PHP2Shell 更新履歴：このサイトの事実と判定ルールの変更記録

2026年10月22日に何が変わりましたか？

• 深刻度：PHP 公式のアドバイザリで、二つの脆弱性の深刻度が CVSS v4.0 でいずれも 9.2 と示されていることを確認し、各ページに反映しました。
• 暫定対策：CVE-2026-109618 向けに PHP 公式が案内している memory_limit=-1 と post_max_size の縮小を、効果と限界とともに CVE-2026-109618 の回避策に追加しました。
• 悪用状況：Cloudflare が修正公開前から攻撃の試みを観測したと報告していることを反映し、「攻撃の試みは観測、侵害の成功は未確認」に更新しました。
• 各国の公的機関：日本の国家サイバー統括室・首相・警視庁・IPA をはじめ、13 の国と地域の公的機関による公表をまとめ、トップページと php2shell 脆弱性の解説に載せました。
• 国内レンタルサーバー：エックスサーバー、さくらのレンタルサーバ、ロリポップ！、ConoHa WINGの 4 社について、PHP バージョンの確認方法と対応状況のページを追加しました。
• CVE ページ：CVE-2026-109618 と CVE-2026-109619 の冒頭に、データから自動生成する「脆弱性の基本情報」（CVSS、影響を受けるバージョンと修正版、実行方式、暫定対策、悪用状況、配布元の修正済みパッケージ、公式の情報源）を追加しました。
• WordPress：WordPress サイト運営者向けの自己チェック PHP2Shell と WordPress を追加しました。

2026年10月21日には何を公開しましたか？

• 公開：PHP 公式のセキュリティ情報をもとに、各系列の最初の修正版をまとめて公開しました。
• 脆弱性の情報：二つの公式アドバイザリ（GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp）にもとづいて、内容と対象の環境を解説しました。
• 判定ルール：PHP のバージョンと設定から、「影響を受けるバージョンです」「修正版に該当します」「配布元の修正状況を確認してください」「まだ判定できません」の 4 種類で判定する PHP バージョンチェッカーを用意しました。
• ガイド：php2shell 対処法と、サーバー会社への問い合わせ文、上司やお客様への報告文の例を公開しました。

何を記録の対象にしていますか？

PHP 公式のセキュリティ情報、OS の配布元の告知、レンタルサーバー各社の発表、各国の公的機関の公表、研究チームの報告を確認しています。事実、判定のルール、ガイドの手順を新しく加えたり直したりしたときに記録します。言い回しだけの修正は記録しません。

間違いを見つけたときは？

根拠となる情報源のリンクを添えてお知らせください。確認のうえ速やかに直し、ここに記録します。連絡先は php2shell.help についてに掲載します。最新の判定は PHP2Shell チェッカーで確認できます。