティ修正のみ |
| PHP 8.2 | 8.2.35 | セキュリティ修正のみ — 2026 年 12 月 31 日にサポート終了 |
| PHP 8.1 · 8.0 · 7.x · 5.x | 公式リリースなし | サポート終了 — PHP プロジェクトからのリリースなし |
出典：php.net セキュリティアドバイザリ（2026 年 10 月 21 日）。最終確認日 2026-10-23。
PHP2Shell とは？
PHP2Shell は、PHP エンジンにある 2 件の脆弱性に研究者が付けた名称です。CVE-2026-109618（リクエストの解析中に PHP がメモリ不足になった際のメモリ破損）と CVE-2026-109619（同じワーカー上で、あるリクエストの内部状態が次のリクエストまで残る問題）です。いずれも CVSS v4.0 で 9.2 と評価されています。
認証されていない攻撃者が、サーバー上でコードを実行したり、コードを一切実行せずにPHP プロセスのメモリを読み取ったりできます。メモリには、他のリクエストに属するパスワード、セッショントークン、API キー、証明書が含まれます。php.net によると、ウェブリクエストを処理する PHP、つまり PHP-FPM、mod_php を使う Apache、php-cgi、FrankenPHP、LiteSpeed が影響を受けます。研究者は WordPress、Drupal、Joomla への攻撃を実証しましたが、特定のアプリケーションは必要ありません。影響を受ける PHP 上であれば、単純な「Hello World」ページでも危険にさらされます。
今すぐ行うこと
- 8.5.12、8.4.27、8.3.36 または 8.2.35、あるいはディストリビューションの修正済みパッケージに更新します。
- PHP-FPM、Apache、キューワーカー、コンテナなど、すべての PHP プロセスを再起動します。再起動するまで更新は有効になりません。
- サーバー上のすべての PHP を確認します。コントロールパネルは複数のバージョンを並行してインストールしていることがよくあります。
02 · shell
サーバー上で直接確認する
ウェブサイトのチェックでは、サーバーが公開している情報しか見えません。サーバー上で次のコマンドを実行すると、正確な答えが得られます。
# デフォルトの PHP のバージョン
php -v
# パネルやパッケージがインストールした他の PHP バージョン
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# 部分的な緩和策に関連する設定
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# サイトが訪問者に公開している情報
curl -sI https://your-site.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
よくある質問
影響を受ける PHP バージョンは？
サポート対象ブランチでは、8.5.12、8.4.27、8.3.36、8.2.35 より前のすべてのバージョンです。PHP 8.1 以前はサポートが終了しており、PHP プロジェクトからのリリースはありません。ベンダーがバックポートされた修正を確認しない限り、影響を受けるものとして扱ってください。
サイトに PHP バージョンが表示されません。安全ですか？
必ずしもそうではありません。バージョンを隠すこと（expose_php = Off）は良い習慣ですが、何かを修正するわけではありません。サーバー上で php -v を実行するか、プロバイダーにお問い合わせください。
チェッカーには古いバージョンが表示されますが、ホスティング会社は修正済みだと言います。どちらが正しいのですか？
どちらも正しい可能性があります。Debian、Ubuntu、RHEL などの Linux ディストリビューションは、バージョン番号を変えずにセキュリティ修正をバックポートすることがよくあります。どのパッケージビルドがインストールされているか、その変更履歴に CVE-2026-109618 と CVE-2026-109619 が記載されているかをホスティング会社にお問い合わせください。
WordPress、Laravel や使用中の CMS は影響を受けますか？
脆弱性は PHP 本体にあるため、影響を受ける PHP 上で動くすべてのアプリケーションが危険にさらされます。研究者は WordPress、Drupal、Joomla に対する認証不要の攻撃を実証しましたが、それらは例にすぎません。単純な「Hello World」ページでも十分です。WordPress やプラグインを更新するだけでは解決しません。PHP を更新する必要があります。
コードが実行されなくてもデータは漏えいしますか？
はい。CVE-2026-109619 は、攻撃者がコードを実行しなくても、PHP プロセスのメモリ、つまり他のリクエストのパスワード、セッショントークン、API キー、証明書を漏えいさせる可能性があります。このような漏えいはファイルを残さず検出が難しいため、影響を受けるバージョンでインターネット上に公開されていたサイトの秘密情報は変更してください。