PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
サイトが使う PHP を調べる
WordPress は「ツール > サイトヘルス > 情報 > サーバー」。管理パネルでは既定値でなく対象ドメインの PHP ハンドラーを確認します。SSH では php -v と実際の FPM/Apache やコンテナーを比較します。サイト、CLI、レプリカで異なる場合があります。phpinfo ページは公開しないでください。
バージョンを確認 →ホスティング事業者への確認文
当ドメインの Web PHP が CVE-2026-109618 と CVE-2026-109619 の両方を修正済みか確認してください。完全なパッケージ／ビルド番号、ベンダー公告または変更履歴、全 FPM/Apache ワーカー、レプリカ、常駐プロセスの交換または再起動記録が必要です。保存済みアクセス、PHP、プロセスログの不審な活動も調査できますか。一次資料と関連情報
PHP security team原文を読む ↗CVE-2026-109618原文を読む ↗CVE-2026-109619原文を読む ↗php2shell.uk原文を読む ↗研究解説と実用ガイド
PHP2Shell ツール
公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
01PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
02攻撃の試行か、侵入成功か
異常な multipart や WAF 警告は試行の可能性があります。OOM、SIGSEGV/SIGABRT、HTTP 500 増加には通常の障害原因もあります。予期しない PHP 子プロセス、外部接続、ファイル変更、不正アカウントは要調査です。メモリー漏えいは Webshell やファイルを残さない場合があり、ファイル検査の正常結果では否定できません。
03変更前に証拠を保存する
発見時刻、ドメイン、インスタンス、実行環境、症状、最後の信頼できる状態を記録します。原本ログとタイムゾーン、クラウド監査、許可されたスナップショットを保存し、コピーのアクセスを制限してハッシュを記録します。Cookie、トークン、顧客情報を公開スキャナーに送らず、保存前にログや不審ファイルを消さないでください。
04Wiz と Calif を正確に読む
研究は要求をまたいで残る欠陥を説明します。CVE-2026-109618 は mod_php RCE を実証、FPM はソース解析による影響判断で、この CVE の完全な FPM 攻撃実証はありません。CVE-2026-109619 はアプリ依存の FPM upload-progress 経路を別に確認しています。SAPI ごとの証拠は対応 GHSA で確認してください。
05Cloudflare：応答も確認する理由
Cloudflare は要求と origin 応答を組み合わせ、疑わしい応答を漏えい前に遮断する仕組みを説明します。Shell がなくても有効な観点です。過去の導入時刻は利用中アカウントの保証ではありません。ルール、経路、例外、イベントを確認し、直接 origin とプロキシ外のホストも修正してください。