簡易PHP診断
2026年10月、PHPに認証なしで遠隔からプログラムを実行されるおそれのある脆弱性「PHP2Shell」（CVE-2026-109618 / CVE-2026-109619）が公表されました。修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。
サイトのURLを入れると、外から見える情報だけで、対応が必要かどうかの目安を確認できます。なお、レンタルサーバーによっては、バージョン番号を変えずに修正を適用している場合があります。
この診断で見ていること
入力されたURLのページを1回だけ読み込み、次の情報を確認します。
- 応答ヘッダーの
X-Powered-ByとServerに、PHPのバージョンが出ていないか - PHPのセッションCookie（
PHPSESSID）が使われていないか - ページの中に、WordPress など PHP で動く仕組みの特徴がないか
- 「.php」で終わるリンクや送信先がないか
攻撃を試すような通信は一切送りません。ログインが必要な画面や管理画面にも触れません。誰でもブラウザで見られる情報だけを読んでいます。
結果の読み方
| 結果 | 意味 | 次にやること |
|---|---|---|
| 修正版より前の番号です | 外から見えるバージョンが、修正版より古い | 管理画面で実際のバージョンを確認し、更新する |
| 公式の修正版が出ていない系列です | PHP 8.1 以前。公式のサポートが終わっている | 8.2 以降（できれば 8.3 以降）へ移行する |
| 修正版以上の番号です | 外から見えるバージョンは修正済みの番号 | ログの確認と、番号を外に出さない設定 |
| バージョンは外から見えません | PHPで動いている可能性は高いが、番号は非表示 | 管理画面でバージョンを確認する |
| 判断できませんでした | PHPかどうか、外からは分からない | 自分のサイトなら管理画面で確認する |
「バージョンは外から見えません」が多い理由
多くのサイトやレンタルサーバーは、PHPのバージョン番号を外に出さない設定にしています。攻撃する側の手がかりを減らすためで、良い設定です。
ただし、見えないことと、修正済みであることは別です。この結果が出たら、サーバーの管理画面で実際のバージョンを確かめてください。WordPress なら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。
番号が古くても、修正されていることがある
レンタルサーバーやOSの配布元によっては、バージョン番号を変えずに修正だけを当てることがあります。今回も、公式の修正版が出ていない古い系列に、独自の修正を作って当てると告知したレンタルサーバーがありました。
「修正版より前の番号」と出ても、すぐに危険とは限りません。提供元の告知で、対応状況を確認してください。逆に、自分で管理しているサーバーなら、番号どおりに受け取ってください。
使うときのお願い
- ご自身が管理している、または管理を任されているサイトの確認に使ってください
- 入力されたURLは保存しません。混雑を防ぐため、短い時間に続けて使える回数を制限しています
- 社内ネットワークなど、インターネットに公開されていない宛先は診断できません
- 結果は外から見える情報による目安です。安全を保証するものではありません
この脆弱性について詳しく
- 2件とも認証なしの乗っ取り。mod_phpは「アプリのコードが走る前」に通る（中身と修正版、すぐ更新できないときの緩和策）
- 政府の助言に「サイトを止める」が入った（IPA・JPCERTの注意喚起と、すでに狙われたかを調べる着眼点）
- 2年前に兆候はあった。直せなかったのは、決められなかったから（PHP財団の声明）
- 「被害」と「予防の停止」は別物（騒動を落ち着いて読むために）
公式の情報は php.net のセキュリティ告知 をご確認ください。
ほかの診断ツール
メールが届くかの設定（SPF・DKIM・DMARC）、SSL証明書の期限、WordPressの外から見える状態、セキュリティヘッダーなども、同じように外から確かめられます。ツール一覧から選んでください。