Slim PHP2Shell 対策 - PHP 互換性と更新

Slim の PHP2Shell 対策には PHP 実行環境の修正が必要です。アプリのバージョンは互換性の調査に役立ちますが、悪用の可否や両 CVE の修正を証明するものではありません。

CVE-2026-109618 ↗CVE-2026-109619 ↗

Slim - PHP2Shell 修正に必要な PHP 互換性

対象リリース例	宣言されたPHP要件	宣言に一致する修正候補	原典
3.13.0	`^8.1`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗f899a6e0be00
4.15.3	`~7.4.0 \|\| ~8.0.0 \|\| ~8.1.0 \|\| ~8.2.0 \|\| ~8.3.0 \|\| ~8.4.0 \|\| ~8.5.0`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗3675bf6baac6

候補は、この宣言とサポート対象ブランチの最初の PHP2Shell 修正版を照合しただけです。動作確認、ベンダーのサポート、全依存関係の適合を保証しません。 PHP2Shell 修正に必要な PHP 互換性 ↗

PHP2Shell 対策の対象を確認

ファイルとパッケージ識別

slim/slim

composer.lock
public/index.php
src/

Slim - PHP2Shell 修正を妨げる互換性の問題

Slim 3 から 4 では PSR-7 実装、factory、DI、ミドルウェア順序が変わります。新しい Slim 3 パッチの条件を初期版と混同しないでください。正確な lock で、認証、リクエスト本文、エラー処理、レスポンス送出を検証します。

依存関係と独自コード

PSR-7
PSR-17
PSR-15
PSR-11
ErrorMiddleware
App::map()
ResponseEmitter

公式更新ドキュメント ↗

PHP2Shell 修正後の業務機能テスト

PHP2Shell 修正前の読み取り専用調査

許可された作業コピーで使います。

コマンド例

php -v
php --ini
composer --no-plugins show --locked slim/slim
composer --no-plugins check-platform-reqs --lock
composer --no-plugins prohibits php 8.3.36 --locked

Slim - PHP2Shell修正の確認

実際にこのサイトを処理する PHP で両方の修正を確認し、古い Web・キューのプロセスと全レプリカを交換または再起動します。トップページの表示や CLI の更新だけでは不十分です。

3. 全環境を再起動して検証 ↗

公式更新ドキュメント

Slim原典 ↗PHP security team原典 ↗CVE-2026-109618原典 ↗CVE-2026-109619原典 ↗PHP2Shell 対策中の PHP 更新エラーを解決↗