PHP のファイルアップロードの脆弱性と対策｜乗っ取りを防ぐ5つのこと

ファイルのアップロードは、サイトの乗っ取りの入り口になりやすい。PHP のファイルを置かれて実行されると、PHP2Shell と同じように、サーバー上で好きなプログラムを動かされてしまう。

防ぐための5つのこと

PHP での書き方の要点

• 受け取ったファイルは move_uploaded_file() で移す
• 形式は finfo_file() で MIME タイプを調べ、許す形式だけを通す
• 名前は bin2hex(random_bytes(16)) などで作り、拡張子は許す形式から付ける
• upload_max_filesize と post_max_size で大きさの上限を決める

PHP2Shell とのつながり

PHP2Shell の応急処置の1つは session.upload_progress.enabled=0。アップロードの進み具合を扱う機能が、攻撃に使われるためだ。アップロードの機能は、PHP 本体の側でも狙われやすい。

よくある質問

拡張子で画像だけに絞れば、安全ですか？

安全ではありません。
拡張子は簡単に変えられます。
finfo で中身を確かめ、名前も付け直してください。

アップロードの置き場所で PHP を止めるには？

Web サーバーの設定で、その場所では PHP を実行しないようにします。
そもそも Web から開けない場所に置くのがいちばん確実です。

参考にした情報

• php.net（2026年10月21日のセキュリティ告知）
• php.net：Supported Versions
• php.net：Unsupported Branches
• php.net：付録（移行ガイド）
• php.net：ファイルアップロードの処理