Symfony PHP2Shell 対策 - PHP 互換性と更新

Symfony の PHP2Shell 対策には PHP 実行環境の修正が必要です。アプリのバージョンは互換性の調査に役立ちますが、悪用の可否や両 CVE の修正を証明するものではありません。

CVE-2026-109618 ↗CVE-2026-109619 ↗

Symfony - PHP2Shell 修正に必要な PHP 互換性

対象リリース例	宣言されたPHP要件	宣言に一致する修正候補	原典
v4.4.51	`>=7.1.3`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗8f1698ff2a97
v5.4.54	`>=7.2.5`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗af61a85f1337
v6.4.48	`>=8.1`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗53c3853a101a
v7.4.21	`>=8.2`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗62b38e9cb02c
v8.0.15	`>=8.4`	8.5.12 8.4.27	repo.packagist.org ↗f93319640546

候補は、この宣言とサポート対象ブランチの最初の PHP2Shell 修正版を照合しただけです。動作確認、ベンダーのサポート、全依存関係の適合を保証しません。 PHP2Shell 修正に必要な PHP 互換性 ↗

PHP2Shell 対策の対象を確認

ファイルとパッケージ識別

symfony/framework-bundle

composer.lock
symfony.lock
config/bundles.php

Symfony - PHP2Shell 修正を妨げる互換性の問題

Symfony コンポーネントと Flex recipes を合わせ、メジャー移行前に非推奨 API を解消します。Doctrine、Twig、Messenger、認証機構も移行を妨げます。検証環境でコンテナを再構築し、HTTP とコンソールワーカーを確認してください。

依存関係と独自コード

Symfony Flex
Doctrine ORM / DBAL
Twig
Messenger
Security
config/bundles.php
var/cache/

公式更新ドキュメント ↗

PHP2Shell 修正後の業務機能テスト

PHP2Shell 修正前の読み取り専用調査

許可された作業コピーで使います。

コマンド例

php -v
php --ini
composer --no-plugins show --locked symfony/framework-bundle
composer --no-plugins check-platform-reqs --lock
composer --no-plugins prohibits php 8.3.36 --locked

Symfony - PHP2Shell修正の確認

実際にこのサイトを処理する PHP で両方の修正を確認し、古い Web・キューのプロセスと全レプリカを交換または再起動します。トップページの表示や CLI の更新だけでは不十分です。

3. 全環境を再起動して検証 ↗

公式更新ドキュメント

Symfony原典 ↗PHP security team原典 ↗CVE-2026-109618原典 ↗CVE-2026-109619原典 ↗PHP2Shell 対策中の PHP 更新エラーを解決↗