PHP2Shell 緊急パッチ対応：企業サイトのPHPアップデート・バージョンアップ

どのPHPバージョンに更新すべきか

経緯

• 2026年10月17日 — Amazon Threat Intelligenceがハニーポットで悪用の試みを観測（公開の4日前）。
• 2026年10月20日 — php.netが重大なセキュリティリリースを予告。
• 2026年10月21日 — php.netがアドバイザリを公開し、8.5.12・8.4.27・8.3.36・8.2.35をリリース。

PHP2Shellが深刻な理由

2件の不具合は、PHPのメモリ不足時の処理とリクエスト間の状態のクリーンアップに起因します。細工されたリクエストで内部データが中途半端な状態のまま残り、同じワーカーが処理する次のリクエストがそれを再利用することで、リモートコード実行につながります。PHPSESSIDクッキー経由でメモリ内容が漏えいする経路もあります。

アプリケーションのコードが動く前に発生するため、WordPressのセキュリティプラグインやアプリ側の修正では防げません。PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webを処理するすべての実行方式が対象です。

すぐに更新できない場合の暫定対策

以下はリスクを下げるだけで、脆弱性の修正にはなりません（Datadog Security Labs）。ini_set()や.user.iniではなくphp.iniまたはFPMプールで設定し、全ワーカーを再起動してください。

• session.upload_progress.enabled=0
• PHP 8.5の場合：fatal_error_backtraces=0
• 管理者設定（php_admin_value）でmemory_limit=-1とし、Webサーバー・プロキシ側のリクエストサイズ制限とコンテナのメモリ制限を併用
• RLIMIT_AS／RLIMIT_DATAによるプロセス制限は使わない
• CDN・WAFのルールを有効化（Cloudflareは既知の攻撃手法向けルールを公開）— 一時的な防御層に過ぎません
• 修正できないシステムは、英国NCSCの推奨どおりオフライン化または隔離

ログで確認すべき兆候

公式の侵害指標（IOC）はまだ公開されていません。参考になる兆候（Wiz、Datadog）：

• PHPエラーログに「Allowed memory size … exhausted」と「Unknown on line 0」が同時に記録
• POSTリクエスト内の異常に大きなフォーム項目やバイナリデータ
• HTTP 500エラー、ワーカーのクラッシュ、セグメンテーションフォールトの多発
• レスポンスの異常に長い、または不正な形式のPHPSESSIDクッキー
• Webワーカー（例：www-data）がシェルを起動

UptechのPHP2Shell対応手順

1. 無料チェック. 各サイトの設置場所、実際にWebを処理しているPHPバージョン、リスクを確認します。
2. バックアップと暫定防御. コードとデータベースをサーバー外にバックアップし、更新準備中は暫定のWAFルール・設定を適用します。
3. アップデート／バージョンアップ. 同一ブランチ内で修正版に更新、またはPHP 7.4〜8.1をステージング環境で検証してからバージョンアップします。
4. テストと点検. 主要ページ、決済、フォームを確認し、攻撃痕跡を点検して、更新前後のレポートを納品します。

Uptechは技術サービス（PHPの確認・更新・バージョンアップ）を提供する企業であり、PHPプロジェクトではありません。本ページの事実関係はphp.netおよび下記のセキュリティ研究者の情報に基づきます。絶対的な安全を保証する対策はありません。