PHP2Shell（PHP の重大な脆弱性）：影響チェックと今やること

PHP2Shell について、まず何を知っておくべきですか？

PHP2Shell とは何か、誰が注意を呼びかけているか、何が確認済みで何が未確認かをまとめます。

サイトを持っていない一般の人も何かする必要がありますか？

PHP2Shell は、Web サイトを動かしているサーバー側の問題です。ネットを見るだけの人が、スマホやパソコンの電源を切ったり、Wi-Fi を止めたり、アプリを削除したりする必要はありません。家庭のルーターや手元の端末を更新しても、この脆弱性は直りません。

パスワードは、利用しているサービスから「パスワードを変更してください」と案内があった場合に、そのサービスの正規サイトで変更すれば十分です。PHP2Shell をきっかけにすべてのパスワードを一斉に変える必要はありません。

注意したいのは、この騒ぎに便乗した詐欺です。「PHP の脆弱性で緊急対応が必要」「アカウントを確認してください」といったメールや SMS のリンクは開かないでください。政府機関の名前をかたる不審なメールについては、国家サイバー統括室も注意を呼びかけています。

日本政府や公的機関はどう呼びかけていますか？

国家サイバー統括室（NCO）は公式 X で、PHP の修正版が公開されたとして速やかな適用を呼びかけ、修正をすぐに適用できない場合はWeb サイトの一時停止もリスクを下げる有効策の一つだとしています。高市首相も X で、PHP を使っているかの確認と修正の適用、必要なら一時停止を検討するよう呼びかけました。

警視庁サイバーセキュリティ対策本部も X で修正の適用に備えるよう呼びかけました。IPA は Web サイトに掲載した事前準備のお願いで、自社のサービスや製品で PHP が使われているかを棚卸しし、サポートが終わった PHP の使用をやめ、修正が公開されたら速やかに適用するよう求めています（IPA はサービスの停止までは求めていません）。なお、JPCERT/CC の PHP2Shell に関する注意喚起は、本サイトの確認時点では見当たりませんでした。

呼びかけの対象は、サイトやサービスを運営する企業・団体・個人です。一般の利用者に端末での操作を求めるものではありません。

PHP2Shell とはどんな脆弱性ですか？どれくらい危険ですか？

PHP2Shell は、PHP 本体に見つかった二つの脆弱性の通称です。一つはメモリ不足で処理が中断されたときの後始末の問題（CVE-2026-109618）、もう一つはリクエストが終わった後に残った古い状態が次のリクエストで使われる問題（CVE-2026-109619）です。

どちらも、条件がそろうと外部からサーバー上で任意のコードを実行される（サイトを乗っ取られる）おそれがあります。PHP 公式のアドバイザリでは、深刻度は二つとも CVSS v4.0 で 9.2（10 点満点）と評価されています。PHP 公式は、Apache の mod_php 構成を最もリスクが高いとし、アプリの処理より前に届く攻撃経路を確認しています。ただし、実際に攻撃が成立するかは PHP のバージョンや設定、アプリによって変わります。詳しくは php2shell 脆弱性の解説をご覧ください。

もう攻撃は始まっていますか？「修正公開から15分で侵害される」は本当ですか？

攻撃の試みは観測されています。Cloudflare は、修正が公開される前から PHP2Shell を狙った攻撃の試みを観測したと報告しています。一方で、攻撃による侵害が成功したことは、本サイトの確認時点（2026年10月22日）では確認されていません。

「修正公開から15分で侵害される」という話は、本サイトが確認した情報源では裏付けられていません（未確認）。Sansec は大規模な悪用が起きると予想していますが、時期は示していません。

侵害の成功が確認されていないことは、安全の証明ではありません。更新を先延ばしにしないでください。また、SNS などで出回る「攻撃コード」や「スキャナー」は、出どころが分からないものを実行しないでください。

最近相次いでいる情報漏えいは PHP2Shell が原因ですか？

現時点で、国内の情報漏えい事案と PHP2Shell を結びつける根拠は確認されていません。JPCERT/CC や IPA は、PHP2Shell の公表より前から国内組織で相次ぐ不正アクセスについて注意喚起を出していました。原因は事案ごとに異なります。各社の公式発表を確認し、推測で結びつけないようにしてください。

PHP2Shell と wp2shell は同じものですか？

違います。wp2shell は WordPress 本体の別の脆弱性で、WordPress の更新で修正されます。PHP2Shell は PHP 本体の脆弱性で、PHP の更新が必要です。WordPress を使っている場合は、両方が最新になっているか確認してください。

自分のサイトは PHP2Shell の影響を受けますか？

サイトで実際に動いている PHP を確認し、修正版と比べます。

自分のサイトが PHP2Shell の対象か、どう確認しますか？

サイトで実際に動いている PHP のバージョンを確認し、下の修正版と比べます。WordPress なら管理画面の「ツール → サイトヘルス → 情報 → サーバー」で PHP のバージョンが分かります。レンタルサーバーなら管理画面の PHP 設定でも確認できます。

確認した番号をこのページ上部の PHP2Shell チェッカーに入力すると、「影響を受けるバージョンです」「修正版に該当します」「配布元の修正状況を確認してください」「まだ判定できません」のどれに当たるかを表示します。確認方法の詳細は PHP バージョン確認方法にまとめています。

WordPress を使っています。プラグインやテーマの更新で直りますか？

直りません。PHP2Shell は WordPress ではなく、その下で動いている PHP 本体の問題です。WordPress 本体やプラグインを最新にしても、PHP のバージョンは変わりません。サイトヘルスで PHP のバージョンを確認し、PHP 自体を更新してください。手順は WordPress の PHP バージョン確認にあります。

メンテナンスモードのプラグインも、PHP が動いた後に表示を切り替えるものなので、この脆弱性への対策にはなりません。

WordPress 向けの詳しい確認方法は PHP2Shell と WordPress をご覧ください。

サイトの URL を入力してオンラインで調べられますか？

このサイトでは URL を入力するスキャンは提供していません。サーバーの応答ヘッダーは PHP のバージョンを隠していたり、実際と違ったりすることが多く、正確に判定できないためです。また、他人のサイトに勝手にリクエストを送ることもしません。サイトヘルスやサーバーの管理画面で確認した PHP のバージョンを、PHP バージョンチェッカーに入力してください。

すでに侵害されていないか、どう確かめればいいですか？

PHP を更新しても、更新前に侵入されていた場合は痕跡が残ります。見覚えのない管理者アカウント、アップロード用フォルダにある PHP ファイル、最近変更されたファイルなどを確認してください。手順は サイト改ざん・侵害の確認方法にあります。

PHP2Shell はどう直せばいいですか？

PHP を修正版、または配布元の修正済みパッケージに更新し、PHP を再起動します。

修正版はどのバージョンですか？

この表は各系列で最初に修正されたバージョンです。これ以降のバージョンなら修正が含まれています。Ubuntu や Debian のパッケージは、PHP の表示番号が古いままでも修正済みの場合があります。修正の手順は php2shell 対処法を見てください。

レンタルサーバーを使っています。何をすればいいですか？

レンタルサーバーでは、PHP 本体を修正するのはサーバー会社です。利用者は、各社のお知らせで修正の適用状況を確認し、ドメインごとに PHP のバージョンを選ぶ方式なら、修正済みのバージョンへ切り替えます。

10月21日には、エックスサーバーが予防的な安全対策として管理画面などへのアクセスを、ロリポップ！が PHP の重大な脆弱性への予防措置としてユーザー専用ページなどを、一時停止すると発表しました。管理画面に入れなくても、慌てて別の操作をする必要はありません。各社の公式発表を待ち、再開後に PHP のバージョンを確認してください。国内各社が PHP2Shell の修正を適用し終えたかどうかは、本サイトではまだ確認できていません。

• エックスサーバーの PHP バージョンと対応状況
• さくらのレンタルサーバの PHP バージョンと対応状況
• ロリポップ！の PHP バージョンと対応状況
• ConoHa WING の PHP バージョンと対応状況

PHP 7.4 や 8.1 などの古いバージョンはどうなりますか？

PHP 8.1 以前は公式のサポートが終わっており、PHP2Shell の修正を含む新しいリリースは出ません。ただし PHP 公式は、深刻さを考慮して PHP 7.4・8.0・8.1 向けに最小限のソース修正を公開しています。自分でビルドする人向けのもので、保守の再開ではありません。サポート中の系列へ移行するのが基本です。詳しくは PHP サポート終了版と php2shellにまとめています。

上司やお客様、サーバー会社にはどう伝えればいいですか？

確認したサイト、動いている PHP のバージョン、修正の根拠、まだ確認できていないことを分けて伝えるのが基本です。サーバー会社への問い合わせ文と報告文の例は php2shell 対処法に用意しています。

すぐに PHP を更新できない場合はどうすればいいですか？

暫定対策は特定の攻撃経路への露出を減らすだけで、修正ではありません。

Cloudflare や WAF を使っていれば安全ですか？

安全とまでは言えません。Cloudflare は WAF の利用者向けに既定の防御ルールを導入したと発表していますが、サーバーの PHP が古いままであることに変わりはありません。WAF は時間を稼ぐための暫定対策で、PHP の更新が必要です。

session.upload_progress を無効にすれば十分ですか？

十分ではありません。PHP 公式によると、この設定は確認済みの攻撃経路の一部を止めるだけです。PHP 公式は memory_limit や post_max_size の調整など、ほかの暫定対策も案内していますが、どれも修正の代わりにはなりません。しかも、リクエストを処理する前に有効になっている必要があり、ワーカーの再起動も必要です。詳しくは php2shell 回避策をご覧ください。

PHP 公式の告知は「only an update is a complete solution」（完全な解決策は更新だけ）と明記しています。—— PHP セキュリティ告知