サポート終了の PHP は PHP2Shell の影響を受けますか？
受けます。Wiz は、PHP2Shell のうち少なくとも一つの問題が PHP 5.4 まで遡ると報告しています。古い PHP だから対象外、ということはありません。むしろ、ほかの既知の脆弱性も修正されないまま残っているため、危険はより大きいと考えてください。
PHP 7.4・8.0・8.1 に修正版はありますか？
新しい公式リリースはありません。修正版が出ているのはサポート中の系列だけです。
| 系列 | 最初の修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 以前 | 新しいリリースなし（7.4・8.0・8.1 は公式ソースパッチあり） |
ただし、PHP 公式は深刻さを考慮して、7.4・8.0・8.1 向けに最小限のソース修正（バックポート）を公開しています。これは自分でビルドする人などに向けたもので、保守の再開や、すべての古い系列への対応を意味するものではありません。
配布元のパッケージなら修正されていますか？
場合によります。Ubuntu などの配布元は、サポート期間中の OS に入っている古い系列の PHP にも、修正を取り込んだパッケージを出すことがあります。
| 配布元 | リリース | パッケージ | 修正済みパッケージ | 状況 |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | 修正済み |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | 修正済み |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | 修正済み |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | 修正済み |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | 修正済み |
| Docker Official Images | — | php | — | 未確認 |
| 宝塔 | — | PHP | — | 未確認 |
| XServer | — | PHP | — | 未確認 |
| ConoHa WING | — | PHP | — | 未確認 |
| ロリポップ！ | — | PHP | — | 未確認 |
| 1Panel | — | 1panel/php | — | 未確認 |
2026年10月21日〜2026年10月22日に確認。
配布元の修正済みパッケージなら、PHP の表示番号は古いままでも修正が入っています。OS のバージョン、パッケージの提供元、パッケージのバージョンを配布元の告知と照らし合わせてください。手順は Ubuntu の PHP アップデートにあります。
自分でビルドした PHP はどうすればいいですか？
公式告知からたどれるソース修正を当ててビルドし直すか、サポート中の系列の修正版をビルドします。ビルドの設定や拡張機能によって手順が違うため、このサイトでは共通のインストール手順は示しません。
修正したら、ソースのリビジョン、当てた修正、ビルドと配置の記録を残してください。PHP の表示番号が変わらないことがあるため、記録が修正の証拠になります。最後に PHP-FPM や Apache を再起動し、Web 側で新しい PHP が動いているか確認します。
サポート中の系列へ移行するときの注意点は？
7.4 から 8.x のように系列をまたぐと、古いプラグインやテーマ、独自のコードが動かなくなることがあります。
- サイト全体のバックアップを取ります。
- ステージング環境で新しい系列に切り替え、主な機能を確認します。
- 問題がなければ本番を切り替えます。
- 切り替え後、Web 側の PHP のバージョンを確認します。
移行にすぐ取りかかれない場合は、php2shell 回避策の限界を理解したうえで、サイトの一時停止も検討してください。
レンタルサーバーで古い PHP を使っている場合は？
管理画面で PHP のバージョンを選べる場合は、サポート中の系列の修正版へ切り替えましょう。切り替え前にバックアップを取り、WordPress なら事前にプラグインの対応状況を確認します。各社の手順は php2shell 対処法からたどれます。自分のサイトの状況は PHP2Shell チェッカーで確認できます。
根拠となる情報は？
- The PHP Group: セキュリティアドバイザリ
- The PHP Group: Supported Versions
- The PHP Group: ダウンロード
- Canonical: USN-8948-1
情報源
このページの主要な事実（修正版、CVE の内容、配布元のパッケージ、公的機関の呼びかけ）は公式の情報源にもとづいています。研究者の報告、報道、コミュニティの投稿はそれぞれ区別して表示しています。
- Security advisory: Critical remote code execution vulnerabilities, update now公式 The PHP Group
- Supported Versions公式 The PHP Group
- Installation on Unix systems公式 The PHP Group
- Downloads & Installation Instructions公式 The PHP Group
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet研究 Wiz Research
- USN-8948-1: PHP vulnerabilities事業者 Canonical