PHP バージョンチェッカー：PHP2Shell の影響を判定する

PHP バージョンチェッカーには何を入力しますか？

次の項目を入力します。分からない項目は「わからない」を選んでください。

• PHP バージョン：「8.3.30」のように、ドットで区切った 3 つの数字をすべて入力します。WordPress ならサイトヘルスで確認できます。
• 実行方式：PHP-FPM、Apache の mod_php、CGI・LiteSpeed・FrankenPHP、コマンドラインのみ、のどれか。サイトヘルスの PHP SAPIの欄で分かります。
• インストール元：php.net の公式版・公式 Docker イメージ、OS のパッケージ（Ubuntu・Debian など）、レンタルサーバーの管理画面、ソースから自前でビルド、のどれか。
• ディストリビューションとパッケージのバージョン：OS のパッケージを使っている場合だけ入力します。表示番号が古くても修正済みかどうかを判定できます。
• 暫定対策：session.upload_progress の無効化などを入れているかどうか。

判定はどのように表示されますか？

各系列の最初の修正版と比べて、次の四つのどれかを表示します。

• 影響を受けるバージョンです：修正前のバージョンです。修正版へ更新してください。
• 修正版に該当します：最初の修正版以降のバージョンです。全ワーカーの再起動と、ほかのサイトの確認を行ってください。
• 配布元の修正状況を確認してください：OS のパッケージなどで、表示番号が古くても修正が取り込まれている可能性があるものです。配布元の告知でパッケージのバージョンを確認します。
• まだ判定できません：開発版、未知の系列、情報不足などで判定できない場合です。

暫定対策を入れていても、判定が「修正版に該当します」になることはありません。暫定対策は判定とは別の情報として表示します。

PHP のバージョンはどこで調べますか？

• WordPress のサイトヘルス：「ツール → サイトヘルス → 情報 → サーバー」で PHP のバージョンと SAPI が分かります。
• サーバーの管理画面：レンタルサーバーや cPanel・Plesk の PHP 設定で、ドメインごとのバージョンを確認できます。
• コマンドラインの php -v：SSH が使える場合に確認できます。ただし表示されるのはコマンドライン用の PHP で、Web サイトで動いている PHP と違う場合があります。

詳しい手順は PHP バージョン確認方法にまとめています。

Nginx と PHP-FPM の構成なら対象外ですか？

対象外ではありません。PHP 公式は PHP-FPM、Apache の mod_php、CGI、FrankenPHP、LiteSpeed など、Web リクエストを処理するすべての構成に更新を求めています。中でも mod_php は最もリスクが高い構成とされています。Web サーバーの種類だけで対象外とは判断できません。

コマンドラインでしか PHP を使っていない場合は？

公開されている警告は Web リクエストを処理する PHP についてのものです。ただし、コマンドラインでしか使っていないというだけで、その PHP に欠陥がないとは言えません。また、コマンドラインの表示では Web 側の PHP は判定できません。同じサーバーで Web 用の PHP も動いていないか確認し、更新しておきましょう。

サイトの URL を入れて調べることはできますか？

できません。サーバーの応答ヘッダーは PHP のバージョンを隠していることが多く、表示されていても正確とは限りません。また、このサイトは他人のサイトやあなたのサーバーにアクセスしません。自分で確認した情報を入力してください。

判定のあとは何をすればいいですか？

「影響を受けるバージョンです」と表示されたら、php2shell 対処法で環境別の手順を確認してください。更新後は、サイトヘルスや管理画面でバージョンを確認し直し、もう一度このチェッカーで判定します。複数のサイトやサーバーがある場合は、それぞれ確認してください。全体の状況は PHP2Shell チェッカーのトップページにまとめています。