PHP2Shell チェッカー

前提と注意事項

対象は自分が管理する、または運用側の許可があるサイトに限ります。許可のない第三者サイトには実行しないでください。
送信するのは GET / HEAD / OPTIONS のみで、攻撃コードやシングルクォート等の入力は送りません。1回の診断は最大70リクエスト程度（同時2接続・間隔あり）です。
「何も見えない」は判定不能であって、安全ではありません。最終判断はサーバー内部の確認か運用側への確認で行ってください。

チェックするURL

パラメータ付きのURL（例: ?id=1）を入力すると、配列化（?id[]=1）した1回のリクエストでPHPエラー表示も確認します。ログインページのURLを入れるとCookie属性を確認しやすくなります。

チェック項目の選択

2. 置き忘れファイル・情報漏えい（約20リクエスト） 3. エラー表示・HTTPメソッド 5. CMS/LMS/ライブラリのバージョン 6. TLS 設定（ハンドシェイク確認）

1. バージョン露出、4. Cookie、6. HTTPヘッダーは常に確認します。

PHP2Shell（CVE-2026-109618 / CVE-2026-109619）の確認結果

確認中

チェック中です…

修正版

8.2系8.2.35

8.3系8.3.36

8.4系8.4.27

8.5系8.5.12

8.1以前修正なし

運用側への確認事項

PHPのバージョン（ディストリ版の場合はパッケージのバージョン）
CVE-2026-109618 / CVE-2026-109619 の修正適用の有無と適用日時
適用後に PHP-FPM（または Apache）を再起動したか
2026年10月20日以降のログで、不審なアクセスや PHP ワーカーの異常終了がないか確認したか

外部から見えるバージョンだけで判定しています。バージョンが見えない場合は「判定不能」であって、安全ではありません。PHP2Shell の悪用前提条件（セッションID受付、upload_progress）まで調べる専用スキャナーはアクティブな検査のため、運用側の許可を得て検証環境から実施してください。

それ以外のチェック結果

PHP2Shell とは別の脆弱性・設定不備です。2章（置き忘れファイル）で見つかったものはパッチ状況と無関係に即対応が必要です。

診断の概要

7. あわせて使える外部ツール

いずれもヘッダーや公開情報を読む確認が基本です。アクティブな検査は運用側の許可を得てから実施してください。GitHub のツールは実行前に必ずコードを読んでください。

ツール	確認できること	種別
ATLAS PHP2Shell Vulnerability Check	表示PHPバージョンとPHP2Shell影響範囲の照合	Web・受動
PHP2Shell scanner (Pentest-Tools.com)	同上。PDFレポート出力あり	Web・受動
CyberRoute/php2shell-scanner	バージョン判定＋悪用の前提条件	CLI・アクティブ（許可必須）
JoasASantos/php2shell-scanner	サブドメイン列挙＋バージョン判定	CLI・受動中心
SSL Labs	TLS設定・証明書の総合評価	Web・受動
securityheaders.com / Mozilla Observatory	セキュリティヘッダーの評価	Web・受動
WPScan	WordPress本体・プラグインの既知脆弱性	CLI・アクティブ（許可必須）