Joomla · PHP2Shell
自分の Joomla サイトは PHP2Shell の影響を受ける？
PHP がまだ修正されていなければ、影響を受ける可能性が高いです。Joomla は 3 つの公開デモ対象の 1 つでしたが、バグは PHP にあります——Joomla のバージョンや拡張機能で結論は変わりません。
最終確認 2026-10-22
Joomla を更新しても直りません
PHP2Shell は Joomla の下にある PHP 本体の問題です。研究者は公式イメージ joomla:latest で、認証不要のリモートコード実行を実証しました。重要なのはサーバーが使っている PHP のバージョンで、それを更新できるのはサーバーを管理している人だけです。
1. Joomla で PHP バージョンを確認する
サイトを実際に配信している PHP が表示されます。重要なのはこのバージョンです。
- 管理画面（Administrator）にログインします。
- システム → システム情報 を開きます。
- システム情報 タブで PHP バージョン を確認します。
php -v
php cli/joomla.php --version # Joomla 4/5 console (shows the Joomla version)2. 照らし合わせる
バージョン、php -v の出力、またはサーバー群のバージョンを 1 行に 1 つずつ貼り付けてください。処理はすべてブラウザ内で行われます。
CLI と Web サーバーは別の PHP ビルドを使っていることがあります。Web サーバーが実際に使っているバージョンを確認してください：php-fpm -v（または php-fpm8.3 -v）、もしくは対象サイトで phpinfo() を表示。
| ブランチ | 脆弱 | 修正版 |
|---|---|---|
| 8.5 | < 8.5.12 | 8.5.12 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.2 | < 8.2.35 | 8.2.35 |
| 8.1 · 8.0 · 7.4 | すべて | ソースのバックポートのみ |
| 5.4 – 7.3 | すべて | 修正なし |
3. パッチを適用してもらう
共有／マネージドホスティング
PHP の更新はホスティング会社が行います。管理パネルで最新の PHP バージョンを選び、パッチ適用と再起動を確認してもらいましょう。ホスティング向けガイド →
自社サーバー、VPS、コンテナ
あなた（または開発者）が PHP を更新し、PHP-FPM／Apache を再起動します。修正ガイド →
件名：PHP2Shell（CVE-2026-109618 / CVE-2026-109619）対応状況のご確認
ご担当者様
私のサイト <ドメイン> が動作している PHP 実行環境について、
CVE-2026-109618 および CVE-2026-109619 を修正したリリース
（PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12、またはバックポートを含む
ベンダービルド）に更新済みであること、また更新後に PHP-FPM / LSAPI
ワーカーが再起動されていることをご確認いただけますでしょうか。
私のアカウントが PHP 8.1 以前を使用している場合は、移行可能な
修正済みバージョンを教えてください。
よろしくお願いいたします。Joomla マネージドホスティング
Joomla サイトの多くは、cPanel、Plesk、DirectAdmin を使う共有ホスティングで動いています。管理パネルで最新の PHP バージョンに切り替え、修正済みビルドであることをホスティング会社に確認してもらいましょう。個々のホスティング会社の状況は確認していません。
4. パッチ適用後
- Joomla で PHP バージョンをもう一度確認してください——修正版が表示されるはずです（またはバックポート済みのビルドであることをホスティング会社に確認）。
- しばらく無防備な状態だった場合は、管理者パスワードとサイト設定に保存されている API キーを変更し、見覚えのない管理者ユーザーや新しい PHP ファイルがないか確認してください。検知ガイド →
よくある質問
自分の Joomla サイトは PHP2Shell の影響を受けますか？+
8.5.12、8.4.27、8.3.36、8.2.35 より前の PHP で動いている（かつホスティング会社が修正済みパッケージを入れていない）なら、受けます。Joomla のバージョン、テーマ、拡張機能は関係ありません——バグは PHP にあります。
Joomla を更新すれば PHP2Shell は直りますか？+
直りません。Joomla の更新で変わるのはアプリケーションで、その下の PHP 実行環境ではありません。Joomla は引き続き最新に保つべきですが、修正にはサーバー管理者による PHP の更新が必要です。
攻撃者に管理者アカウントは必要ですか？+
不要です。実証された攻撃は認証前に成立します。ログインも特別なプラグインやモジュールも不要で、サイトへの HTTP リクエストだけで済みます。
Joomla のセキュリティ拡張機能で守れますか？+
守れません。拡張機能は Joomla の中で、PHP がリクエストを解析し終えた後に動きますが、脆弱なコードはそれより前に動きます。サイトの手前の WAF は役立ちますが、修正は PHP の更新です。
まだ Joomla 3 を使っています。どうすれば？+
Joomla 3 のサイトは PHP 7.4 や 8.0 で動いていることが多く、それらには新しい PHP リリースが出ません。当面はホスティング会社にバックポート済みビルドを依頼し、PHP 8.4 または 8.5 上の Joomla 5 への移行を計画してください。
関連ページ
- PHP2Shell とは？PHP とは何か、リモートコード実行とはどういう意味か、PHP2Shell がなぜ深刻か、サイト運営者や SaaS 利用者が実際に何をすべきかを専門用語なしで説明します。
- ホスティング会社共有ホスティングやマネージドホスティングでは PHP を自分で更新できません。cPanel や Plesk などでの PHP バージョンの確認・切り替え方法、各社の公表内容、問い合わせるべきこと。
- 修正・パッチ適用PHP2Shell の修正手順：Ubuntu、Debian、Sury、RHEL、Remi、Alpine、Docker、cPanel EasyApache、Plesk、Homebrew、Windows。再起動と確認方法、PHP 8.1 以前の場合の対応も。
- WordPressWordPress サイトは PHP2Shell の影響を受けるか。サイトヘルスで PHP バージョンを確認する方法、プラグイン更新では解決しない理由、ホスティング会社への問い合わせ文面。
- DrupalDrupal サイトは PHP2Shell の影響を受けるか。ステータスレポートや Drush で PHP バージョンを確認する方法、Drupal の更新では解決しない理由、ホスティング会社への確認事項。
- JoomlaJoomla サイトは PHP2Shell の影響を受けるか。システム情報で PHP を確認する方法、Joomla の更新では解決しない理由、ホスティング会社への確認事項。