Drupal · PHP2Shell
自分の Drupal サイトは PHP2Shell の影響を受ける？
PHP がまだ修正されていなければ、影響を受ける可能性が高いです。Drupal は研究者が PHP2Shell で最初に乗っ取ったアプリケーションですが、バグは PHP にあるため、Drupal のバージョンやモジュールで結論は変わりません。
最終確認 2026-10-22
Drupal を更新しても直りません
PHP2Shell は Drupal の下にある PHP 本体の問題です。研究者は公式イメージ drupal:latest で、認証不要のリモートコード実行を実証しました——Drupal は 2026 年 8 月 20 日に最初に確認された標的です。重要なのはサーバーが使っている PHP のバージョンで、それを更新できるのはサーバーを管理している人だけです。
1. Drupal で PHP バージョンを確認する
サイトを実際に配信している PHP が表示されます。重要なのはこのバージョンです。
- 管理者としてログインし、レポート → ステータスレポート（
/admin/reports/status）を開きます。 - PHP の行を探します——Web サーバーが使っているバージョンが表示されます。
- Drupal 7 のサイトでも同じ場所に表示されます。
drush status --field=php-version # Drush (CLI PHP)
drush php:eval 'echo PHP_VERSION, PHP_EOL;'2. 照らし合わせる
バージョン、php -v の出力、またはサーバー群のバージョンを 1 行に 1 つずつ貼り付けてください。処理はすべてブラウザ内で行われます。
CLI と Web サーバーは別の PHP ビルドを使っていることがあります。Web サーバーが実際に使っているバージョンを確認してください：php-fpm -v（または php-fpm8.3 -v）、もしくは対象サイトで phpinfo() を表示。
| ブランチ | 脆弱 | 修正版 |
|---|---|---|
| 8.5 | < 8.5.12 | 8.5.12 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.2 | < 8.2.35 | 8.2.35 |
| 8.1 · 8.0 · 7.4 | すべて | ソースのバックポートのみ |
| 5.4 – 7.3 | すべて | 修正なし |
3. パッチを適用してもらう
共有／マネージドホスティング
PHP の更新はホスティング会社が行います。管理パネルで最新の PHP バージョンを選び、パッチ適用と再起動を確認してもらいましょう。ホスティング向けガイド →
自社サーバー、VPS、コンテナ
あなた（または開発者）が PHP を更新し、PHP-FPM／Apache を再起動します。修正ガイド →
件名：PHP2Shell（CVE-2026-109618 / CVE-2026-109619）対応状況のご確認
ご担当者様
私のサイト <ドメイン> が動作している PHP 実行環境について、
CVE-2026-109618 および CVE-2026-109619 を修正したリリース
（PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12、またはバックポートを含む
ベンダービルド）に更新済みであること、また更新後に PHP-FPM / LSAPI
ワーカーが再起動されていることをご確認いただけますでしょうか。
私のアカウントが PHP 8.1 以前を使用している場合は、移行可能な
修正済みバージョンを教えてください。
よろしくお願いいたします。Drupal マネージドホスティング
Acquia や Pantheon などの Drupal 向けプラットフォームは PHP を代わりに管理しています。各社のパッチ適用状況は確認していません——ステータスページやサポートで確認するか、上の文面を送ってください。
Docker でセルフホストしている場合は、修正済みの php ベースイメージで再ビルドするか、再ビルドされた drupal イメージを取得し、デプロイ前にコンテナ内の PHP バージョンを確認してください。
4. パッチ適用後
- Drupal で PHP バージョンをもう一度確認してください——修正版が表示されるはずです（またはバックポート済みのビルドであることをホスティング会社に確認）。
- しばらく無防備な状態だった場合は、管理者パスワードとサイト設定に保存されている API キーを変更し、見覚えのない管理者ユーザーや新しい PHP ファイルがないか確認してください。検知ガイド →
よくある質問
自分の Drupal サイトは PHP2Shell の影響を受けますか？+
8.5.12、8.4.27、8.3.36、8.2.35 より前の PHP で動いている（かつホスティング会社が修正済みパッケージを入れていない）なら、受けます。Drupal のバージョン、テーマ、拡張機能は関係ありません——バグは PHP にあります。
Drupal を更新すれば PHP2Shell は直りますか？+
直りません。Drupal の更新で変わるのはアプリケーションで、その下の PHP 実行環境ではありません。Drupal は引き続き最新に保つべきですが、修正にはサーバー管理者による PHP の更新が必要です。
攻撃者に管理者アカウントは必要ですか？+
不要です。実証された攻撃は認証前に成立します。ログインも特別なプラグインやモジュールも不要で、サイトへの HTTP リクエストだけで済みます。
PHP2Shell について Drupal のセキュリティアドバイザリはありますか？+
PHP2Shell は Drupal の脆弱性ではないため、Drupal 本体のリリースでは直りません。実行環境の更新については、PHP のアドバイザリとホスティング会社や OS ベンダーの情報に従ってください。
Drupal 7 だと何か違いますか？+
このバグについては同じですが、Drupal 7 のサイトは古い PHP（7.4 以前）で動いていることが多く、それらには新しい PHP リリースが出ません。そうしたサイトは PHP の移行が必要で、たいていは Drupal のアップグレードも伴います。
関連ページ
- PHP2Shell とは？PHP とは何か、リモートコード実行とはどういう意味か、PHP2Shell がなぜ深刻か、サイト運営者や SaaS 利用者が実際に何をすべきかを専門用語なしで説明します。
- ホスティング会社共有ホスティングやマネージドホスティングでは PHP を自分で更新できません。cPanel や Plesk などでの PHP バージョンの確認・切り替え方法、各社の公表内容、問い合わせるべきこと。
- 修正・パッチ適用PHP2Shell の修正手順：Ubuntu、Debian、Sury、RHEL、Remi、Alpine、Docker、cPanel EasyApache、Plesk、Homebrew、Windows。再起動と確認方法、PHP 8.1 以前の場合の対応も。
- WordPressWordPress サイトは PHP2Shell の影響を受けるか。サイトヘルスで PHP バージョンを確認する方法、プラグイン更新では解決しない理由、ホスティング会社への問い合わせ文面。
- DrupalDrupal サイトは PHP2Shell の影響を受けるか。ステータスレポートや Drush で PHP バージョンを確認する方法、Drupal の更新では解決しない理由、ホスティング会社への確認事項。
- JoomlaJoomla サイトは PHP2Shell の影響を受けるか。システム情報で PHP を確認する方法、Joomla の更新では解決しない理由、ホスティング会社への確認事項。