自分は脆弱か？

PHP2Shell バージョンチェッカー

バージョン、php -v の出力、またはサーバー群のバージョンを 1 行に 1 つずつ貼り付けてください。判定はブラウザ内で行われ、データはどこにも送信されません。

最終確認 2026-10-22

バージョン、php -v の出力、またはサーバー群のバージョンを 1 行に 1 つずつ貼り付けてください。処理はすべてブラウザ内で行われます。

例：

CLI と Web サーバーは別の PHP ビルドを使っていることがあります。Web サーバーが実際に使っているバージョンを確認してください：php-fpm -v（または php-fpm8.3 -v）、もしくは対象サイトで phpinfo() を表示。

ブランチ脆弱修正版
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4すべてソースのバックポートのみ
5.4 – 7.3すべて修正なし

貼り付けるバージョンを集める

重要なのは Web リクエストに応答している PHP です。同じマシンの CLI は別のビルドかもしれません。

shell
# One host: the binary that serves web traffic
php-fpm -v 2>/dev/null || php -v

# Many hosts over SSH — paste the output into the checker
for h in web1 web2 web3; do
  printf '%s ' "$h"; ssh "$h" "php -r 'echo PHP_VERSION, PHP_EOL;'"
done

# Exact Debian/Ubuntu package version (shows distro backports)
dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'

# RHEL family
rpm -q php-common

各判定結果の意味

結果意味対応
脆弱上流のバージョンが、そのブランチの最初の修正版より前。更新して再起動してください。OS のパッケージなら、まず changelog を確認——すでにバックポートが入っている可能性があります。
ディストリを確認バージョン文字列にディストリの接尾辞（ubuntu、deb、el、amzn、suse、fc）がある。ディストリは上流の番号を上げずに修正をバックポートします。パッケージの changelog で CVE を探してください。
脆弱・サポート終了8.1 以前のブランチ——新しい PHP リリースは出ない。8.4／8.5 へ移行。暫定策：ベンダーのバックポート、または PHP による 7.4／8.0／8.1 向けソースバックポート。
修正済み最初の修正版と同じかそれ以降。更新後にすべてのワーカーを再起動したか確認してください。
新しいブランチアドバイザリの対象よりも新しいブランチ。修正が含まれているはずです。リリースノートで確認してください。
サポート対象外5.4 より前——報告された範囲外。影響対象には挙げられていませんが、長年サポートされておらず他の重大なバグがあります。移行してください。

ディストリのビルドを二度見すべき理由

Ubuntu の 8.3.6-0ubuntu0.24.04.x や Debian の 8.2.x-1~deb12uN は、出荷時の上流のバージョン番号を保ったまま、その上にセキュリティ修正を重ねます。そのため「8.3.6」と表示されていても修正済みの場合があります。逆も同様で、古いイメージの番号が新しく見えても未修正のことがあります。

Ondřej Surý のリポジトリ（deb.sury.org）のパッケージは上流のバージョンに追従するため、チェッカーは公式リリースと同じように扱います。

次のステップ