# PHP診断

> PHP の重大な脆弱性 PHP2Shell（CVE-2026-109618 / CVE-2026-109619）について、PHP のバージョンとサーバー会社から危険度と対処を診断する無料ツールと、その解説記事。情報は2026年10月22日時点。

## 要点

- PHP2Shell は PHP 本体の2つの脆弱性の通称。認証なしで、外部からサーバー上のプログラムを実行されるおそれがある。CVSS 4.0 で 9.2。
- 影響を受けるのは PHP 5.4 から 8.5 までの幅広い版。
- 修正版：PHP 8.5.12、8.4.27、8.3.36、8.2.35（2026年10月21日公開）。
- PHP 8.1 以前（8.0、7.4 など）には公式の修正版が出ていない。PHP 8.4 か 8.5 への移行が必要。
- PHP 8.2 は 2026年12月31日で公式の保守が終わる。8.3 は 2027年12月31日、8.4 は 2028年12月31日、8.5 は 2029年12月31日まで。
- Linux の配布元やサーバー会社は、版の番号を変えずに修正を入れていることがある。

## ツール

- [PHP2Shell 脆弱性チェッカー](https://php-shindan.com/): PHP のバージョン・サーバー会社・サイトの種類を選ぶと、危険度（危険／要確認／たぶん大丈夫）と今やることを出す。URL を入れると、外から分かる範囲で自動入力する。

## ほかの無料ツール

- [PHP 保守期限カレンダー](https://php-shindan.com/tools/php-eol): 全バージョンの保守期限と残り日数。保守の終了日をカレンダーに登録できる。
- [PHP 8 移行チェック](https://php-shindan.com/tools/php8-check): プログラムを貼ると、新しい PHP で動かなくなる関数や書き方を見つける。ブラウザの中だけで動く。
- [WordPress バージョン確認](https://php-shindan.com/tools/wordpress-version): URL から WordPress の版と、最新との差を調べる。

## 記事

- [PHP の移行を業者に頼むときに確かめること｜見積もりのチェックリスト](https://php-shindan.com/blog/php-migration-outsourcing-checklist): PHP の移行を制作会社や業者に頼むとき、見積もりで確かめておきたいこと。バックアップ・テスト・戻し方・作業後の確認まで。
- [WordPress が改ざんされていないか確かめる方法｜PHP2Shell の対応が遅れたら](https://php-shindan.com/blog/wordpress-hacked-check): PHP2Shell は修正版の公開前に内容が漏れていた。対応が遅れたサイトが改ざんされていないか、確かめる場所と、見つけたときの手順をまとめた。
- [「Passing null to parameter ... is deprecated」の意味と直し方（PHP 8.1）](https://php-shindan.com/blog/php-passing-null-to-parameter-deprecated): PHP 8.1 以降で出る「Passing null to parameter」の警告の意味と、プログラムの直し方をまとめた。
- [PHP を上げたら WordPress が真っ白｜原因と直し方](https://php-shindan.com/blog/wordpress-white-screen-after-php-upgrade): PHP のバージョンを上げたら WordPress の画面が真っ白になった。いちばん早い戻し方と、原因のプラグインやテーマの見つけ方をまとめた。
- [PHP のエラーログはどこ？Linux・レンタルサーバー・WordPress 別の場所](https://php-shindan.com/blog/php-error-log-location): PHP のエラーログの場所を、php.ini の設定・Linux の Web サーバー・WordPress の debug.log に分けてまとめた。移行後の不具合を調べるときに使う。
- [WordPress の PHP バージョンを上げる手順｜サイトヘルスがない場合も](https://php-shindan.com/blog/wordpress-php-upgrade-steps): WordPress のサイトで PHP のバージョンを安全に上げる手順。サイトヘルスが出ない古い WordPress の場合、上げたあとに確かめることまでまとめた。
- [PHP 8.3 から 8.4 で動かなくなる主な変更｜移行前のチェック](https://php-shindan.com/blog/php-83-to-84-changes): PHP 8.3 から 8.4 へ上げると動かなくなりやすい変更を、php.net の移行ガイドから抜き出した。確認のしかたと手順つき。
- [PHP 8.0 から 8.1 で動かなくなる主な変更｜移行前のチェック](https://php-shindan.com/blog/php-80-to-81-changes): PHP 8.0 から 8.1 へ上げると動かなくなりやすい変更を、php.net の移行ガイドから抜き出した。確認のしかたと手順つき。
- [PHP 7.4 から 8.0 で動かなくなる主な変更｜移行前のチェック](https://php-shindan.com/blog/php-74-to-80-changes): PHP 7.4 から 8.0 へ上げると動かなくなりやすい変更を、php.net の移行ガイドから抜き出した。確認のしかたと手順つき。
- [PHP のサポート期限一覧｜全バージョンの保守終了日と最終版](https://php-shindan.com/blog/php-support-period-list): PHP 8.5 から 5.4 まで、全バージョンの公開日・保守期限・最終版を php.net の公式情報から一覧にした。
- [mod_php と PHP-FPM の違い｜PHP2Shell でいちばん危ないのは mod_php](https://php-shindan.com/blog/mod-php-vs-php-fpm): php.net は PHP2Shell でいちばん危ないのは mod_php だとしている。mod_php と PHP-FPM の違いと、自分のサーバーがどちらかの見分け方をまとめた。
- [PHP2Shell の応急処置｜php.ini で今すぐできる設定（公式）](https://php-shindan.com/blog/php2shell-mitigation-php-ini): すぐに PHP を更新できないときに、php.net が公式に出している一時しのぎの設定をまとめた。効かない設定の仕方にも注意。
- [レンタルサーバーなら PHP2Shell は自動で直る？確認のしかた](https://php-shindan.com/blog/rental-server-php2shell): レンタルサーバーでは会社が修正を入れることが多いが、古い PHP を選んでいるサイトは注意が必要。確認のしかたをまとめた。
- [PHP 8.1 以前を使い続けるとどうなる？移行と延長サポートの選び方](https://php-shindan.com/blog/php-81-and-older-options): PHP 8.1 以前には PHP2Shell の公式の修正版が出ていない。移行するか、延長サポートでつなぐか。それぞれの考え方をまとめた。
- [PHP のバージョンを上げる前のチェックリスト｜サイトを壊さないために](https://php-shindan.com/blog/php-upgrade-checklist): PHP を新しくすると、古いプラグインやプログラムが動かなくなることがある。バックアップ・事前確認・戻し方まで、上げる前に確かめることをまとめた。
- [自分のサイトの PHP バージョンを確認する方法｜WordPress なら1分](https://php-shindan.com/blog/how-to-check-php-version): PHP2Shell の対策は、まず自分の PHP のバージョンを知ることから。WordPress の管理画面で確認する方法と、それ以外の方法をまとめた。
- [PHP 8.2 のサポート終了はいつ？2026年12月31日までにやること](https://php-shindan.com/blog/php-82-end-of-life): PHP 8.2 は 2026年12月31日で公式の保守が終わる。PHP2Shell の修正版（8.2.35）は出ているが、年明け以降は修正が出ない。移行先と手順をまとめた。
- [PHP2Shell とは？CVE-2026-109618 / 109619 の影響と対策まとめ](https://php-shindan.com/blog/what-is-php2shell): PHP2Shell は PHP 本体の2つの脆弱性の通称。影響する版、修正版（8.5.12・8.4.27・8.3.36・8.2.35）、いちばん危ない使い方、応急処置をまとめた。
- [PHP 5.x は PHP2Shell で危険？修正版の有無と移行の手順](https://php-shindan.com/blog/php-5x-php2shell): PHP 5.x は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。公式の修正版はない。公式の保守も終わっている。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 7.0〜7.3 は PHP2Shell で危険？修正版の有無と移行の手順](https://php-shindan.com/blog/php-70-to-73-php2shell): PHP 7.0〜7.3 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。公式の修正版はない。公式の保守も終わっている。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 7.4 は PHP2Shell で危険？修正版の有無と移行の手順](https://php-shindan.com/blog/php-74-php2shell): PHP 7.4 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。公式の修正版はない。公式の保守も終わっている。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 8.0 は PHP2Shell で危険？修正版の有無と移行の手順](https://php-shindan.com/blog/php-80-php2shell): PHP 8.0 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。公式の修正版はない。公式の保守も終わっている。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 8.1 は PHP2Shell で危険？修正版の有無と移行の手順](https://php-shindan.com/blog/php-81-php2shell): PHP 8.1 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。公式の修正版はない。公式の保守も終わっている。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 8.2 の PHP2Shell 対策｜修正版と年内の保守終了](https://php-shindan.com/blog/php-82-php2shell): PHP 8.2 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。修正版は 8.2.35 以降。公式の保守は2026年12月31日まで。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 8.3 の PHP2Shell 対策｜修正版 8.3.36 と確認方法](https://php-shindan.com/blog/php-83-php2shell): PHP 8.3 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。修正版は 8.3.36 以降。公式の保守は2027年12月31日まで。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 8.4 の PHP2Shell 対策｜修正版 8.4.27 と確認方法](https://php-shindan.com/blog/php-84-php2shell): PHP 8.4 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。修正版は 8.4.27 以降。公式の保守は2028年12月31日まで。今やることと、移行で動かなくなる原因をまとめた。
- [PHP 8.5 の PHP2Shell 対策｜修正版 8.5.12 と確認方法](https://php-shindan.com/blog/php-85-php2shell): PHP 8.5 は PHP2Shell（CVE-2026-109618 / 109619）の影響を受ける。修正版は 8.5.12 以降。公式の保守は2029年12月31日まで。今やることと、移行で動かなくなる原因をまとめた。

## 参考

- https://www.php.net/
- https://nvd.nist.gov/vuln/detail/CVE-2026-109618
- https://nvd.nist.gov/vuln/detail/CVE-2026-109619