このガイドについて
このガイドについて
ベンダー中立で、行動に焦点を当てた PHP2Shell のまとめです。PHP のアドバイザリ、研究者、セキュリティベンダーが公表した情報を集め、実行できる手順に落とし込んでいます。
最終確認 2026-10-22
方針
- 公式情報を優先。情報が食い違う場合は、PHP のセキュリティアドバイザリに従います。
- 製品の宣伝はしません。特定のベンダーを推奨することはありません。
- 不確実性を明示。「確認済み」「影響あり」「影響の可能性大」は意味が異なり、意図的に使い分けています。
- エクスプロイトコードは載せません。このサイトは防御のみを扱います。
- 翻訳は英語版に準拠。翻訳と英語版に食い違いがある場合は英語版が基準です。コマンドと設定は英語のままにしています。
PHP 公式情報
- PHPGHSA-w8hw-w9fx-j79w — RCE via OOM corruption
- PHPGHSA-6wmf-4rv5-p3rp — RCE via stale global state
- PHP FoundationToday's PHP security release and how we're strengthening PHP security
- php.netOctober 2026 security release announcement
- NCSC-NLPHP2Shell operational guidance and product inventory
- CERT-EUSecurity Advisory 2026-018 — Critical Vulnerabilities in PHP
- CISAKnown Exploited Vulnerabilities catalog
- php.netSupported versions
一次研究
- Wiz ResearchPHP2Shell technical write-up
- CalifPHP2Shell
- OpenAICoordinated disclosure of critical vulnerabilities
- Wiz (original page)php2shell.com
セキュリティベンダーの分析
- UbuntuPHP2Shell — fixed distribution packages and ESM coverage
- CloudflareWAF protection for PHP vulnerabilities
- AkamaiCritical RCE vulnerabilities in PHP core
- ImpervaPHP2Shell vulnerability updates
- CorelightPHP2Shell detection
- CrowdStrikeProtecting customers from PHP RCE zero-days
- Unit 42CVE-2026-109618 / CVE-2026-109619
- Cisco TalosTwo critical RCEs in PHP core
- watchTowrPHP RCE FAQ: CVE-2026-109618
- SansecPHP2Shell: critical PHP RCE