PHP脆弱性 簡易診断｜PHP2Shell（CVE-2026-109618）対応チェック
緊急：2026年10月21日公表 PHPの重大な脆弱性
PHP VULNERABILITY CHECK
PHP脆弱性
簡易診断
あなたのサイト、
PHPは大丈夫ですか？
認証なしで外部から遠隔操作されるおそれがある「PHP2Shell」（CVE-2026-109618 / 109619）。URLを入れるだけで、修正版に更新されているかを公開情報から簡易チェックできます。
- 無料・登録不要
- 約10秒で結果表示
- 攻撃的な通信は行いません
FREE CHECK
URLを入力して無料診断
診断したいサイトのURLを入力してください。PHPのバージョンと、HTTPS・セキュリティヘッダーなどの基本対策をまとめて確認します。
CVE-2026-109618 / CVE-2026-109619
CVSS 9.2 Critical
2026.10.21 公表
URLを入れるだけで、
PHPの対応状況をチェック
PHPの対応状況をチェック
修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）に更新されているかを、公開情報から判定します。
無料・登録不要
約10秒で結果表示
攻撃的な通信は行いません
ご自身が管理する、または確認を任されているサイトでご利用ください。
ABOUT
PHP2Shellとは？
2026年10月21日、PHPの開発チームが公表した重大な脆弱性です。
WordPressをはじめ、PHPで動く多くのサイトが影響を受けます。
9.2
CVSS v4.0（Critical）
共通の深刻度評価で最も高い区分。2026年10月21日に公表されました。
認証不要
外部から遠隔操作されるおそれ
ログインしていない第三者のリクエストだけで、サーバー上でプログラムを実行される危険があります。
全環境
Webで動くPHPすべてが対象
PHP-FPM・Apache（mod_php）・LiteSpeed など、Webリクエストを処理するPHPが影響を受けます。
公式には「完全な回避策はなく、更新が唯一の安全な方法」とされています。設定変更による一時的な緩和策もありますが、それだけでは安全になりません。
FIXED VERSIONS
修正済みバージョンの早見表
次のバージョン以降に更新されていれば、今回の脆弱性は修正済みです（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）。
| PHPのバージョン | 修正版 | サポート終了日 |
|---|---|---|
| PHP 8.5 | 8.5.12 以降 | 2029/12/31 |
| PHP 8.4 | 8.4.27 以降 | 2028/12/31 |
| PHP 8.3 | 8.3.36 以降 | 2027/12/31 |
| PHP 8.2 | 8.2.35 以降 | 2026/12/31 |
| PHP 8.1 以前 | 公式の修正版なし | 終了済み → 移行が必要 |
出典：php.net（2026年10月21日 Security Release）。PHP 8.2 は2026年12月31日でサポートが終了するため、8.3以降への移行もあわせて検討してください。
CHECK POINTS
この診断で確認できること
- PHPのバージョン：レスポンスヘッダーから読み取り、修正版と比較します
- PHPを使っている形跡：バージョン非公開でも、セッションCookieやWordPressのファイルから推定します
- HTTPS：SSL証明書が有効か、http から https に転送されるかを確認します
- セキュリティヘッダー：HSTS・X-Content-Type-Options・クリックジャッキング対策・CSP
- バージョン情報の公開：PHP・Webサーバー・CMSのバージョンが外から見えていないか
RESULT
診断結果の見方
結果は4種類です。それぞれの意味と、次にすることをまとめました。
対応済みの可能性が高い／対応不要
PHPが修正版以降、またはPHPを使っていない仕組み（Shopify・Wix・Next.jsなど）と判断した状態です。引き続き定期的な更新を続けてください。
管理者に確認
PHPは使われていますが、バージョンが非公開のため外から判定できない状態です。多くのサイトがこの結果になります。下の手順で確認してください。
至急更新が必要
影響を受けるバージョン、またはサポートが終了したPHPが表示されています。サーバー会社・制作会社に連絡し、修正版へ更新してください。
外部からは判定できません
PHPを使っているかどうかも確認できなかった状態です。サイトを作った会社やサーバーの管理者に確認してください。
HOW TO
「管理者に確認」と出たら
PHPのバージョンは、次の方法で確認できます。
修正版より古い場合は、早めに更新してください。
STEP 01
WordPressで確認する
管理画面の「ツール → サイトヘルス → 情報 → サーバー」に、PHPのバージョンが表示されます。
STEP 02
サーバーの管理画面で確認する
エックスサーバーなら「サーバーパネル → PHP Ver.切替」で、ドメインごとのバージョンを確認・変更できます。
STEP 03
管理者・制作会社に聞く
「PHP2Shell（CVE-2026-109618）の修正版に更新済みか」をそのまま伝えれば、話が早く進みます。
SUPPORT
PHPの更新、DOT LIFTにお任せください
「更新したらサイトが崩れないか心配」
「制作会社と連絡が取れない」
「どうやって確認すればいいかわからない」
──状況の確認から更新作業、その後の保守まで対応します。
- PHPのバージョン確認と、更新の影響調査
- 表示崩れを防ぎながらのPHP・WordPress更新
- 古いテーマ・プラグインの入れ替え
- セキュリティヘッダー・SSLなど基本対策の設定
- 制作会社と連絡が取れないサイトの引き継ぎ
- 更新後の月額保守・バックアップ
FAQ
よくある質問
診断は無料ですか？
無料・登録不要でご利用いただけます。入力したURLのトップページを通常の閲覧と同じように読み込むだけで、攻撃的な通信は行いません。
「管理者に確認」と出ました。危険な状態ですか？
危険という意味ではありません。セキュリティのためPHPのバージョンを公開していないサイトは多く、外からは判定できないためこの結果になります。WordPressのサイトヘルスやサーバーの管理画面で、修正版に更新されているか確認してください。
「至急更新が必要」でも、実は修正済みのことはありますか？
あります。Ubuntu・Debian・RHEL系のOSパッケージや一部のレンタルサーバーは、バージョン番号を変えずに修正を取り込むことがあります。最終的にはサーバーの管理者に確認してください。
PHPを更新すると、サイトが表示されなくなることはありますか？
古いテーマやプラグインを使っている場合、新しいPHPで不具合が出ることがあります。更新前にバックアップを取り、テスト環境で表示を確認してから切り替えるのが安全です。
PHP 8.2 を使っています。修正版に更新すれば大丈夫ですか？
8.2.35 以降なら今回の脆弱性は修正されています。ただしPHP 8.2 は2026年12月31日でサポートが終了するため、8.3以降への移行もあわせて検討してください。
入力したURLは保存されますか？
相手サイトへの負荷を減らすため、同じURLの診断結果を1時間だけ一時保存します。アクセス解析やほかの目的には使いません。
本ツールは公開情報からの簡易的な目安であり、脆弱性の有無を確定・保証するものではありません。ご自身が管理する、または確認を任されているサイトでご利用ください。
サイトのPHP、
いまのうちに確認しませんか？
重大な脆弱性は、公表直後から攻撃に使われ始めます。まずは無料診断で状態を確認し、不安があればお気軽にご相談ください。
