WordPress の PHP バージョン確認と PHP2Shell 対策

PHP の切り替え方ではなく、WordPress サイトが PHP2Shell の影響を受けるかを知りたい場合は、PHP2Shell と WordPress から始めてください。

WordPress で PHP のバージョンを確認するには？

管理者アカウントでログインし、次の順に開きます。

1. 「ツール」→「サイトヘルス」
2. 「情報」タブ
3. 「サーバー」

ここに表示される PHP のバージョンが、サイトで実際に動いている PHP です。PHP SAPIの欄には PHP の動かし方が表示されます。この二つを PHP バージョンチェッカーに入力すると、PHP2Shell の影響範囲か判定できます。

WordPress やプラグインを更新すれば PHP2Shell は直りますか？

直りません。PHP2Shell は WordPress ではなく、その下で動いている PHP 本体の問題です。WordPress 本体、テーマ、プラグインを最新にしても、PHP のバージョンは変わりません。

もちろん、WordPress 側の更新もほかの問題を防ぐために大切です。両方を最新にしておきましょう。

WordPress のサイトは PHP2Shell でどんな被害を受けますか？

PHP2Shell は、条件がそろうと外部からサーバー上でコードを実行されるおそれがある脆弱性です。PHP 公式は、Apache の mod_php 構成ではアプリの処理より前に届く攻撃経路を確認しています。攻撃が成功すると、サイトの改ざん、wp-config.php にあるデータベースのパスワードの読み取り、裏口ファイルの設置などが起こりえます。

WordPress の PHP をどうやって更新しますか？

PHP の更新方法は、サーバーによって違います。

• レンタルサーバー：PHP 本体の修正はサーバー会社が行います。管理画面でドメインの PHP バージョンを選ぶ方式なら、修正済みのバージョンへ切り替えます。各社の状況は php2shell 対処法からたどれます。
• VPS や自社サーバー：OS のパッケージ（Ubuntu の PHP アップデート）や Docker イメージ（Docker の PHP イメージ）を更新します。

WordPress の管理画面から PHP 本体を更新する機能はありません。

PHP を更新するときの注意点は？

更新前にバックアップを取ってください。同じ系列の中での更新は修正中心のリリースなので、問題が起きることはまれです。系列をまたぐ更新は、古いプラグインやテーマが動かなくなることがあります。WordPress.org も、PHP を更新する前の準備として互換性の確認を勧めています。

更新後はサイトヘルスで PHP のバージョンが変わったことを確かめ、ログインや投稿、フォームなど主な機能を確認します。

メンテナンスモードのプラグインで攻撃を防げますか？

防げません。メンテナンスモードは WordPress が動いた後に表示を切り替えるものです。PHP2Shell には WordPress の処理より前に起きる経路があるため、プラグインでは止められません。

PHP2Shell と wp2shell はどう違いますか？

wp2shell は WordPress 本体の別の脆弱性で、WordPress の更新で直ります。PHP2Shell は PHP の更新が必要です。名前が似ていますが、対処は別です。WordPress を運営している場合は、WordPress のバージョンと PHP のバージョンの両方を確認してください。まずは PHP2Shell チェッカーで現状を確認しましょう。