Drupal の PHP2Shell 対策には PHP 実行環境の修正が必要です。アプリのバージョンは互換性の調査に役立ちますが、悪用の可否や両 CVE の修正を証明するものではありません。
Drupal - PHP2Shell 修正に必要な PHP 互換性
| 対象リリース例 | 宣言されたPHP要件 | 宣言に一致する修正候補 | 原典 |
|---|---|---|---|
| 8.9.20 | ^7.0.8 | これらの修正基準バージョンに一致なし ↗ | repo.packagist.org ↗39e2e1c32498 |
| 9.5.11 | >=7.3.0 | repo.packagist.org ↗8afcb233c2a7 | |
| 10.5.12 | >=8.1.0 | repo.packagist.org ↗b4ed85e1c00b | |
| 10.6.20 | >=8.1.0 | repo.packagist.org ↗588d0bd03df6 | |
| 11.2.14 | >=8.3.0 | repo.packagist.org ↗c0ccc1f71339 | |
| 11.3.20 | >=8.3.0 | repo.packagist.org ↗530d0e07c0b4 |
候補は、この宣言とサポート対象ブランチの最初の PHP2Shell 修正版を照合しただけです。動作確認、ベンダーのサポート、全依存関係の適合を保証しません。 PHP2Shell 修正に必要な PHP 互換性 ↗
PHP2Shell 対策の対象を確認
ファイルとパッケージ識別
drupal/core
composer.lockweb/core/web/modules/custom/
Drupal - PHP2Shell 修正を妨げる互換性の問題
Drupal core、core-recommended、Drush、追加モジュールを整合させます。独自 API の非推奨箇所を修正し、コピーで DB 更新 hook と設定取り込みを試験します。Drupal 7 は Drupal 8+ の Composer パッケージに含まれません。最低条件と現在のサポート方針を分けてください。
依存関係と独自コード
公式更新ドキュメント ↗PHP2Shell 修正後の業務機能テスト
PHP2Shell 修正前の読み取り専用調査
コマンド例
php -v
php --ini
composer --no-plugins show --locked drupal/core
composer --no-plugins check-platform-reqs --lock
composer --no-plugins prohibits php 8.3.36 --lockedDrupal - PHP2Shell修正の確認
実際にこのサイトを処理する PHP で両方の修正を確認し、古い Web・キューのプロセスと全レプリカを交換または再起動します。トップページの表示や CLI の更新だけでは不十分です。
3. 全環境を再起動して検証 ↗