{"content_id":"vufynon7qa","slug":"php2shell-enterprise-security-patch-response-guide","locale":"ja","schema_type":"HowTo","category":"how_to","category_name":"ハウツー","title":"PHP2Shell 企業サーバーのセキュリティ対策","summary":"PHP2Shellへの対応は、実際のWebサービスのPHP更新と再起動から始めます。侵害が疑われる場合は、まず証拠を保全し、パッチ適用後もログの確認と認証情報の変更が必要です。","sponsorship_disclosure":null,"affiliate_disclosure":null,"commerce_disclosure":null,"author":{"name":"Injoys 編集部","url":"https://injoys.com/ko/about"},"key_points":["稼働中のサーバーと組み込み製品でのPHPの使用状況を確認してください。","侵害が疑われる場合は、サーバーを隔離し、再起動前に証拠を保全してください。","修正版を適用するか、更新までの間は公式の暫定措置を適用してください。","PHPを実行するサービスを再起動した後、実際のWebサービスにパッチが反映されているか確認してください。","過去のログを確認し、外部にさらされたサーバーの認証情報を変更してください。"],"content_markdown":"PHP2Shellへの対応は、PHPの使用状況の確認と修正版の適用から始めます。更新後は、実行サービスを再起動してください。侵害が疑われる場合は、再起動前に証拠を保全する必要があります。パッチ適用後もログの点検と認証情報の変更が必要です。\n\nバージョンと設定は、2026年10月22日のKISAの告知と10月23日のPHPの追加告知に基づきます。\n\n## PHP2Shellはどのような脆弱性ですか？\n\nPHP2Shellは、認証なしでサーバー上のコードを実行できるPHPの脆弱性です。Webサーバーがリクエストを処理する過程でのメモリ管理の問題です。攻撃が成功するかどうかは、実行環境と設定によって異なります。\n\n| 区分 | 識別番号 | 問題の性質 |\n| --- | --- | --- |\n| メモリ不足時の処理の問題 | CVE-2026-109618 | メモリ不足時に不完全な内部データを処理 |\n| リクエスト間に残る状態の問題 | CVE-2026-109619 | 解放済みメモリを指す状態を後続のリクエストで使用 |\n\nKISAは、2つの脆弱性の深刻度をCVSS 9.2点と案内しています。攻撃が成功すると、Webシェルの設置や顧客情報の流出が可能になります。Webシェルは、サーバーの遠隔操作に悪用されるファイルです。Webサイトの改ざんや内部ネットワークへの侵入につながる可能性もあります。\n\nKISAは、パッチ配布前の情報流出と攻撃の試みについて案内しました。研究チームは、AIを活用した脆弱性の発見過程を公開しました。問題はPHP自体にあり、特定のWebサイト製品だけに限られません。[KISAの企業向け対応指針](https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133\u0026menuNo=205020\u0026nttId=72230)、[研究チームによるPHP2Shellの説明](https://www.php2shell.com/)\n\n## 条件別の対応順序\n\n侵害が疑われるかどうかによって、更新と証拠保全の順序が変わります。通常のパッチ作業では、テスト後に更新と再起動を進めます。侵害が疑われるサーバーは、まず隔離してください。\n\n| 現在の状態 | 最初にすること | 続いてすること |\n| --- | --- | --- |\n| 侵害の兆候がない公開サーバー | 互換性の検討と修正版の適用 | 再起動、実際のバージョン確認、ログの点検 |\n| Webシェルや不審な接続を発見 | ネットワークからの隔離と通報 | 証拠保全後の復旧措置 |\n| すぐに更新するのが難しいサーバー | 公式の暫定設定と前段でのリクエスト制限 | パッチ適用日程の策定と適用 |\n| 暫定措置も難しいサーバー | 外部接続の遮断または一時停止を検討 | パッチ適用後に再開するか判断 |\n| ホスティング事業者・メーカーが管理する環境 | 管理業者に適用状況を確認 | 実行環境への反映を示す根拠を確保 |\n\n更新後の再起動は、修正コードを実行するための手順です。インシデント対応中に再起動を見送る理由は、証拠保全です。同じサーバーでも、侵害が疑われる状態なら後者の順序に従ってください。\n\n## PHPの使用状況を確認する方法\n\n資産一覧と実際に稼働しているサーバーを併せて確認してください。代表的なWebサイトだけを点検すると、管理対象から漏れたサーバーを見逃す可能性があります。PHPを含む機器やコンテナも確認対象です。\n\n1. インターネットに公開しているWebサイトとシステムを一覧にしてください。\n2. 外注で制作したサイトと古いサイトを確認してください。\n3. イベント用・テスト用サーバーと管理者ページを確認してください。\n4. 機器の管理画面やソリューションにPHPが含まれているか確認してください。\n5. コンテナイメージと実行中のコンテナを確認してください。\n6. 各環境のPHPバージョンと管理担当者を記録してください。\n\nホスティングを利用している場合は、業者にパッチが適用されているか確認を依頼してください。機器に含まれるPHPについては、メーカーの更新情報を確認してください。内部システムも点検しつつ、インターネット公開サーバーから対処してください。\n\n## PHPの修正版とサポート終了の基準\n\nPHPの公式告知に記載された8.5系の修正版は、**8.5.12**です。KISAの原文でも同じバージョンを案内しています。8.5.13を待たなければパッチを適用できないという意味ではありません。\n\n| 使用系列 | 2つの脆弱性の修正版 | 対応基準 |\n| --- | --- | --- |\n| PHP 8.5 | 8.5.13以上 | 該当系列の最新セキュリティリリースを確認 |\n| PHP 8.4 | 8.4.27以上 | 該当系列の最新セキュリティリリースを確認 |\n| PHP 8.3 | 8.3.36以上 | 該当系列の最新セキュリティリリースを確認 |\n| PHP 8.2 | 8.2.35以上 | パッチ適用と併せて上位系列への移行を準備 |\n| PHP 8.1以下 | 通常のセキュリティサポートが終了 | サポート対象系列への移行またはベンダーのパッチを確認 |\n\n表は、2026年10月21日に発表された修正版を基準にしています。ディストリビューションのパッケージでは、表示バージョンが変わらない場合があります。この場合は、変更履歴で2つのCVEが修正されているか確認してください。[PHPのセキュリティリリース告知](https://www.php.net/archive/2026.php)\n\nPHP 8.2のセキュリティサポート終了日は、2026年12月31日です。KISAは、PHP 8.3以上への移行を推奨しています。移行前にアプリケーションの互換性をテストしてください。[PHPのサポートスケジュール](https://www.php.net/supported-versions.php)\n\nPHP 8.1以下は、通常のセキュリティサポートが終了しています。ディストリビューションや長期サポート業者のパッチは、別途確認する必要があります。今回公開された旧バージョン向けのソースパッチも、通常のサポート再開を意味するものではありません。\n\n## 更新と再起動の方法\n\nインストールファイルを置き換えた後は、PHP実行サービスの再起動が必要です。既存のプロセスが、メモリに残ったコードを実行し続ける可能性があります。侵害が疑われる場合は、以下の作業より先に証拠保全を進めてください。\n\n1. パッチが既存の機能に与える影響を検討してください。\n2. テスト環境でサービスの互換性を確認してください。\n3. インターネット公開サーバーから修正パッケージを適用してください。\n4. PHPを実行するすべてのサービスを再起動してください。\n5. コンテナ環境では、修正済みのイメージで再デプロイしてください。\n6. 実際のWebリクエストを処理するPHPに修正が反映されているか確認してください。\n\n再起動の対象には、PHP-FPMとApache mod_phpが含まれます。php-cgi、FrankenPHP、LiteSpeedも確認してください。サーバーに複数のPHP環境がある場合は、それぞれ点検する必要があります。\n\n`php -v`は、コマンドラインで実行されるPHPのバージョンを表示します。Webサービスが使用するPHPとは異なる場合があります。コマンドラインの出力だけで更新完了と判断しないでください。\n\n## 更新前の暫定設定の基準\n\n暫定措置は、一部の攻撃経路を減らす手段です。脆弱性全体を解消するものではありません。設定の適用が難しい場合は、外部接続の遮断を検討してください。\n\n### memory_limitの設定はどのように適用しますか？\n\n今回の脆弱性に対する公式の暫定推奨設定は、`memory_limit=-1`です。この値は、PHP自体のメモリ使用量の上限を解除します。通常の運用設定として受け取らないでください。\n\n上限を解除すると、メモリ不足を引き起こす特定の経路が減ります。実際のメモリ割り当ての失敗まで防ぐ設定ではありません。リクエストサイズの制限とリソース管理対策を併せて検討する必要があります。[PHPのメモリ不足に関する脆弱性の勧告](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w)\n\n| 項目 | 公式の暫定措置 | 適用時の確認事項 |\n| --- | --- | --- |\n| `memory_limit` | `-1`を指定 | アプリケーションが変更できないよう管理者設定を適用 |\n| `session.upload_progress.enabled` | `0`を指定 | リクエスト処理前に適用される設定箇所を使用 |\n| `post_max_size` | アップロードが不要な場合は`8M`が例 | 実際のサービス要件と前段の制限を併せて検討 |\n| `upload_max_filesize` | `post_max_size`より小さく指定 | ファイルアップロード機能への影響を確認 |\n| `fatal_error_backtraces` | PHP 8.5で`0`を指定 | 他の系列には一括適用しないこと |\n\n表の設定値は、2026年10月の公式対応告知に基づいています。`8M`は、アップロードが不要なサービス向けに示された例です。すべてのサービスに同じサイズを適用する基準ではありません。\n\n1. Webアプリケーションファイアウォール・Webサーバー・プロキシでリクエストサイズを制限してください。\n2. サイズ情報がないリクエストにも制限が適用されるか確認してください。\n3. アップロードが不要な場合は、multipartリクエストを前段で遮断してください。\n4. Webアプリケーションファイアウォールの最新の遮断ルールを確認してください。\n5. `php.ini`やPHP-FPM poolなどで設定を適用してください。\n6. 証拠保全が必要か確認したうえで、PHPプロセスを再起動してください。\n\n`ini_set()`だけで暫定設定を適用しないでください。リクエスト処理前に必要な設定の適用が遅れる可能性があります。PHP-FPMの`.user.ini`にも、同じ役割を期待しないでください。[PHPの公式暫定措置](https://www.php.net/archive/2026.php)\n\n### 10月23日の追加告知で確認する内容\n\nPHPは追加告知で、アップロード進捗機能を無効にするよう推奨しました。一部の設定の組み合わせに残る、別の実行経路についての案内です。すでに機能を無効にしている場合は、次回の定期修正リリースまで維持するよう案内しています。\n\n該当する条件には、実行中のセッションのシリアライズ方式の変更が含まれます。すべてのPHP環境で同じ条件が成立するわけではありません。パッチ適用後に設定を戻すかどうかは、追加告知を確認して決めてください。（確認値 session.upload_progress.enabled=0を次回の定期バグ修正リリースまで維持するよう推奨 · 出典 php.net · 2026-10-23確認）[PHP Session upload progressの追加告知](https://www.php.net/archive/2026.php)\n\n## ログの点検と認証情報の変更方法\n\nKISAは、少なくとも**2026年10月20日以降**の記録を点検するよう推奨しています。可能であれば、それ以前の記録も確認してください。パッチを適用しても、すでに発生した侵害や情報流出を元に戻すことはできません。\n\n| 点検対象 | 確認する痕跡 |\n| --- | --- |\n| Webサーバーログ | 繰り返し発生するHTTP 500エラー |\n| PHPの実行記録 | 異常終了とsegfault |\n| Web・アップロード・一時フォルダー | 新規作成または変更されたPHPファイル |\n| プロセスの実行記録 | Webサーバーによるsh・bash・ダウンロードツールの実行 |\n| ネットワーク接続 | 見慣れない外部アドレスへの新規接続の痕跡 |\n| Webサイト・管理ページ | 密かに追加された外部スクリプト |\n\nエラーがあるという事実だけでは、侵害を断定できません。逆に、異常な記録がないからといって、安全を断定することもできません。KISAは次のように案内しています。\n\n\u003e 記録上の異常がなくても安全は保証されないため、更新と認証情報の変更を併せて進めてください。\n\u003e\n\u003e KISA「PHPのセキュリティ脆弱性(PHP2Shell)に関する企業向けセキュリティ対応指針」\n\nパッチ適用前にインターネットに公開されていたサーバーでは、認証情報の変更が推奨されます。侵害の痕跡が見つかったサーバーでは、必ず変更してください。対象には、DBパスワードと管理者パスワードが含まれます。APIキーとアクセストークンも、漏えいの可能性を点検してください。\n\n個人情報DBに接続するサービスでは、DBの記録も確認してください。大量照会や持ち出しの痕跡を点検する必要があります。phpMyAdminへのインターネットからの直接アクセスも制限してください。Webサービス用アカウントのDB権限は、必要な範囲に絞ってください。[개인정보보호위원회の予防措置の案内](https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074\u0026mCode=C010010000\u0026nttId=12588)\n\n## 侵害が疑われる場合の対応順序\n\n侵害が疑われる場合は、サーバーの電源を切ったり、すぐに再起動したりしないでください。再起動によって、メモリに残る攻撃の痕跡が消える可能性があります。ネットワークから隔離した後、証拠の確保を進めてください。\n\n1. サーバーの外部接続をネットワークで遮断してください。\n2. 韓国国内の企業は、보호나라の侵害インシデント通報メニューから通報してください。\n3. ログと実行中のプログラム一覧を保全してください。\n4. 現在のネットワーク接続情報も保全してください。\n5. 証拠を確保した後、更新と再起動を進めてください。\n6. Webシェルの除去と認証情報の変更を進めてください。\n\n韓国国内の相談窓口は、KISA 118です。通報メニューは、보호나라 \u003e 侵害インシデントの通報 \u003e 通報する、です。海外で運用している場合は、その地域の通報窓口を確認してください。\n\n## よくある誤りの比較\n\nパッチの適用状況は、実行状態と変更履歴まで確認する必要があります。インストール完了メッセージだけでは、確認は終わりません。次の判断をチェックリストに入れておいてください。\n\n| よくある判断 | 確認すべき内容 |\n| --- | --- |\n| `php -v`が変われば完了 | Webサービスが実際に使用するPHPを確認 |\n| パッケージをインストールすれば完了 | PHP実行サービスの再起動を確認 |\n| バージョン番号が変わらなければ未対応 | ディストリビューションの変更履歴でCVEの修正状況を確認 |\n| Webアプリケーションファイアウォールがあればパッチを省略可能 | 最新ルールの確認とPHPの更新を並行して実施 |\n| ログに異常がなければ流出なし | 認証情報が漏えいした可能性まで検討 |\n| 外注サイトは業者が対応してくれる | サービスごとの適用を示す根拠を依頼 |\n\nインターネットで見つけた検証コードを、本番サーバーで実行しないでください。KISAは、マルウェアを含む偽のPoCについて警告しています。PoCは、脆弱性を悪用できることを示す検証コードです。脆弱性の影響を受けるかどうかは、まずバージョンとパッチ履歴から確認してください。\n\n## 外注・ホスティング環境の対応完了確認表\n\n対応完了報告には、サービスごとに確認の根拠を残すとよいです。以下の表は、KISAの対応指針を業務上の確認項目としてまとめたものです。別途定められた公式の提出様式ではありません。\n\n| 確認項目 | 業者や担当者に依頼する内容 |\n| --- | --- |\n| 対象の漏れの有無 | Webサイト・管理ページ・テストサーバーの点検一覧 |\n| 脆弱性の修正 | 適用バージョン、または2つのCVEが記載されたパッケージの変更履歴 |\n| 実行状態 | サービスの再起動またはコンテナの再デプロイ記録 |\n| 実際の反映 | Webサービスで確認したPHPの実行環境 |\n| 侵害の点検 | 点検したログの期間と発見事項 |\n| 認証情報 | 変更対象と完了状況 |\n| 残作業 | 暫定措置のみ適用されたサーバーと今後のパッチ適用計画 |\n\n例えば、業者からパッケージのインストール完了だけが報告されたとします。この場合は、再起動とWeb実行環境の確認結果を依頼してください。ログの点検と認証情報の変更は、別項目として確認すればよいです。","content_html":"\u003cp\u003ePHP2Shellへの対応は、PHPの使用状況の確認と修正版の適用から始めます。更新後は、実行サービスを再起動してください。侵害が疑われる場合は、再起動前に証拠を保全する必要があります。パッチ適用後もログの点検と認証情報の変更が必要です。\u003c/p\u003e\n\u003cp\u003eバージョンと設定は、2026年10月22日のKISAの告知と10月23日のPHPの追加告知に基づきます。\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#php2shell%E3%81%AF%E3%81%A9%E3%81%AE%E3%82%88%E3%81%86%E3%81%AA%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%A7%E3%81%99%E3%81%8B\" class=\"anchor\" id=\"php2shellはどのような脆弱性ですか\"\u003e\u003c/a\u003ePHP2Shellはどのような脆弱性ですか？\u003c/h2\u003e\n\u003cp\u003ePHP2Shellは、認証なしでサーバー上のコードを実行できるPHPの脆弱性です。Webサーバーがリクエストを処理する過程でのメモリ管理の問題です。攻撃が成功するかどうかは、実行環境と設定によって異なります。\u003c/p\u003e\n\u003cdiv class=\"overflow-x-auto\"\u003e\u003ctable\u003e\n\u003cthead\u003e\n\u003ctr\u003e\n\u003cth\u003e区分\u003c/th\u003e\n\u003cth\u003e識別番号\u003c/th\u003e\n\u003cth\u003e問題の性質\u003c/th\u003e\n\u003c/tr\u003e\n\u003c/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"区分\"\u003eメモリ不足時の処理の問題\u003c/td\u003e\n\u003ctd data-label=\"識別番号\"\u003eCVE-2026-109618\u003c/td\u003e\n\u003ctd data-label=\"問題の性質\"\u003eメモリ不足時に不完全な内部データを処理\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"区分\"\u003eリクエスト間に残る状態の問題\u003c/td\u003e\n\u003ctd data-label=\"識別番号\"\u003eCVE-2026-109619\u003c/td\u003e\n\u003ctd data-label=\"問題の性質\"\u003e解放済みメモリを指す状態を後続のリクエストで使用\u003c/td\u003e\n\u003c/tr\u003e\n\u003c/tbody\u003e\n\u003c/table\u003e\u003c/div\u003e\n\u003cp\u003eKISAは、2つの脆弱性の深刻度をCVSS 9.2点と案内しています。攻撃が成功すると、Webシェルの設置や顧客情報の流出が可能になります。Webシェルは、サーバーの遠隔操作に悪用されるファイルです。Webサイトの改ざんや内部ネットワークへの侵入につながる可能性もあります。\u003c/p\u003e\n\u003cp\u003eKISAは、パッチ配布前の情報流出と攻撃の試みについて案内しました。研究チームは、AIを活用した脆弱性の発見過程を公開しました。問題はPHP自体にあり、特定のWebサイト製品だけに限られません。\u003ca href=\"https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133\u0026amp;menuNo=205020\u0026amp;nttId=72230\"\u003eKISAの企業向け対応指針\u003c/a\u003e、\u003ca href=\"https://www.php2shell.com/\"\u003e研究チームによるPHP2Shellの説明\u003c/a\u003e\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#%E6%9D%A1%E4%BB%B6%E5%88%A5%E3%81%AE%E5%AF%BE%E5%BF%9C%E9%A0%86%E5%BA%8F\" class=\"anchor\" id=\"条件別の対応順序\"\u003e\u003c/a\u003e条件別の対応順序\u003c/h2\u003e\n\u003cp\u003e侵害が疑われるかどうかによって、更新と証拠保全の順序が変わります。通常のパッチ作業では、テスト後に更新と再起動を進めます。侵害が疑われるサーバーは、まず隔離してください。\u003c/p\u003e\n\u003cdiv class=\"overflow-x-auto\"\u003e\u003ctable\u003e\n\u003cthead\u003e\n\u003ctr\u003e\n\u003cth\u003e現在の状態\u003c/th\u003e\n\u003cth\u003e最初にすること\u003c/th\u003e\n\u003cth\u003e続いてすること\u003c/th\u003e\n\u003c/tr\u003e\n\u003c/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"現在の状態\"\u003e侵害の兆候がない公開サーバー\u003c/td\u003e\n\u003ctd data-label=\"最初にすること\"\u003e互換性の検討と修正版の適用\u003c/td\u003e\n\u003ctd data-label=\"続いてすること\"\u003e再起動、実際のバージョン確認、ログの点検\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"現在の状態\"\u003eWebシェルや不審な接続を発見\u003c/td\u003e\n\u003ctd data-label=\"最初にすること\"\u003eネットワークからの隔離と通報\u003c/td\u003e\n\u003ctd data-label=\"続いてすること\"\u003e証拠保全後の復旧措置\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"現在の状態\"\u003eすぐに更新するのが難しいサーバー\u003c/td\u003e\n\u003ctd data-label=\"最初にすること\"\u003e公式の暫定設定と前段でのリクエスト制限\u003c/td\u003e\n\u003ctd data-label=\"続いてすること\"\u003eパッチ適用日程の策定と適用\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"現在の状態\"\u003e暫定措置も難しいサーバー\u003c/td\u003e\n\u003ctd data-label=\"最初にすること\"\u003e外部接続の遮断または一時停止を検討\u003c/td\u003e\n\u003ctd data-label=\"続いてすること\"\u003eパッチ適用後に再開するか判断\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"現在の状態\"\u003eホスティング事業者・メーカーが管理する環境\u003c/td\u003e\n\u003ctd data-label=\"最初にすること\"\u003e管理業者に適用状況を確認\u003c/td\u003e\n\u003ctd data-label=\"続いてすること\"\u003e実行環境への反映を示す根拠を確保\u003c/td\u003e\n\u003c/tr\u003e\n\u003c/tbody\u003e\n\u003c/table\u003e\u003c/div\u003e\n\u003cp\u003e更新後の再起動は、修正コードを実行するための手順です。インシデント対応中に再起動を見送る理由は、証拠保全です。同じサーバーでも、侵害が疑われる状態なら後者の順序に従ってください。\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#php%E3%81%AE%E4%BD%BF%E7%94%A8%E7%8A%B6%E6%B3%81%E3%82%92%E7%A2%BA%E8%AA%8D%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95\" class=\"anchor\" id=\"phpの使用状況を確認する方法\"\u003e\u003c/a\u003ePHPの使用状況を確認する方法\u003c/h2\u003e\n\u003cp\u003e資産一覧と実際に稼働しているサーバーを併せて確認してください。代表的なWebサイトだけを点検すると、管理対象から漏れたサーバーを見逃す可能性があります。PHPを含む機器やコンテナも確認対象です。\u003c/p\u003e\n\u003col\u003e\n\u003cli\u003eインターネットに公開しているWebサイトとシステムを一覧にしてください。\u003c/li\u003e\n\u003cli\u003e外注で制作したサイトと古いサイトを確認してください。\u003c/li\u003e\n\u003cli\u003eイベント用・テスト用サーバーと管理者ページを確認してください。\u003c/li\u003e\n\u003cli\u003e機器の管理画面やソリューションにPHPが含まれているか確認してください。\u003c/li\u003e\n\u003cli\u003eコンテナイメージと実行中のコンテナを確認してください。\u003c/li\u003e\n\u003cli\u003e各環境のPHPバージョンと管理担当者を記録してください。\u003c/li\u003e\n\u003c/ol\u003e\n\u003cp\u003eホスティングを利用している場合は、業者にパッチが適用されているか確認を依頼してください。機器に含まれるPHPについては、メーカーの更新情報を確認してください。内部システムも点検しつつ、インターネット公開サーバーから対処してください。\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#php%E3%81%AE%E4%BF%AE%E6%AD%A3%E7%89%88%E3%81%A8%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E7%B5%82%E4%BA%86%E3%81%AE%E5%9F%BA%E6%BA%96\" class=\"anchor\" id=\"phpの修正版とサポート終了の基準\"\u003e\u003c/a\u003ePHPの修正版とサポート終了の基準\u003c/h2\u003e\n\u003cp\u003ePHPの公式告知に記載された8.5系の修正版は、\u003cstrong\u003e8.5.12\u003c/strong\u003eです。KISAの原文でも同じバージョンを案内しています。8.5.13を待たなければパッチを適用できないという意味ではありません。\u003c/p\u003e\n\u003cdiv class=\"overflow-x-auto\"\u003e\u003ctable\u003e\n\u003cthead\u003e\n\u003ctr\u003e\n\u003cth\u003e使用系列\u003c/th\u003e\n\u003cth\u003e2つの脆弱性の修正版\u003c/th\u003e\n\u003cth\u003e対応基準\u003c/th\u003e\n\u003c/tr\u003e\n\u003c/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"使用系列\"\u003ePHP 8.5\u003c/td\u003e\n\u003ctd data-label=\"2つの脆弱性の修正版\"\u003e8.5.13以上\u003c/td\u003e\n\u003ctd data-label=\"対応基準\"\u003e該当系列の最新セキュリティリリースを確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"使用系列\"\u003ePHP 8.4\u003c/td\u003e\n\u003ctd data-label=\"2つの脆弱性の修正版\"\u003e8.4.27以上\u003c/td\u003e\n\u003ctd data-label=\"対応基準\"\u003e該当系列の最新セキュリティリリースを確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"使用系列\"\u003ePHP 8.3\u003c/td\u003e\n\u003ctd data-label=\"2つの脆弱性の修正版\"\u003e8.3.36以上\u003c/td\u003e\n\u003ctd data-label=\"対応基準\"\u003e該当系列の最新セキュリティリリースを確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"使用系列\"\u003ePHP 8.2\u003c/td\u003e\n\u003ctd data-label=\"2つの脆弱性の修正版\"\u003e8.2.35以上\u003c/td\u003e\n\u003ctd data-label=\"対応基準\"\u003eパッチ適用と併せて上位系列への移行を準備\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"使用系列\"\u003ePHP 8.1以下\u003c/td\u003e\n\u003ctd data-label=\"2つの脆弱性の修正版\"\u003e通常のセキュリティサポートが終了\u003c/td\u003e\n\u003ctd data-label=\"対応基準\"\u003eサポート対象系列への移行またはベンダーのパッチを確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003c/tbody\u003e\n\u003c/table\u003e\u003c/div\u003e\n\u003cp\u003e表は、2026年10月21日に発表された修正版を基準にしています。ディストリビューションのパッケージでは、表示バージョンが変わらない場合があります。この場合は、変更履歴で2つのCVEが修正されているか確認してください。\u003ca href=\"https://www.php.net/archive/2026.php\"\u003ePHPのセキュリティリリース告知\u003c/a\u003e\u003c/p\u003e\n\u003cp\u003ePHP 8.2のセキュリティサポート終了日は、2026年12月31日です。KISAは、PHP 8.3以上への移行を推奨しています。移行前にアプリケーションの互換性をテストしてください。\u003ca href=\"https://www.php.net/supported-versions.php\"\u003ePHPのサポートスケジュール\u003c/a\u003e\u003c/p\u003e\n\u003cp\u003ePHP 8.1以下は、通常のセキュリティサポートが終了しています。ディストリビューションや長期サポート業者のパッチは、別途確認する必要があります。今回公開された旧バージョン向けのソースパッチも、通常のサポート再開を意味するものではありません。\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#%E6%9B%B4%E6%96%B0%E3%81%A8%E5%86%8D%E8%B5%B7%E5%8B%95%E3%81%AE%E6%96%B9%E6%B3%95\" class=\"anchor\" id=\"更新と再起動の方法\"\u003e\u003c/a\u003e更新と再起動の方法\u003c/h2\u003e\n\u003cp\u003eインストールファイルを置き換えた後は、PHP実行サービスの再起動が必要です。既存のプロセスが、メモリに残ったコードを実行し続ける可能性があります。侵害が疑われる場合は、以下の作業より先に証拠保全を進めてください。\u003c/p\u003e\n\u003col\u003e\n\u003cli\u003eパッチが既存の機能に与える影響を検討してください。\u003c/li\u003e\n\u003cli\u003eテスト環境でサービスの互換性を確認してください。\u003c/li\u003e\n\u003cli\u003eインターネット公開サーバーから修正パッケージを適用してください。\u003c/li\u003e\n\u003cli\u003ePHPを実行するすべてのサービスを再起動してください。\u003c/li\u003e\n\u003cli\u003eコンテナ環境では、修正済みのイメージで再デプロイしてください。\u003c/li\u003e\n\u003cli\u003e実際のWebリクエストを処理するPHPに修正が反映されているか確認してください。\u003c/li\u003e\n\u003c/ol\u003e\n\u003cp\u003e再起動の対象には、PHP-FPMとApache mod_phpが含まれます。php-cgi、FrankenPHP、LiteSpeedも確認してください。サーバーに複数のPHP環境がある場合は、それぞれ点検する必要があります。\u003c/p\u003e\n\u003cp\u003e\u003ccode\u003ephp -v\u003c/code\u003eは、コマンドラインで実行されるPHPのバージョンを表示します。Webサービスが使用するPHPとは異なる場合があります。コマンドラインの出力だけで更新完了と判断しないでください。\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#%E6%9B%B4%E6%96%B0%E5%89%8D%E3%81%AE%E6%9A%AB%E5%AE%9A%E8%A8%AD%E5%AE%9A%E3%81%AE%E5%9F%BA%E6%BA%96\" class=\"anchor\" id=\"更新前の暫定設定の基準\"\u003e\u003c/a\u003e更新前の暫定設定の基準\u003c/h2\u003e\n\u003cp\u003e暫定措置は、一部の攻撃経路を減らす手段です。脆弱性全体を解消するものではありません。設定の適用が難しい場合は、外部接続の遮断を検討してください。\u003c/p\u003e\n\u003ch3\u003e\n\u003ca href=\"#memory_limit%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%81%AF%E3%81%A9%E3%81%AE%E3%82%88%E3%81%86%E3%81%AB%E9%81%A9%E7%94%A8%E3%81%97%E3%81%BE%E3%81%99%E3%81%8B\" class=\"anchor\" id=\"memory_limitの設定はどのように適用しますか\"\u003e\u003c/a\u003ememory_limitの設定はどのように適用しますか？\u003c/h3\u003e\n\u003cp\u003e今回の脆弱性に対する公式の暫定推奨設定は、\u003ccode\u003ememory_limit=-1\u003c/code\u003eです。この値は、PHP自体のメモリ使用量の上限を解除します。通常の運用設定として受け取らないでください。\u003c/p\u003e\n\u003cp\u003e上限を解除すると、メモリ不足を引き起こす特定の経路が減ります。実際のメモリ割り当ての失敗まで防ぐ設定ではありません。リクエストサイズの制限とリソース管理対策を併せて検討する必要があります。\u003ca href=\"https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w\"\u003ePHPのメモリ不足に関する脆弱性の勧告\u003c/a\u003e\u003c/p\u003e\n\u003cdiv class=\"overflow-x-auto\"\u003e\u003ctable\u003e\n\u003cthead\u003e\n\u003ctr\u003e\n\u003cth\u003e項目\u003c/th\u003e\n\u003cth\u003e公式の暫定措置\u003c/th\u003e\n\u003cth\u003e適用時の確認事項\u003c/th\u003e\n\u003c/tr\u003e\n\u003c/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"項目\"\u003e\u003ccode\u003ememory_limit\u003c/code\u003e\u003c/td\u003e\n\u003ctd data-label=\"公式の暫定措置\"\u003e\n\u003ccode\u003e-1\u003c/code\u003eを指定\u003c/td\u003e\n\u003ctd data-label=\"適用時の確認事項\"\u003eアプリケーションが変更できないよう管理者設定を適用\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"項目\"\u003e\u003ccode\u003esession.upload_progress.enabled\u003c/code\u003e\u003c/td\u003e\n\u003ctd data-label=\"公式の暫定措置\"\u003e\n\u003ccode\u003e0\u003c/code\u003eを指定\u003c/td\u003e\n\u003ctd data-label=\"適用時の確認事項\"\u003eリクエスト処理前に適用される設定箇所を使用\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"項目\"\u003e\u003ccode\u003epost_max_size\u003c/code\u003e\u003c/td\u003e\n\u003ctd data-label=\"公式の暫定措置\"\u003eアップロードが不要な場合は\u003ccode\u003e8M\u003c/code\u003eが例\u003c/td\u003e\n\u003ctd data-label=\"適用時の確認事項\"\u003e実際のサービス要件と前段の制限を併せて検討\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"項目\"\u003e\u003ccode\u003eupload_max_filesize\u003c/code\u003e\u003c/td\u003e\n\u003ctd data-label=\"公式の暫定措置\"\u003e\n\u003ccode\u003epost_max_size\u003c/code\u003eより小さく指定\u003c/td\u003e\n\u003ctd data-label=\"適用時の確認事項\"\u003eファイルアップロード機能への影響を確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"項目\"\u003e\u003ccode\u003efatal_error_backtraces\u003c/code\u003e\u003c/td\u003e\n\u003ctd data-label=\"公式の暫定措置\"\u003ePHP 8.5で\u003ccode\u003e0\u003c/code\u003eを指定\u003c/td\u003e\n\u003ctd data-label=\"適用時の確認事項\"\u003e他の系列には一括適用しないこと\u003c/td\u003e\n\u003c/tr\u003e\n\u003c/tbody\u003e\n\u003c/table\u003e\u003c/div\u003e\n\u003cp\u003e表の設定値は、2026年10月の公式対応告知に基づいています。\u003ccode\u003e8M\u003c/code\u003eは、アップロードが不要なサービス向けに示された例です。すべてのサービスに同じサイズを適用する基準ではありません。\u003c/p\u003e\n\u003col\u003e\n\u003cli\u003eWebアプリケーションファイアウォール・Webサーバー・プロキシでリクエストサイズを制限してください。\u003c/li\u003e\n\u003cli\u003eサイズ情報がないリクエストにも制限が適用されるか確認してください。\u003c/li\u003e\n\u003cli\u003eアップロードが不要な場合は、multipartリクエストを前段で遮断してください。\u003c/li\u003e\n\u003cli\u003eWebアプリケーションファイアウォールの最新の遮断ルールを確認してください。\u003c/li\u003e\n\u003cli\u003e\n\u003ccode\u003ephp.ini\u003c/code\u003eやPHP-FPM poolなどで設定を適用してください。\u003c/li\u003e\n\u003cli\u003e証拠保全が必要か確認したうえで、PHPプロセスを再起動してください。\u003c/li\u003e\n\u003c/ol\u003e\n\u003cp\u003e\u003ccode\u003eini_set()\u003c/code\u003eだけで暫定設定を適用しないでください。リクエスト処理前に必要な設定の適用が遅れる可能性があります。PHP-FPMの\u003ccode\u003e.user.ini\u003c/code\u003eにも、同じ役割を期待しないでください。\u003ca href=\"https://www.php.net/archive/2026.php\"\u003ePHPの公式暫定措置\u003c/a\u003e\u003c/p\u003e\n\u003ch3\u003e\n\u003ca href=\"#10%E6%9C%8823%E6%97%A5%E3%81%AE%E8%BF%BD%E5%8A%A0%E5%91%8A%E7%9F%A5%E3%81%A7%E7%A2%BA%E8%AA%8D%E3%81%99%E3%82%8B%E5%86%85%E5%AE%B9\" class=\"anchor\" id=\"10月23日の追加告知で確認する内容\"\u003e\u003c/a\u003e10月23日の追加告知で確認する内容\u003c/h3\u003e\n\u003cp\u003ePHPは追加告知で、アップロード進捗機能を無効にするよう推奨しました。一部の設定の組み合わせに残る、別の実行経路についての案内です。すでに機能を無効にしている場合は、次回の定期修正リリースまで維持するよう案内しています。\u003c/p\u003e\n\u003cp\u003e該当する条件には、実行中のセッションのシリアライズ方式の変更が含まれます。すべてのPHP環境で同じ条件が成立するわけではありません。パッチ適用後に設定を戻すかどうかは、追加告知を確認して決めてください。（確認値 session.upload_progress.enabled=0を次回の定期バグ修正リリースまで維持するよう推奨 · 出典 php.net · 2026-10-23確認）\u003ca href=\"https://www.php.net/archive/2026.php\"\u003ePHP Session upload progressの追加告知\u003c/a\u003e\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#%E3%83%AD%E3%82%B0%E3%81%AE%E7%82%B9%E6%A4%9C%E3%81%A8%E8%AA%8D%E8%A8%BC%E6%83%85%E5%A0%B1%E3%81%AE%E5%A4%89%E6%9B%B4%E6%96%B9%E6%B3%95\" class=\"anchor\" id=\"ログの点検と認証情報の変更方法\"\u003e\u003c/a\u003eログの点検と認証情報の変更方法\u003c/h2\u003e\n\u003cp\u003eKISAは、少なくとも\u003cstrong\u003e2026年10月20日以降\u003c/strong\u003eの記録を点検するよう推奨しています。可能であれば、それ以前の記録も確認してください。パッチを適用しても、すでに発生した侵害や情報流出を元に戻すことはできません。\u003c/p\u003e\n\u003cdiv class=\"overflow-x-auto\"\u003e\u003ctable\u003e\n\u003cthead\u003e\n\u003ctr\u003e\n\u003cth\u003e点検対象\u003c/th\u003e\n\u003cth\u003e確認する痕跡\u003c/th\u003e\n\u003c/tr\u003e\n\u003c/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"点検対象\"\u003eWebサーバーログ\u003c/td\u003e\n\u003ctd data-label=\"確認する痕跡\"\u003e繰り返し発生するHTTP 500エラー\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"点検対象\"\u003ePHPの実行記録\u003c/td\u003e\n\u003ctd data-label=\"確認する痕跡\"\u003e異常終了とsegfault\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"点検対象\"\u003eWeb・アップロード・一時フォルダー\u003c/td\u003e\n\u003ctd data-label=\"確認する痕跡\"\u003e新規作成または変更されたPHPファイル\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"点検対象\"\u003eプロセスの実行記録\u003c/td\u003e\n\u003ctd data-label=\"確認する痕跡\"\u003eWebサーバーによるsh・bash・ダウンロードツールの実行\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"点検対象\"\u003eネットワーク接続\u003c/td\u003e\n\u003ctd data-label=\"確認する痕跡\"\u003e見慣れない外部アドレスへの新規接続の痕跡\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"点検対象\"\u003eWebサイト・管理ページ\u003c/td\u003e\n\u003ctd data-label=\"確認する痕跡\"\u003e密かに追加された外部スクリプト\u003c/td\u003e\n\u003c/tr\u003e\n\u003c/tbody\u003e\n\u003c/table\u003e\u003c/div\u003e\n\u003cp\u003eエラーがあるという事実だけでは、侵害を断定できません。逆に、異常な記録がないからといって、安全を断定することもできません。KISAは次のように案内しています。\u003c/p\u003e\n\u003cblockquote\u003e\n\u003cp\u003e記録上の異常がなくても安全は保証されないため、更新と認証情報の変更を併せて進めてください。\u003c/p\u003e\n\u003cp\u003eKISA「PHPのセキュリティ脆弱性(PHP2Shell)に関する企業向けセキュリティ対応指針」\u003c/p\u003e\n\u003c/blockquote\u003e\n\u003cp\u003eパッチ適用前にインターネットに公開されていたサーバーでは、認証情報の変更が推奨されます。侵害の痕跡が見つかったサーバーでは、必ず変更してください。対象には、DBパスワードと管理者パスワードが含まれます。APIキーとアクセストークンも、漏えいの可能性を点検してください。\u003c/p\u003e\n\u003cp\u003e個人情報DBに接続するサービスでは、DBの記録も確認してください。大量照会や持ち出しの痕跡を点検する必要があります。phpMyAdminへのインターネットからの直接アクセスも制限してください。Webサービス用アカウントのDB権限は、必要な範囲に絞ってください。\u003ca href=\"https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074\u0026amp;mCode=C010010000\u0026amp;nttId=12588\"\u003e개인정보보호위원회の予防措置の案内\u003c/a\u003e\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#%E4%BE%B5%E5%AE%B3%E3%81%8C%E7%96%91%E3%82%8F%E3%82%8C%E3%82%8B%E5%A0%B4%E5%90%88%E3%81%AE%E5%AF%BE%E5%BF%9C%E9%A0%86%E5%BA%8F\" class=\"anchor\" id=\"侵害が疑われる場合の対応順序\"\u003e\u003c/a\u003e侵害が疑われる場合の対応順序\u003c/h2\u003e\n\u003cp\u003e侵害が疑われる場合は、サーバーの電源を切ったり、すぐに再起動したりしないでください。再起動によって、メモリに残る攻撃の痕跡が消える可能性があります。ネットワークから隔離した後、証拠の確保を進めてください。\u003c/p\u003e\n\u003col\u003e\n\u003cli\u003eサーバーの外部接続をネットワークで遮断してください。\u003c/li\u003e\n\u003cli\u003e韓国国内の企業は、보호나라の侵害インシデント通報メニューから通報してください。\u003c/li\u003e\n\u003cli\u003eログと実行中のプログラム一覧を保全してください。\u003c/li\u003e\n\u003cli\u003e現在のネットワーク接続情報も保全してください。\u003c/li\u003e\n\u003cli\u003e証拠を確保した後、更新と再起動を進めてください。\u003c/li\u003e\n\u003cli\u003eWebシェルの除去と認証情報の変更を進めてください。\u003c/li\u003e\n\u003c/ol\u003e\n\u003cp\u003e韓国国内の相談窓口は、KISA 118です。通報メニューは、보호나라 \u0026gt; 侵害インシデントの通報 \u0026gt; 通報する、です。海外で運用している場合は、その地域の通報窓口を確認してください。\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#%E3%82%88%E3%81%8F%E3%81%82%E3%82%8B%E8%AA%A4%E3%82%8A%E3%81%AE%E6%AF%94%E8%BC%83\" class=\"anchor\" id=\"よくある誤りの比較\"\u003e\u003c/a\u003eよくある誤りの比較\u003c/h2\u003e\n\u003cp\u003eパッチの適用状況は、実行状態と変更履歴まで確認する必要があります。インストール完了メッセージだけでは、確認は終わりません。次の判断をチェックリストに入れておいてください。\u003c/p\u003e\n\u003cdiv class=\"overflow-x-auto\"\u003e\u003ctable\u003e\n\u003cthead\u003e\n\u003ctr\u003e\n\u003cth\u003eよくある判断\u003c/th\u003e\n\u003cth\u003e確認すべき内容\u003c/th\u003e\n\u003c/tr\u003e\n\u003c/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"よくある判断\"\u003e\n\u003ccode\u003ephp -v\u003c/code\u003eが変われば完了\u003c/td\u003e\n\u003ctd data-label=\"確認すべき内容\"\u003eWebサービスが実際に使用するPHPを確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"よくある判断\"\u003eパッケージをインストールすれば完了\u003c/td\u003e\n\u003ctd data-label=\"確認すべき内容\"\u003ePHP実行サービスの再起動を確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"よくある判断\"\u003eバージョン番号が変わらなければ未対応\u003c/td\u003e\n\u003ctd data-label=\"確認すべき内容\"\u003eディストリビューションの変更履歴でCVEの修正状況を確認\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"よくある判断\"\u003eWebアプリケーションファイアウォールがあればパッチを省略可能\u003c/td\u003e\n\u003ctd data-label=\"確認すべき内容\"\u003e最新ルールの確認とPHPの更新を並行して実施\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"よくある判断\"\u003eログに異常がなければ流出なし\u003c/td\u003e\n\u003ctd data-label=\"確認すべき内容\"\u003e認証情報が漏えいした可能性まで検討\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"よくある判断\"\u003e外注サイトは業者が対応してくれる\u003c/td\u003e\n\u003ctd data-label=\"確認すべき内容\"\u003eサービスごとの適用を示す根拠を依頼\u003c/td\u003e\n\u003c/tr\u003e\n\u003c/tbody\u003e\n\u003c/table\u003e\u003c/div\u003e\n\u003cp\u003eインターネットで見つけた検証コードを、本番サーバーで実行しないでください。KISAは、マルウェアを含む偽のPoCについて警告しています。PoCは、脆弱性を悪用できることを示す検証コードです。脆弱性の影響を受けるかどうかは、まずバージョンとパッチ履歴から確認してください。\u003c/p\u003e\n\u003ch2\u003e\n\u003ca href=\"#%E5%A4%96%E6%B3%A8%E3%83%9B%E3%82%B9%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0%E7%92%B0%E5%A2%83%E3%81%AE%E5%AF%BE%E5%BF%9C%E5%AE%8C%E4%BA%86%E7%A2%BA%E8%AA%8D%E8%A1%A8\" class=\"anchor\" id=\"外注ホスティング環境の対応完了確認表\"\u003e\u003c/a\u003e外注・ホスティング環境の対応完了確認表\u003c/h2\u003e\n\u003cp\u003e対応完了報告には、サービスごとに確認の根拠を残すとよいです。以下の表は、KISAの対応指針を業務上の確認項目としてまとめたものです。別途定められた公式の提出様式ではありません。\u003c/p\u003e\n\u003cdiv class=\"overflow-x-auto\"\u003e\u003ctable\u003e\n\u003cthead\u003e\n\u003ctr\u003e\n\u003cth\u003e確認項目\u003c/th\u003e\n\u003cth\u003e業者や担当者に依頼する内容\u003c/th\u003e\n\u003c/tr\u003e\n\u003c/thead\u003e\n\u003ctbody\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"確認項目\"\u003e対象の漏れの有無\u003c/td\u003e\n\u003ctd data-label=\"業者や担当者に依頼する内容\"\u003eWebサイト・管理ページ・テストサーバーの点検一覧\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"確認項目\"\u003e脆弱性の修正\u003c/td\u003e\n\u003ctd data-label=\"業者や担当者に依頼する内容\"\u003e適用バージョン、または2つのCVEが記載されたパッケージの変更履歴\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"確認項目\"\u003e実行状態\u003c/td\u003e\n\u003ctd data-label=\"業者や担当者に依頼する内容\"\u003eサービスの再起動またはコンテナの再デプロイ記録\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"確認項目\"\u003e実際の反映\u003c/td\u003e\n\u003ctd data-label=\"業者や担当者に依頼する内容\"\u003eWebサービスで確認したPHPの実行環境\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"確認項目\"\u003e侵害の点検\u003c/td\u003e\n\u003ctd data-label=\"業者や担当者に依頼する内容\"\u003e点検したログの期間と発見事項\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"確認項目\"\u003e認証情報\u003c/td\u003e\n\u003ctd data-label=\"業者や担当者に依頼する内容\"\u003e変更対象と完了状況\u003c/td\u003e\n\u003c/tr\u003e\n\u003ctr\u003e\n\u003ctd data-label=\"確認項目\"\u003e残作業\u003c/td\u003e\n\u003ctd data-label=\"業者や担当者に依頼する内容\"\u003e暫定措置のみ適用されたサーバーと今後のパッチ適用計画\u003c/td\u003e\n\u003c/tr\u003e\n\u003c/tbody\u003e\n\u003c/table\u003e\u003c/div\u003e\n\u003cp\u003e例えば、業者からパッケージのインストール完了だけが報告されたとします。この場合は、再起動とWeb実行環境の確認結果を依頼してください。ログの点検と認証情報の変更は、別項目として確認すればよいです。\u003c/p\u003e\n","tags":["個人情報保護","PHP","セキュリティアップデート"],"faqs":[{"question":"PHP2Shellはログインパスワードを変更すれば防げますか？","answer":"ログインなしで悪用される可能性があるため、パスワードの変更だけでは解決しません。PHPのセキュリティアップデートが必要です。認証情報の変更は、漏えいの可能性に対応するための別の措置です。"},{"question":"PHP 8.5は8.5.13まで待つ必要がありますか？","answer":"PHPとKISAの原文では、2つの脆弱性の修正版を8.5.13と案内しています。8.5.13を待つ必要があるという意味ではありません。適用時には、その系列の最新の公式リリースも確認してください。"},{"question":"PHP-FPMを使っていれば点検しなくてもよいですか？","answer":"PHP-FPMも点検対象です。実行方式によって攻撃条件は変わる可能性があります。環境の名前だけで安全かどうかを判断しないでください。"},{"question":"php -vの結果が修正版なら、対応は完了したということですか？","answer":"コマンドラインのPHPとWebサービスのPHPは異なる場合があります。実際にWebリクエストを処理する環境を確認してください。稼働中のサービスが再起動されたかどうかも確認する必要があります。"},{"question":"パッチ適用後もバージョン番号が変わらなければ、失敗したということですか？","answer":"ディストリビューションやメーカーのパッケージでは、既存のバージョンに修正が反映される場合があります。パッケージの変更履歴で、2つのCVEへの対応が反映されているか確認してください。"},{"question":"memory_limit=-1は今回の対応で禁止される設定ですか？","answer":"今回の脆弱性に対する公式の暫定的な推奨事項には、この設定が含まれています。一般的な運用上の推奨事項とは区別する必要があります。リクエスト制限とリソース管理の対策も併せて検討してください。"},{"question":"ファイルアップロードがないサイトも対象ですか？","answer":"アップロード機能がないという理由だけで対象から除外することはできません。PHP自体の脆弱性なので、使用しているバージョンとパッチの適用状況を確認してください。不要なmultipartリクエストの遮断は暫定措置です。"},{"question":"PHP 8.1以下にベンダーのパッチがあれば、使い続けてもよいですか？","answer":"ベンダーのパッチは、通常サポートの終了とは別に確認する必要があります。そのパッチを暫定的に適用する場合でも、サポート対象バージョンへの移行計画を立ててください。"},{"question":"ログに異常がなければ、認証情報はそのままでもよいですか？","answer":"ログだけで情報漏えいがなかったと判断することはできません。KISAは、パッチ適用前にインターネットに公開されていたサーバーの認証情報の変更を推奨しています。侵害の痕跡があれば、必ず変更してください。"},{"question":"侵害が疑われる場合、先にアップデートすべきですか？","answer":"まずネットワークから隔離してください。通報と証拠の確保を済ませてからアップデートしてください。再起動すると、メモリに残っている攻撃の痕跡が消える可能性があります。"},{"question":"ホスティング利用者は何を確認すべきですか？","answer":"事業者に、サービスごとのパッチ適用の根拠を求めてください。再起動と実際のWeb実行環境の確認結果も求めてください。ログの点検と認証情報の変更の有無は、別途確認してください。"},{"question":"パッチ適用後、アップロード進捗の設定を再び有効にしてもよいですか？","answer":"PHPの2026年10月23日の追加告知を確認してください。一部の設定の組み合わせに追加の問題があるため、機能を無効のままにしておくことが推奨されています。設定を元に戻すかどうかは、その後の修正内容を確認してから判断してください。"}],"sources":[{"url":"https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133\u0026menuNo=205020\u0026nttId=72230","title":"KISA 보호나라: PHPのセキュリティ脆弱性（PHP2Shell）に関する企業向けセキュリティ対応指針、2026年10月22日","type":"source"},{"url":"https://www.php.net/archive/2026.php","title":"PHP 2026年のお知らせ: 10月21日のセキュリティアップデートと10月23日のSession upload progressに関する追加案内","type":"source"},{"url":"https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w","title":"PHPのセキュリティ勧告: RCE via OOM corruption","type":"source"},{"url":"https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp","title":"PHPのセキュリティ勧告: RCE via stale global state","type":"source"},{"url":"https://www.php.net/supported-versions.php","title":"PHP Supported Versions: 公式サポート期間","type":"data_point"},{"url":"https://www.php2shell.com/","title":"PHP2Shell: 研究チームによる脆弱性の説明と影響範囲","type":"source"},{"url":"https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074\u0026mCode=C010010000\u0026nttId=12588","title":"개인정보보호위원회: PHPのセキュリティ脆弱性に関する個人情報漏えい防止措置の呼びかけ、2026年10月22日","type":"source"}],"images":[{"id":2106,"url":"https://injoys.com/rails/active_storage/blobs/proxy/eyJfcmFpbHMiOnsiZGF0YSI6MzIzODIsInB1ciI6ImJsb2JfaWQifX0=--756ccdbcf3c83be470043fadc3bfdf6d3eeeef02/ai-6de3df23.webp","is_representative":true,"generation_method":"ai_photo","license":"ai_generated","mime_type":"image/webp","width":1536,"height":1024,"translations":{"ko":{"alt":"서버실에서 여성이 랙 서버의 네트워크 포트 앞에 파란 랜 케이블 커넥터를 들고 있다.","caption":"침해가 의심되면 서버를 격리하고 재시작 전에 증거를 보존해야 합니다.","description":null},"en":{"alt":"A woman holds a blue Ethernet cable connector near a rack server’s network port in a server room.","caption":"If a compromise is suspected, isolate the server and preserve evidence before restarting.","description":null},"ja":{"alt":"サーバールームで、女性がラックサーバーのネットワークポートの前に青いLANケーブルのコネクターを持っている。","caption":"侵害が疑われる場合は、サーバーを隔離し、再起動前に証拠を保全する必要があります。","description":null},"es":{"alt":"Una mujer sostiene el conector de un cable Ethernet azul junto al puerto de un servidor en una sala de servidores.","caption":"Si se sospecha una intrusión, hay que aislar el servidor y preservar las pruebas antes de reiniciarlo.","description":null},"id":{"alt":"Seorang perempuan memegang konektor kabel Ethernet biru di dekat port jaringan server rak di ruang server.","caption":"Jika dicurigai terjadi penyusupan, isolasi server dan amankan bukti sebelum memulai ulang.","description":null},"pt":{"alt":"Uma mulher segura o conector de um cabo Ethernet azul perto da porta de um servidor em uma sala de servidores.","caption":"Se houver suspeita de invasão, isole o servidor e preserve as evidências antes de reiniciá-lo.","description":null},"zh-hant":{"alt":"一名女子在伺服器機房內，手持藍色網路線接頭，靠近機架式伺服器的網路埠。","caption":"若懷疑遭到入侵，應先隔離伺服器，並在重新啟動前保全證據。","description":null},"de":{"alt":"Eine Frau hält den Stecker eines blauen Netzwerkkabels vor den Netzwerkanschluss eines Rackservers.","caption":"Bei Verdacht auf einen Angriff muss der Server isoliert und müssen vor dem Neustart Beweise gesichert werden.","description":null}}},{"id":2107,"url":"https://injoys.com/rails/active_storage/blobs/proxy/eyJfcmFpbHMiOnsiZGF0YSI6MzIzODgsInB1ciI6ImJsb2JfaWQifX0=--ab8091216d8ebf858c1dfbe779a6e6a5d3535ae7/ai-61ada64c.webp","is_representative":false,"generation_method":"ai_semi","license":"ai_generated","mime_type":"image/webp","width":1536,"height":1024,"translations":{"ko":{"alt":"공장에서 중년 기술자가 열린 네트워크 장비함 옆 태블릿의 상태 화면을 확인하는 모습","caption":"PHP 실행 서비스를 재시작한 뒤 실제 웹 서비스에 패치가 반영됐는지 확인해야 합니다.","description":null},"en":{"alt":"An older technician checks a tablet status screen beside an open network equipment cabinet in a factory.","caption":"After restarting PHP services, verify that the patch has taken effect on the live web service.","description":null},"ja":{"alt":"工場で、開いたネットワーク機器盤の横にあるタブレットの状態画面を確認する年配の技術者","caption":"PHP実行サービスの再起動後、実際のWebサービスにパッチが反映されていることを確認してください。","description":null},"es":{"alt":"Un técnico mayor revisa una tableta junto a un armario abierto con equipos de red en una fábrica.","caption":"Tras reiniciar los servicios de PHP, compruebe que el parche se haya aplicado al servicio web en producción.","description":null},"id":{"alt":"Teknisi senior memeriksa layar status tablet di samping kabinet perangkat jaringan yang terbuka di pabrik.","caption":"Setelah memulai ulang layanan PHP, pastikan patch telah diterapkan pada layanan web yang beroperasi.","description":null},"pt":{"alt":"Um técnico mais velho verifica um tablet ao lado de um armário aberto com equipamentos de rede numa fábrica.","caption":"Após reiniciar os serviços PHP, confirme que a correção foi aplicada ao serviço web em produção.","description":null},"zh-hant":{"alt":"一名年長技術人員在工廠內，查看開啟的網路設備櫃旁平板電腦上的狀態畫面","caption":"重新啟動 PHP 執行服務後，應確認實際運作的網頁服務已套用修補程式。","description":null},"de":{"alt":"Ein älterer Techniker prüft ein Tablet neben einem offenen Netzwerkschrank in einer Fabrik.","caption":"Prüfen Sie nach dem Neustart der PHP-Dienste, ob der Patch im laufenden Webdienst wirksam ist.","description":null}}}],"published_at":"2026-10-24T16:09:48+09:00","updated_at":"2026-10-24T16:09:48+09:00","license":"cc_by","translation_status":"reviewed","available_locales":["ko","en","ja","es"],"data_locales":["ko","en","ja","es","id","pt","zh-hant","de"],"url":"https://injoys.com/ja/articles/php2shell-enterprise-security-patch-response-guide"}