サイト改ざん・侵害の確認方法（php2shell後）

PHP2Shell に侵入されたかどうか、確実に分かる方法はありますか？

現時点では、PHP2Shell に特有の確実な侵入の痕跡（IoC）は公式には示されていません。ここで紹介するのは、Web サイトが乗っ取られたときによく見られる一般的な兆候です。何も見つからなくても、侵入がなかったことの証明にはなりません。

Wiz の研究チームは X で監視の手がかりとして、メモリ不足のエラーや 500 エラーにつながる不自然なリクエスト、壊れたセッション Cookie、PHP ワーカーの異常な再起動を挙げています。サーバーのログを見られる場合は、こうした記録がないか確認してください。

まず PHP を修正版へ更新してください（php2shell 対処法）。修正前のままでは、確認している間にも侵入される可能性があります。

見覚えのない管理者アカウント：WordPress なら「ユーザー」で権限を「管理者」に絞って確認します。サーバー、FTP、データベースのアカウントも確認しましょう。
アップロード用フォルダの PHP ファイル：wp-content/uploads などは画像や文書を置く場所です。ここに .php ファイルがあれば強い警告サインです。
最近変更されたファイル：ファイルマネージャーで更新日時順に並べ、自分が変更していないファイルがないか確認します。
入れた覚えのないプラグイン・テーマ：wp-content/mu-plugins フォルダは通常のプラグイン一覧に出ないので、直接確認します。
定期実行（cron）：サーバーの管理画面で、作った覚えのない定期実行がないか確認します。
外部からの警告：サーバー会社からの連絡、Google Search Console のセキュリティの問題、自分のドメインからの迷惑メール送信の苦情なども手がかりです。

サイトを止める：メンテナンス表示にするか公開を止め、被害が広がらないようにします。
証拠を残す：削除する前に、ファイルとログのコピーを保存します。
パスワードを変える：サーバー、FTP、データベース、WordPress の全管理者のパスワードと、wp-config.php の認証用キー（ソルト）を変更します。
きれいな状態に戻す：侵入前のバックアップから復元し、PHP・WordPress・プラグインを最新にしてから公開します。
サーバー会社に連絡する：同じサーバーのほかの利用者への影響や、サーバー側のログを確認してもらえます。

個人情報や決済情報を扱っている場合、きれいなバックアップがない場合、掃除しても再発する場合は、専門の事業者に調査を依頼してください。個人情報の漏えいが疑われる場合は、法令にもとづく報告や通知が必要になることもあります。

本サイトはサーバーへの接続や侵入調査は行いません。ログや設定ファイルなどの機密情報を送らないでください。修正状況の確認には PHP2Shell チェッカーを使い、侵入の調査は専門家に相談してください。

サイトが使っている PHP のバージョンを入力してください。系列ごとの最初の修正版と比べ、次にすべきことを表示します。

このページの主要な事実（修正版、CVE の内容、配布元のパッケージ、公的機関の呼びかけ）は公式の情報源にもとづいています。研究者の報告、報道、コミュニティの投稿はそれぞれ区別して表示しています。