PHP2Shell の対処法：PHP を修正版へ更新して確認するまで

PHP2Shell の修正版はどのバージョンですか？

表は各系列で最初に修正されたバージョンです。これ以降のバージョンであれば修正が含まれます。PHP 8.1 以前の古い系列には新しい公式リリースはありません。PHP 公式は 7.4・8.0・8.1 向けに最小限のソース修正を公開していますが、保守の再開ではありません（PHP サポート終了版と php2shell）。

配布元のパッケージは、PHP の表示番号が古いままでも修正済みの場合があります。

自分の環境ではどの手順を選べばいいですか？

PHP をどこから入れているかで手順が変わります。

• レンタルサーバー：更新はサーバー会社が行います。下の「レンタルサーバーを使っている場合」を見てください。各社の状況はエックスサーバー、さくら、ロリポップ！、ConoHa WINGのページにあります。
• cPanel・Plesk：cPanel・Plesk の PHP バージョン変更
• Ubuntu・Debian の VPS：Ubuntu の PHP アップデート
• Docker：Docker の PHP イメージ
• 古い PHP や自分でビルドした PHP：PHP サポート終了版と php2shell

レンタルサーバーを使っている場合は何をすればいいですか？

レンタルサーバーでは、PHP 本体を直すのはサーバー会社です。利用者がやることは次の三つです。

1. サーバー会社のお知らせと公式 X を確認する：PHP2Shell への対応が完了したか、利用者側で切り替えが必要かを確認します。
2. ドメインの PHP バージョンを確認する：ドメインごとに PHP を選ぶ方式なら、修正済みのバージョンが選べるようになったら切り替えます。
3. 切り替え後に確認する：WordPress のサイトヘルスや管理画面で、PHP のバージョンが変わったことを確かめます。

管理画面が予防的に止まっている場合、慌てて別の操作をする必要はありません。再開の告知を待ってください。

告知の内容は会社によって違います。たとえばカゴヤ（KAGOYA）は、CVE 番号を明記した告知で、レンタルサーバー（PHP 8.2〜8.5）は修正版を確認したうえで順次アップデートして対応する予定とし、一部のプランを影響の調査対象に加え、ほかのプランやバージョンは対応を検討中としていました（10月21日時点の告知）。自分の契約しているプランと PHP の系列が、告知の対象に含まれているかを確認してください。

サーバー会社への問い合わせ文はありますか？

そのままコピーして使えます。[ドメイン] の部分を書き換えてください。

件名：PHP2Shell（CVE-2026-109618／CVE-2026-109619）の対応状況について

いつもお世話になっております。 [ドメイン] を御社のサーバーで運用しております。

PHP 公式から PHP2Shell と呼ばれる脆弱性の修正版が公開されたため、以下についてご教示いただけますでしょうか。

1. 当サイトで使用している PHP のバージョン
2. 修正版（8.2.35、8.3.36、8.4.27、8.5.12 以降）または修正を含むパッケージへの更新が完了しているか
3. 利用者側でバージョンの切り替えなどの操作が必要か
4. 未対応の場合、対応予定の時期

よろしくお願いいたします。

更新するとサイトが動かなくなりませんか？

同じ系列の中での更新（例：8.3 系の古いバージョンから 8.3.36 へ）は、修正だけのリリースなので、問題が起きることはまれです。系列をまたぐ更新（例：7.4 から 8.3 へ）は、古いプラグインやテーマが動かなくなることがあります。事前にバックアップを取り、可能ならステージング環境で確認してから切り替えてください。

更新後は、トップページだけでなく、ログイン、問い合わせフォーム、アップロード、決済など主な機能も確認しましょう。

更新後に何を確認すればいいですか？

• ワーカーの再起動：PHP-FPM や Apache は、再起動するまで古い PHP のまま動きます。
• Web 側のバージョン：コマンドラインの php -v は Web 側と違う場合があるため、サイトヘルスや管理画面で確認し、PHP バージョンチェッカーで判定します。
• すべてのサイト・コンテナ：一つのサイトが直っても、ほかのサイトが直ったとは限りません。
• 侵入の痕跡：更新が遅れた場合は、サイト改ざん・侵害の確認方法で確認します。

すぐに更新できない場合は？

暫定対策で一部の攻撃経路を止めることはできますが、修正の代わりにはなりません（CVE-2026-109618 の回避策）。国家サイバー統括室（NCO）は、修正をすぐに適用できない場合、Web サイトの一時停止もリスクを下げる有効策の一つだとしています。

上司やお客様への報告文はありますか？

確認できたことと、まだ確認できていないことを分けて伝えるのが基本です。

PHP2Shell（PHP 本体の脆弱性）への対応状況をご報告します。 確認範囲：[サイト・サーバー名] 現在の PHP：[バージョン]（[確認方法]で確認） 修正の状況：[修正版へ更新済み／サーバー会社の対応待ち／未対応] 根拠：[サーバー会社のお知らせ、パッケージ番号など] 過去の侵入の確認：[未調査／調査中／異常なし] 次回のご連絡：[日時]

「すべて安全です」とは書かず、確認した範囲を明記してください。全体の状況は PHP2Shell チェッカーのトップページで確認できます。