PHP2Shell 緊急対応

PHP2Shell、自社サイトは今日中に確認を

2026年10月21日に公表された、認証なしでプログラムを実行される恐れのあるPHPの脆弱性2件（CVSS v4.0 で 9.2）。PHPのバージョンの確認から、更新、更新できないときの暫定策、侵害の確認までを代行します。完全な解決は、修正版への更新だけです。

緊急対応を申し込む料金を見る

今日やる5つの確認

Webで動いているPHPのバージョンを確認する：WordPressなら「ツール → サイトヘルス → 情報 → サーバー」。レンタルサーバーなら管理画面のPHP設定。VPSの php -v はコマンドライン用の版で、Webの版は別のことがあります。
修正済みかを判定する：8.5.12／8.4.27／8.3.36／8.2.35 以降なら修正済み。それより古い 8.2〜8.5 は対象です。
更新する（バックアップを取ってから）：レンタルサーバーは管理画面でPHPの版を切り替え、VPSはOSのパッケージを更新、コンテナはイメージを作り直して再デプロイします。
PHPのワーカーを再起動する：再起動しないと古いプロセスが動き続けます。PHP-FPM、Apache など使っているものを再起動します。
侵害の兆候を確認する：不自然に長い PHPSESSID の Cookie、不審な multipart/form-data のリクエスト、PHPのワーカーの異常終了や頻繁な再起動の痕跡を確認します（JPCERT/CC の観点）。

詳しい手順と暫定策は PHP2Shellとは？確認方法と対応手順にまとめています。まずは無料で、外から見えるPHPのバージョンを確認することもできます。

緊急診断と対応の内容

Web側のPHPバージョンの確認

管理画面と外部の両方から、実際に動いているPHPの版を確かめます。

更新計画の作成

バックアップ、切り替え、再起動、動作確認、戻し方までの手順をまとめます。

更新作業の実施（一式プラン）

バックアップを取り、PHPを切り替え、主要な機能の動作を確認します。

侵害の兆候の確認（標準以上）

不審なファイル、管理者、ログを確認し、結果を報告します。

料金プラン

ライト診断

¥29,800（税別）

まず現状を知りたい方

URLのみで外部から診断
PHP・CMS・プラグインのバージョン、公開されているファイル、HTTP・SSLの確認
優先順位つきのレポート
結果の説明（オンライン30分）

ライト診断を申し込む

標準診断

¥98,000（税別）

自社で更新まで進めたい方

ライト診断の全項目
Webで動いているPHPの版と設定の確認（読み取り専用の権限をお預かり）
不審なファイル・管理者・ログの確認
更新計画書（手順・戻し方つき）
報告会（オンライン60分）

標準診断を申し込む

診断＋対応一式

¥198,000〜（税別）

更新作業も任せたい方

標準診断の全項目
バックアップ、PHPの切り替え、動作確認の実施
WAFや暫定策の設定
復旧テストと、更新後の再診断1回

診断＋対応一式を申し込む

料金はサイトの規模・構成によって変わる場合があります。お申し込み後、担当者が内容とお見積もりを確認するご連絡をしてから開始します（この時点で料金は発生しません）。

診断の範囲と、お約束しないこと

できること

外部から確認できる範囲の診断（公開されているバージョン情報、CMS・プラグイン、公開ファイル、HTTP・SSL）
公開されている脆弱性情報との照合
優先順位つきのレポートと、更新・対策の計画づくり
ご希望のプランでの、更新作業と暫定策の設定

できないこと・お約束しないこと

「攻撃を受けていない」ことの保証（痕跡がないことは、被害がないことの証明にはなりません）
バージョンが外部に公開されていないサイトの、外部診断だけでの断定（その場合は管理画面での確認をご案内します）
ご自身が管理していないサイトの診断
未公表の脆弱性の発見。攻撃的な侵入テストや負荷試験も行いません

ご利用の流れ

お申し込み：診断するURLと、サーバーの種類（レンタルサーバー・VPSなど）をお知らせください。診断できるのは、ご自身が管理するサイトのみです。
内容とお見積もりの確認：担当者からご連絡し、管理者であることと、作業の範囲・料金を確認します。
診断：ライト診断はURLだけで外部から確認します。標準以上は、読み取り専用の権限をお預かりし、Webで動いているPHPの版や設定まで確かめます。
レポートと対策の相談：要対応・注意・良好の3段階で、優先順位つきのレポートをお渡しし、更新の手順と戻し方まで説明します。

よくある質問

WordPressを最新にしました。これで大丈夫ですか？

大丈夫とは限りません。WordPress本体やプラグインの更新では、PHPの脆弱性は直りません。PHPのバージョンを確認してください。

レンタルサーバーです。自分で何かする必要はありますか？

多くの事業者がサーバー側で更新しています。ただし、管理画面で選んでいるPHPのバージョンの設定が古いままのことがあります。設定と、事業者の告知の両方を確認してください。

WAFを入れていれば、更新は不要ですか？

不要にはなりません。WAFは既知の攻撃経路を止める補完策で、Cloudflare自身も修正版への更新を求めています。PHP公式も、設定による暫定策は安全にはならないとしています。

古いPHP（7.4など）のまま、すぐに更新できません。

7.4・8.0・8.1には最小限の修正ソースが例外的に用意されましたが、通常のリリースではありません。利用環境の対応状況を確認し、暫定策と入口の防御を併用しながら、後継版への移行を計画してください。

更新したら、サイトが表示されなくなりました。

古いプラグインやテーマが、新しいPHPに対応していないことがあります。バックアップから戻し、部品の更新や入れ替えを済ませてから、再度切り替えてください。「診断＋対応一式」では、この復旧まで対応します。

PHPを使わない構成にすれば、影響はなくなりますか？

PHPが動いていなければ、PHPの脆弱性の影響は受けません。会社案内など更新の少ないサイトなら、静的サイト化が選択肢です。同じサーバーで別のPHPのサイトも動かしている場合は、そちらの確認が必要です。

診断を申し込む

お申し込み後、担当者から内容とお見積もりを確認するご連絡をします。料金はご確認いただいてから発生します。