PHPセキュリティ脆弱性チェックツール（オンライン）
2026年10月21日、PHP自体に存在する2つの重大な脆弱性 — CVE-2026-109618 と CVE-2026-109619（いずれも CVSS 9.2）— により、ヨーロッパと日本各地で政府機関のウェブサイトがオフラインになりました。日本の高市早苗首相はXに緊急の警告を投稿しました：自分のサイトがPHPで動いているかを確認し、今夜中にパッチを適用するか、適用できるまでサイトを停止してください。この無料チェッカーは、あなたのサイトが公開しているPHPのバージョンを読み取り、現在の状況をお知らせします。
今すぐサイトをチェック
読み取り専用のチェックです：あなたのサイトの公開レスポンスヘッダーを読み取り、公開されたphpinfoページがないかを確認したうえで、検出されたPHPのバージョンを修正済みリリースと比較します。攻撃リクエストを送信することは決してなく、何も保存しません。ご自身が所有する、またはテストの許可を得たウェブサイトのみをチェックしてください。
Deep Website Check · $4.99 · どなたでも
PHP のバージョンだけでなく、全体像を知りたい方へ
この無料チェックが読み取るのは、サイトの PHP バージョンと公開フィンガープリントだけです。Deep Website Check はその先の完全な深掘りです。PHP とプラットフォームのフィンガープリント、TLS 証明書チェーンの全体、実際のブラウザがホームページで見るもの、セキュリティヘッダーを網羅したウェブサイトの完全レポート（オンライン版と PDF）を、納品前に人がレビューしてお届けします。1回 $4.99、どなたでもご利用いただけます（メールアドレスごとに月10回まで）。
Deep Website Check を申し込む — $4.99何が起きたのか
PHPのセキュリティチームは、計画されていた公開に先立って詳細が漏えいしたことを受け、2026年10月20日–21日にかけて2つの重大な脆弱性を発表しました。どちらの欠陥もPHPインタプリタのリクエスト処理に存在するため、攻撃者はアプリケーションコードが実行される前に、脆弱なサーバー上でコードを実行できます — ログインもパスワードも不要で、単純なテストページに対しても機能します。この2つはすぐに PHP2Shell というニックネームで呼ばれるようになりました。修正版は10月21日にリリースされ、Cloudflareは同日に初期の攻撃の試みを報告しました。オランダ政府とフィンランド政府、日本のニコニコ、ピクシブ、DMMをはじめ、多くの事業者が、待つよりもサービスをオフラインにするか緊急メンテナンスに入ることを選びました。PHPは、サーバーサイド言語を特定できるウェブサイトのおよそ4分の3を支えています — すべてのWordPress、Drupal、Joomla、Magentoサイトを含みます。
出典： Datadog Security Labsの分析、Ubuntuのphp2shellアドバイザリ、TenableのFAQ、そして 首相の警告に関するロイターの報道。
修正済みバージョン
パッチの適用こそが唯一の本当の修正です — オンラインで出回っている設定上の小手先の対策（セッションのアップロード進捗を無効化するなど）では守れません。これはDatadogの再現実験で確認されています。
| お使いのPHPブランチ | 修正済みリリース（2026年10月21日） | それ未満の場合の状態 |
|---|---|---|
| 8.5.x | 8.5.12 | 脆弱性あり |
| 8.4.x | 8.4.27 | 脆弱性あり |
| 8.3.x | 8.3.36 | 脆弱性あり |
| 8.2.x | 8.2.35 | 脆弱性あり |
| 8.1.x 以前（7.x、5.x を含む） | — | 脆弱性ありかつサポート終了です：公式パッチは提供されません。修正済みの 8.2+ リリースへアップグレードしてください（一部の Linux ディストリビューションは自社パッケージに修正をバックポートしています — パッケージのバージョンをご確認ください）。 |
今すぐ行うべきこと
- PHPのバージョンを確認してください。 上のチェッカーを実行するか、サーバーで
php -vを実行するか、ホスティングの管理パネルで確認するか、プロバイダーにお問い合わせください。 - 修正済みリリース未満の場合は、今日中にパッチを適用してください。 共有ホスティングではプロバイダーのみがこれを行えます — 今すぐ連絡し、どのバージョンへ移行してもらえるか確認してください。
- すぐにパッチを適用できませんか？ 一時的にオフラインにしてください。 これは10月21日に日本の首相と複数の国のサイバーセキュリティ機関が明示的に示した助言です：短時間の計画的な停止は、開かれたままのサーバーよりましです。
- 公開されているphpinfoページを削除してください（phpinfo.php、info.php）。あなたのサーバーの完全な設定を、求める人すべてに出力してしまいます。
- 確認してください。 更新後、
php -vで確認し、このチェックを再実行してください。
このチェックで分かること — そして分からないこと
このチェックはリモートからの推定であり、その限界について正直にお伝えします。サーバーがPHPのバージョンを通知している場合（X-Powered-By ヘッダーで通知しているサーバーは多くあります）や、phpinfoページを公開している場合、判定は正確です。バージョンが隠されている場合、チェックは推測するのではなく、その旨をお伝えします — バージョンが隠されていることは安全の証明ではありません。確実なテストはサーバー自体で行うしかありません。バージョンにLinuxディストリビューションのパッケージ接尾辞が付いている場合、チェックは脆弱であると断定するのではなく、バックポートの問題を指摘します。サイトの前にCDNがある場合もシグナルが取り除かれることがあります。その場合はオリジンサーバーをチェックしてください。
質問に率直にお答えします
PHP2Shellとは何ですか？
PHP2Shellは、PHP自体に存在する2つの重大な脆弱性 — CVE-2026-109618 と CVE-2026-109619 — のニックネームで、2026年10月21日に公開されました。どちらも CVSS 9.2 のスコアで、攻撃者はログインすることなくウェブサーバー上でコードを実行できます。欠陥はPHPインタプリタにあるため、影響を受けるPHPバージョンで動作するすべてのサイトが、WordPress、Drupal、Joomla、Magento、あるいは1行のテストページなど、何で構築されていても露出します。アプリケーションのログインやパスワードでは攻撃を防げません。修正できるのはPHPの更新だけです。
どのPHPバージョンが脆弱で、どれが修正済みですか？
修正済みのアップストリームリリース（2026年10月21日）：PHP 8.2.35、8.3.36、8.4.27、8.5.12。これらのブランチのそれより古いリリースはすべて脆弱です。PHP 8.1 およびそれ以前（5.x まで遡ります）も影響を受けますが、サポート終了です — PHPはそれらのブランチにパッチを提供しないため、そちらの修正はサポート対象の修正済みリリースへ移行することです。一部のLinuxディストリビューションは、アップストリームのバージョン番号を変更せずに自社パッケージへ修正をバックポートしています。ディストリビューションのPHPパッケージをお使いの場合は、パッケージの完全なバージョンをディストリビューションのアドバイザリと比較してください。
私のサイトはWordPressです。WordPressの更新で修正されますか？
いいえ。WordPressの更新が修正するのはWordPressであり、この欠陥はWordPressが動作する言語であるPHPにあります。PHPのバージョンはサーバーまたはホスティングプランによって決まります。ホストがPHPを更新した場合（または、そのオプションがある場合はホスティングパネルでPHPのバージョンを切り替えた場合）にのみ変わります。ホスティングプロバイダーに、あなたのサイトがどのPHPバージョンで動作しているか、そして修正済みリリース以上かどうかをお問い合わせください。
チェッカーでPHPのバージョンが隠されていると表示されました。安全ですか？
必ずしもそうではありません。バージョンを隠すことは良い衛生管理ですが、それはリモートチェックからバージョンが見えないという意味にすぎません — 安全なサーバーと脆弱なサーバーは外部からはまったく同じに見えます。その場合の正直な判定は「リモートでは確認できない」です。サーバー自体で確認してください：php -v を実行するか、ホスティングパネルを見るか、プロバイダーに問い合わせたうえで、上の修正済みバージョンと比較してください。
このチェッカーは私のサイトをハッキングしようとしますか？
いいえ。通常の読み取り専用リクエストのみを送信します：サーバーがすべての訪問者にすでに表示しているレスポンスヘッダーを読み取り、phpinfoページ — 公開されるべきではない診断ページ — に到達できるかどうかを確認します。そのページは正確なバージョン（そして公開したくない多くの情報）を出力するからです。攻撃リクエストを送信することは決してなく、攻撃ペイロードを投稿することもなく、あなたのサイトについて何も保存しません。
チェッカーでは脆弱と出るのに、ホストはパッチ適用済みだと言います。どちらが正しいのですか？
ホストが正しい可能性があります。DebianとUbuntuは、元のアップストリームのバージョン番号を維持したまま、自社のPHPパッケージにセキュリティ修正をバックポートします。そのため、「PHP 8.3.6」と報告するサーバーでも、パッケージのリリースが十分に新しければ、すでに修正を含んでいる場合があります（Ubuntuは2026年10月21日に修正済みパッケージを公開しました）。このチェッカーは、虚偽の警告を出すのではなく、そのケースを明示的に指摘します。決め手となるのはパッケージの完全なバージョンです — ホストに問い合わせるか、サーバーのパッケージマネージャーで確認してください。
今すぐ何をすべきですか？
1）PHPのバージョンを確認する（このチェッカー、php -v、またはホスト）。2）お使いのブランチの修正済みリリース未満であれば、今日中にPHPを更新する — またはホストに更新してもらう。3）すぐにパッチを適用できない場合は、2026年10月21日に日本の首相と複数の国のサイバーセキュリティ機関が示した助言に従い、パッチが適用されるまで一時的にサイトをオフラインにするか、アクセスを制限する。4）公開されているphpinfoページを削除する。5）パッチ適用後、php -v で確認し、このチェックを再実行する。
作業全体をあなたのAIアシスタントに任せませんか？
PHP2Shell Vulnerability Checkスキルは、あなたのAIアシスタントを通じてこの同じチェックを実行し、バージョンが隠されているケースやディストリビューションのバックポートのケースをあなたと一緒に処理し、1ページの所有者向けレポートを作成したうえで、パッチの適用と再チェックを、サイトが修正済みと確認できるまで順を追って進めます。
スキルを入手する — $4.99