PHP 8.0 / 8.1 は PHP2Shell で危険？修正版の有無と移行の手順

PHP 8.0 / 8.1 のサイトが PHP2Shell でどれだけ危ないか、修正版の有無、今やることをまとめた。数値はすべて php.net の公式情報にもとづく。

PHP 8.0 / 8.1 の状況

• PHP 8.0 は公式の保守がすでに終わっていて、PHP2Shell の修正版は出ていません。
• サーバー会社が独自に修正を入れている場合もあるが、古い PHP は今後も同じことが起きる。

PHP2Shell で起きること

• ログインなしで、外部からサーバー上のプログラムを実行される
• いちばん危ないのは mod_php（Apache に PHP を組み込む方式）。アプリのプログラムが動く前に攻撃が届く実例がある
• 危険度は CVSS 4.0 で 9.2（10 点満点）
• CVE-2026-109618：メモリ不足の処理の途中で、作りかけのデータを正しいものとして扱ってしまう
• CVE-2026-109619：解放したはずのデータを、同じワーカーの次のリクエストが使ってしまう

今やること

1. PHP 8.4 か 8.5 へ移行する。
2. 今のサーバーで 8.4 / 8.5 を選べなければ、新しいサーバーへ移す（サーバー移行）。
3. 移行の前に、サイトをまるごとバックアップする。
4. 先にプラグインとテーマを新しくしておく（移行で壊れにくくなる）。

移行先は PHP 8.4 か 8.5

保守が長い版に移れば、次に脆弱性が見つかっても修正版を受け取れる。

今のサーバーで新しい PHP を選べないとき

古いサーバーや保守の終わった OS では、PHP 8.4 / 8.5 を選べないことがある。その場合は、新しいサーバーへサイトごと移す。手順は サーバー移行の手順 にまとめた。

移行で動かなくなる主な原因

PHP 8.0 / 8.1 から 8.4 へ移るときに、古いプラグインや古い書き方のプログラムで問題になりやすいもの（php.net の移行ガイドより）。

8.0 から 8.1 への変更

• 内部関数に null を渡すと非推奨の警告（strlen(null) など）
• htmlspecialchars() などの既定が ENT_QUOTES | ENT_SUBSTITUTE に
• MySQLi が既定でエラー時に例外を投げる
• PDO（MySQL・SQLite）が数値を文字列でなく int / float で返す
• 必須の引数より前にある、既定値つきの引数は必須扱い

8.3 から 8.4 への変更

• E_STRICT の定数が非推奨
• DBA・ODBC・SOAP の一部で is_resource() の判定が効かない
• round() に無効な mode を渡すと ValueError
• OPcache の JIT の既定値が変わった（opcache.jit を明示する）
• str_getcsv() の区切り文字などの長さの確認が厳しくなった

すぐ更新できないときの応急処置

php.net 公式の一時しのぎ。完全に防げるのは更新だけ。

CVE-2026-109619

• session.upload_progress.enabled=0 にして、すべてのワーカーを再起動
• 設定は php.ini・FPM のプール・サーバーの設定で行う（ini_set() や .user.ini では効かない）
• PHP 8.5 は fatal_error_backtraces=0 も設定して再起動
• エラーを隠す（display_errors や @）だけでは効かない

CVE-2026-109618

• memory_limit=-1（FPM のプールか Apache の設定で。ほかの設定で上書きされないようにする）
• アップロード不要なら post_max_size = 8M、必要なら 32M（upload_max_filesize はそれより小さく）
• Web サーバーやプロキシで、リクエストの大きさ・項目数・ヘッダー数・入れ子の深さを制限
• メモリの上限はコンテナや cgroup でかける（RLIMIT_AS や RLIMIT_DATA は使わない）

レンタルサーバーでは、これらを利用者が変えられないことが多い。

移行の手順

1. サイトのファイルとデータベースを、まるごとバックアップする
2. WordPress なら、本体・プラグイン・テーマを先に新しくする
3. テスト用の環境で、新しい PHP で動くか試す
4. 本番の PHP を切り替え、トップ・フォーム・管理画面を確かめる
5. おかしければ、すぐ元の版に戻す

よくある質問

PHP 8.0 / 8.1 は PHP2Shell の影響を受けますか？

受けます。
公式の修正版は出ていません。

PHP 8.0 / 8.1 のまま使い続けても大丈夫ですか？

おすすめしません。
公式の保守が終わっていて、PHP2Shell の修正版も出ていません。
PHP 8.4 か 8.5 への移行が必要です。

PHP 8.0 / 8.1 から上げると、WordPress は動きますか？

WordPress 本体は、新しい版ほど新しい PHP に対応しています。
問題になるのは古いプラグインやテーマが多いので、テスト環境で確かめてから切り替えてください。

移行を頼むと、費用はどれくらいですか？

サイトの作りやプラグインの数で変わります。
PHPチェッカーでは、サイトを確認してから無料で見積もります。

無料ツールPHP2Shell 脆弱性チェッカーPHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。

参考にした情報

• php.net（2026年10月21日のセキュリティ告知）
• php.net：Supported Versions
• php.net：Unsupported Branches
• php.net：付録（移行ガイド）