公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
01 / URL
サイトを確認
所有する公開サイトを入力してください。1 ページと最大 2 回の転送から PHP ヘッダーなどの手掛かりを調べます。脆弱性の悪用は試みません。
PHP / ?
PHP バージョンが分からない場合
WordPress は「ツール > サイトヘルス > 情報 > サーバー」。管理パネルでは既定値でなく対象ドメインの PHP ハンドラーを確認します。SSH では php -v と実際の FPM/Apache やコンテナーを比較します。サイト、CLI、レプリカで異なる場合があります。phpinfo ページは公開しないでください。
02 / LOG
ログの不審な兆候を確認
抜粋かテキストファイルを選択します。メモリーエラー、クラッシュ、HTTP エラー、異常な PHPSESSID を件数と行番号で示します。一致は侵入の証明ではなく、一致なしでも侵入を否定できません。
攻撃の試行か、侵入成功か →03 / PHP INI
PHP 設定を確認
php.ini や FPM プール設定を貼り付けます。テキストの分析のみで、継承や要求ごとの変更、実際の適用状態は分かりません。パッチの代わりにはなりません。
メモリー制限と再利用の限界 →GitHub 対処ツール一覧
OpenAI PHP checker
Apache-2.0。ローカルや公開ヘッダーのバージョン台帳を作る Node.js ツールで JSON 対応です。許可された資産で README を確認して使います。非公開ヘッダー、バックポート、CLI/Web 差が限界で、悪用不能の証明ではありません。
openai/php2shell-checker ↗Corelight Zeek / Suricata
BSD-3-Clause。防御用ルール。Zeek 7+ は要求／セッション相関と独立した版台帳に対応します。Zeek 導入で Suricata は読み込まれません。設定、TLS 可視性、誤検知を確認し、notice_body_sample_bytes=0 で機密本文の採取を止められます。
corelight/php2shell-detect ↗NCSC-NL 対応資料
EUPL-1.2。更新される対応情報とソフトウェア台帳で、担当者とベンダー修正の追跡に使えます。自動一括スキャナーではなく、一覧も不完全な場合があります。自環境のパッケージと配備証拠を保存してください。
NCSC-NL/php2shell ↗Trivy のイメージ／SBOM 確認
Apache-2.0。一般的なイメージ／パッケージ台帳と脆弱性検査で、内包 PHP や再構築の確認に使えます。DB、識別、ベンダーデータに依存し、警告なしでも両 PHP2Shell 修正の確証にはなりません。
aquasecurity/trivy ↗Composer audit
MIT。Composer のアプリ依存関係の公告を検査します。PHP 本体は Composer ライブラリーではありません。正常な audit でも PHP 更新、ホスト調査、侵入否定はできません。
composer/composer ↗Syhunt Apache 対策例
MIT。コミュニティの要求制限と multipart 遮断例です。一部経路のみでアップロードに影響するため試験が必要。Apache php_value は CGI/FastCGI にそのまま使えません。確認済みの一時策として扱います。
syhunt/php2shell-protection ↗無料スキャナーで侵入が分かる？
確定はできません。ヘッダーとパターンは完全な実行環境、失われた履歴、メモリー漏えいを見られません。台帳、証拠保存、ログ照合から始め、不正アカウント、プロセス、漏えいがあれば隔離して事業者や対応チームに連絡してください。
ホスティング事業者への確認文
当ドメインの Web PHP が CVE-2026-109618 と CVE-2026-109619 の両方を修正済みか確認してください。完全なパッケージ／ビルド番号、ベンダー公告または変更履歴、全 FPM/Apache ワーカー、レプリカ、常駐プロセスの交換または再起動記録が必要です。保存済みアクセス、PHP、プロセスログの不審な活動も調査できますか。一次資料と関連情報
PHP security team原文を読む ↗CVE-2026-109618原文を読む ↗CVE-2026-109619原文を読む ↗研究解説と実用ガイド
PHP2Shell ツール
公開サイトの確認、ローカル設定とログの分析、公開対処ツールの検索ができます。結果ごとに根拠と限界を示します。
01PHP2Shell をやさしく理解する
PHP は WordPress、Laravel、プラグインを動かすエンジンです。プラグイン更新では PHP 自体は更新されません。2 つのメモリー欠陥で異常な要求終了処理が情報漏えいやコード実行につながります。公開確認は手掛かりだけで、実際の Web 実行環境とパッチは管理者の確認が必要です。
02攻撃の試行か、侵入成功か
異常な multipart や WAF 警告は試行の可能性があります。OOM、SIGSEGV/SIGABRT、HTTP 500 増加には通常の障害原因もあります。予期しない PHP 子プロセス、外部接続、ファイル変更、不正アカウントは要調査です。メモリー漏えいは Webshell やファイルを残さない場合があり、ファイル検査の正常結果では否定できません。
03変更前に証拠を保存する
発見時刻、ドメイン、インスタンス、実行環境、症状、最後の信頼できる状態を記録します。原本ログとタイムゾーン、クラウド監査、許可されたスナップショットを保存し、コピーのアクセスを制限してハッシュを記録します。Cookie、トークン、顧客情報を公開スキャナーに送らず、保存前にログや不審ファイルを消さないでください。
04Wiz と Calif を正確に読む
研究は要求をまたいで残る欠陥を説明します。CVE-2026-109618 は mod_php RCE を実証、FPM はソース解析による影響判断で、この CVE の完全な FPM 攻撃実証はありません。CVE-2026-109619 はアプリ依存の FPM upload-progress 経路を別に確認しています。SAPI ごとの証拠は対応 GHSA で確認してください。
05Cloudflare：応答も確認する理由
Cloudflare は要求と origin 応答を組み合わせ、疑わしい応答を漏えい前に遮断する仕組みを説明します。Shell がなくても有効な観点です。過去の導入時刻は利用中アカウントの保証ではありません。ルール、経路、例外、イベントを確認し、直接 origin とプロキシ外のホストも修正してください。