PHP2Shell.help
日本語
メニュー
PHP 8.2〜8.5 の修正版が公開済み 独立コミュニティによる情報 · 2026年10月22日 確認

PHP2Shell チェッカー / php2shell waf

PHP2Shell と WAF：各社の対応と、WAF だけでは足りない理由

2026年10月21日、複数の WAF が PHP2Shell（PHPの脆弱性）向けの対策を公開しました。Cloudflare は既定で有効、AWS WAF は自分でルールを追加、Fastly は有効化が必要な仮想パッチ、Imperva はクラウド版が既定で有効です。WAF は通過する通信の既知の攻撃を止めるだけで、完全な修正は PHP の更新だけです。

PHP2Shell.help 編集部確認日 公式の情報源 ↓

WAF で PHP2Shell は防げますか？

リスクは下げられますが、修正にはなりません。PHP2Shell（CVE-2026-109618・CVE-2026-109619）は PHP 本体の脆弱性で、PHP 公式も完全な解決策は更新だけとしています。WAF は通過する通信のうち既知の攻撃パターンを止める仕組みです。攻撃者はすでにルールを避けるよう手口を変えており、WAF を通らずにサーバーへ届く通信は検査されません。

どの WAF が PHP2Shell に対応していますか？

次の各社が PHP2Shell 向けの対策を公表しています。表の内容はすべて各社の公式発表にもとづきます（2026年10月22日 時点）。

提供元対応内容利用者の作業
Cloudflare10月21日に緊急マネージドルール 7 件とレスポンス側のルールを追加（記事）無料プランは不要。有料プランはマネージドルールセットがブロックか確認。PHP2Shell と Cloudflare
AWS WAFAWS のセキュリティ情報 2026-143で、CVE-2026-109618 向けの本文サイズ制限と CVE-2026-109619 向けのカスタムルールを案内。PHP マネージドルールグループも更新予定必要（Web ACL にルールを追加）
Fastly Next-Gen WAF両 CVE に対応するテンプレートルール（仮想パッチ）（記事）必要（テンプレートルールを有効化）
ImpervaCloud WAF は既定で保護。Elastic WAF 2.2.1、WAF Gateway V14.7／V15.5 LTS は更新後に保護（記事）Cloud WAF は不要。Elastic WAF と WAF Gateway は更新が必要
腾讯云（Tencent Cloud）WAF とクラウドファイアウォールが防御に対応、ホストセキュリティが検知に対応（通告）コンソールで有効になっているか確認

アリババクラウドはセキュリティ通告（2026年10月22日）で、Alibaba Cloud WAF やクラウドファイアウォールを使っている場合は保護を有効にしておくよう求めていますが、リスクを下げるだけで更新の代わりにはならないとしています。具体的なルールは示されていません。Akamai については、2026年10月22日 時点で公式発表を確認できていません。

AWS WAF ではどう設定しますか？

AWS はセキュリティ情報 2026-143-AWSで、補完的な対策を二つ挙げています。

  • CVE-2026-109618 向け：AWS WAF のコアルールセット（CRS）にある SizeRestrictions_BODY ルール。8KB（8,192 バイト）を超えるリクエスト本文を止めます。
  • CVE-2026-109619 向け：本文に PHP_SESSION_UPLOAD_PROGRESS を含み、本文か Cookie に PHPSESSID がある POST リクエストを止めるカスタムルール。ルールの JSON はセキュリティ情報に載っています。

AWS は、どちらも完全な対策ではないとし、PHP マネージドルールグループを更新する予定だとしています。EC2・Lightsail・Elastic Beanstalk の更新は PHP2Shell と AWS をご覧ください。

なぜ WAF だけでは足りないのですか？

理由は三つあります。

  1. 迂回される：WAF が見るのは WAF を通る通信だけです。サーバーが直接の接続も受け付けていれば、IP アドレスを知った攻撃者は WAF を通りません。
  2. 手口が変わる：Cloudflare は、修正公開前から攻撃者がルールを避けるよう内容を変えてきたと報告しています。ルールが追いつくまで、新しい手口はすり抜ける可能性があります。
  3. 脆弱性は残る：サーバーの PHP は脆弱なままで、別の経路から届けば攻撃は成立し得ます。

WAF 以外に何をすればいいですか？

PHP を系列ごとの修正版に更新してください。

系列最初の修正版
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
8.1 以前新しいリリースなし（7.4・8.0・8.1 は公式ソースパッチあり）

PHP2Shell チェッカーでバージョンを確認し、php2shell 対処法の手順で更新します。更新できるまでは、WAF と CVE-2026-109618 回避策の公式の暫定対策を組み合わせてください。情報が漏れた後に WAF を入れても、それ以前の侵入は消えません。侵害の確認方法も確認してください。

WAF があれば PHP の更新は不要ですか？

不要にはなりません。ここに挙げた各社とも WAF を補完的な対策と位置づけており、PHP 公式も完全な解決策は更新だけとしています。WAF で時間を稼ぎ、PHP を更新してください。

WAF のルールでサイトが動かなくなることはありますか？

あります。AWS が案内するリクエスト本文のサイズ制限は 8KB を超える本文を止めるため、大きなフォームやアップロードが使えなくなります。可能ならまずカウント（ログ）モードで試し、ブロックに切り替えた後も止めた通信を確認してください。

PHP2Shell の影響をチェック

サイトが使っている PHP のバージョンを入力してください。系列ごとの最初の修正版と比べ、次にすべきことを表示します。

PHP2Shell チェッカー →

情報源

このページの主要な事実（修正版、CVE の内容、配布元のパッケージ、公的機関の呼びかけ）は公式の情報源にもとづいています。研究者の報告、報道、コミュニティの投稿はそれぞれ区別して表示しています。