PHP2Shell で攻撃されたか確かめる｜ログで見る所（JPCERT/CC の注意喚起より）

PHP2Shell は、修正版が出る前に中身が漏れていた。修正版に上げれば、これからの攻撃は防げる。しかし、上げる前に入り込まれていたら、上げただけでは何も直らない。

JPCERT/CC は注意喚起の中で、更新とあわせて「侵害の調査」を求めている。何を見ればよいのかを、JPCERT/CC の注意喚起と、セキュリティ会社の分析をもとにまとめた。

まず、上げたあとでも確かめる理由

修正版で入口はふさがる。ただし、入口から入って置いていかれたもの（不正なファイル・追加された管理者・書き換え）は残る。だから、更新とは別に「中を確かめる」作業が要る。

ログで見る所

1. アクセスログ

• 異常に大きい送信：フォームの項目の名前だけで数 MB あるような送信（CVE-2026-109618 の手口）
• 不審な multipart/form-data の送信：ファイルを送る形式で、中身が意味をなさないもの（CVE-2026-109619 の手口）
• 変な PHPSESSID：サーバーが返した Cookie の PHPSESSID が、異常に長い・変な形をしている
• 前後の HTTP 500：上の送信の前後に、サーバーのエラーが続いていないか

2. PHP のエラーログ

• Allowed memory size of ... bytes exhausted という、メモリ不足のエラー
• そのエラーの場所が「Unknown on line 0」になっているもの。これは、サイトのプログラムが動く前にエラーが起きたことを意味する
• PHP 8.5 では、致命的なエラーのときの経過の表示（バックトレース）にも注意する

3. Web サーバーのログ

• PHP のワーカーの異常終了（Apache なら AH00052）
• ワーカーの再起動が、ふだんよりやけに多い
• タイムアウトが続く

4. サーバーの中

• Web のワーカーがシェルを起動している：いちばん直接の証拠
• 知らないファイルが増えていないか（特に、アップロードの場所や一時ファイルの場所の .php）
• 外への不審な通信
• 知らない定期実行（cron）や、知らない管理者

レンタルサーバーの場合

レンタルサーバーでは、サーバーのログを自分で全部見られないことが多い。見られる範囲で次を確かめる。

見つかったら

1. 証拠を残す：ログやファイルを、消す前に別の場所にコピーする
2. 広げない：サイトを一時的に止める、外への通信を絞るなど、影響が広がらないようにする
3. 範囲を調べる：いつから、どこまで入られたか
4. 専門家に相談する：個人情報が関わるなら、報告の義務が出ることもある
5. パスワードと鍵を変える：サーバー・データベース・管理画面・API の鍵

よくある質問

レンタルサーバーでもログは見られますか？

多くのサーバー会社で、管理画面からアクセスログとエラーログを見られます。
ただし、ログの保存を有効にしていないと残っていないことがあります。
分からなければサポートに聞いてください。

何も見つからなければ安心ですか？

安心しきらないでください。
ログに残らない攻撃もあります。
少しでも心配なら、パスワードと鍵の変更までやっておくと安心です。

見つかったら、まず何をすればいいですか？

ログやファイルを消す前に、別の場所にコピーしてください。
そのうえで、サイトを一時的に止めるなど、影響が広がらないようにしてから、専門家に相談してください。

無料ツールPHP2Shell の無料診断PHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。

参考にした情報

• JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（JPCERT-AT-2026-0033）
• Datadog Security Labs：PHP2Shell の分析（英語）
• IPA：PHPの脆弱性対策について（PHP2shell）
• Elastic Security Labs：php2shell の検知（英語）