mod_php と PHP-FPM の違い｜PHP2Shell でいちばん危ないのは mod_php
php.net は PHP2Shell でいちばん危ないのは mod_php だとしている。mod_php と PHP-FPM の違いと、自分のサーバーがどちらかの見分け方をまとめた。
php.net は、PHP2Shell でいちばん危ないのは mod_php だとしている。アプリのプログラムが動く前に、ログインなしの攻撃が届く実例がある。mod_php と PHP-FPM の違いをまとめた。
この記事の要点
- mod_php：Apache の中に PHP を組み込んで動かす方式
- PHP-FPM：PHP を Web サーバーとは別のプロセスで動かす方式
- PHP2Shell でいちばん危ないのは mod_php
- どちらでも、完全に防げるのは修正版への更新だけ
2つの方式の違い
| 項目 | mod_php | PHP-FPM |
|---|---|---|
| 動き方 | Apache の中で PHP が動く | PHP が別のプロセスで動く |
| 組み合わせる Web サーバー | Apache | Apache・nginx など |
| PHP2Shell の危険 | いちばん高い | 修正版への更新が必要 |
| 設定する場所 | Apache の設定 | FPM のプールの設定 |
自分のサーバーがどちらか見分ける
phpinfo()の「Server API」が「Apache 2.0 Handler」なら mod_php- 「FPM/FastCGI」なら PHP-FPM
- レンタルサーバーなら、サーバー会社の仕様のページに書いてあることが多い
phpinfo() は確認したら消す
phpinfo() を出すページは、サーバーの情報を外に見せてしまう。確認が済んだらすぐ消す。
mod_php だった場合にやること
- 修正版（8.5.12・8.4.27・8.3.36・8.2.35）にすぐ更新する
- すぐ更新できないなら、応急処置の設定を Apache の設定に入れる
- PHP 8.1 以前なら、8.4 か 8.5 への移行を急ぐ
よくある質問
mod_php かどうか、どこで分かる？
phpinfo() の「Server API」が「Apache 2.0 Handler」なら mod_php。確認したら phpinfo() のページはすぐ消す。
PHP-FPM なら安全？
安全ではない。mod_php ほど危なくないというだけで、修正版への更新は必要。
無料ツールPHP2Shell 脆弱性チェッカーPHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。参考にした情報
- php.net（2026年10月21日のセキュリティ告知）
- php.net：Supported Versions
- php.net：Unsupported Branches
- php.net：付録（移行ガイド）
この記事の情報
2026年10月22日時点の公開情報にもとづく。最新は php.net と、利用中のサーバー会社の告知を確認すること。
PHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かる。移行の相談もできる。
無料で診断する