詳しく知りたい方へ
技術者向けに、今回の脆弱性と、このツールの判定方法をまとめます。
PHP2Shell（CVE-2026-109618 / CVE-2026-109619）
2026-10-21 に PHP の公式リリースで修正された脆弱性です。サーバーが乗っ取られるおそれがあります。
| 系列 | 影響あり | 修正版 |
|---|---|---|
| 8.5 | 8.5.12 未満 | 8.5.12 |
| 8.4 | 8.4.27 未満 | 8.4.27 |
| 8.3 | 8.3.36 未満 | 8.3.36 |
| 8.2 | 8.2.35 未満 | 8.2.35（8.2 のセキュリティサポートは 2026-12-31 で終了） |
| 8.1 以前 | すべて | 公式の修正なし（サポート終了） |
関連する未修正の脆弱性（CVE-2026-115560）
2026-10-23 に公表された、10月21日の修正版でも塞がらない脆弱性です。発生には特殊な設定が 3 つ揃う必要があり、PHP 側は可能性は低いとしています。次回の定期リリースで修正される予定です。
暫定策は、php.ini で次の設定にすることです。
session.upload_progress.enabled=0
外部からは設定を判定できないため、このツールの判定には含めていません。
このツールの判定方法
- 対象サイトのトップページに GET を 1 回送り、レスポンスヘッダ（X-Powered-By・Server・Set-Cookie）と本文の先頭 64KB を読みます
- PHP のバージョン末尾の
-1ubuntu…、+deb…、.el9などは、ディストリビューションのパッケージとして扱います。パッケージは修正が取り込まれていても版番号が変わらないことがあるため、黄にします - 接続先 IP の逆引き（PTR）と IP レンジから、今回の脆弱性にサーバー側で対策済みと公式に発表しているレンタルサーバーかを見分けます。一覧にないサーバーは、すべて自前運用として判定します
- 判定に AI（LLM）は使っていません