「PHP2Shell」の検証用OSSツールが公開！PoC集の内容と対処法

本記事はサイバー被害を防ぐための知見の共有を目的としており、記事の内容の悪用や、不正行為、他者に損害を与える行為への利用を固く禁じます。

「php2shell-poc」は、PHP2Shellに関する検証コードと実験環境、分析資料をまとめたOSSツール集だ。READMEではMITライセンスと記載されている。PoC（Proof of Concept）は、ここでは脆弱性が成立することを確かめるための実証コードを指す。

PHP2Shellは、2026年10月に公表されたPHPの重大な脆弱性2件を指す呼称だ。PHP2Shellの検証ツールを探している開発・運用担当者に向けて、収録内容と、PHP公式の発表を併せて確認するときの要点を紹介する。

php2shell-pocには何が含まれるのか

2026年10月21日に確認した公開資料は、次の3種類だ。

開発担当者は、分析資料と実験環境の説明を照合することで、検証対象の処理や実験の条件・結果を確認できる。自社システムへの影響を判断するときには、実験に使われたPHPのバージョンや構成と、自社環境との違いも確認する。

PHP公式の発表と検証報告をどう読み分けるか

PHP公式の勧告は、CVE-2026-109618とCVE-2026-109619の2件について、認証なしでRCEを引き起こす可能性があると説明している。CVEは脆弱性を識別する番号だ。RCE（Remote Code Execution｜リモートコード実行）とは、攻撃者がネットワーク越しに、サーバーなどで不正なコードを実行することを指す。

2026年10月21日23:20 JST時点で、PHP公式は修正を含む8.2.35、8.3.36、8.4.27、8.5.12を公開済みだ。影響と更新の判断には、この公式勧告と、利用しているOS・ホスティング事業者の案内を使う。

php2shell-pocには、実験環境での検証結果が掲載されている。PHP公式が脆弱性を公表した事実と、このPoCが公式の2件を正確に再現できるかは、分けて確かめる必要がある。検証した環境、追加の前提、実際に得られた結果を照合し、自社に当てはまる範囲を判断する。

自社の脆弱性対応にどう役立てるか

このPoC集は、開発担当者が研究内容を調べ、保守担当者へ確認する事項を整理するための資料になる。例えば、自社で利用中のPHPに修正が適用されているか、更新後に業務で必要な機能が使えるかを、担当者と確認する。

PoCを試して問題が再現しなくても、実験条件の違いが結果に影響する。更新を見送る根拠にはせず、公式勧告に沿って修正の適用を確認したい。PHP公式も、問題を完全に解消するには更新が必要だと説明している。

追加の検証が必要な場合は、所有者の許可を得た範囲で、本番の業務や実データに影響しない隔離環境を用意する。実施する操作、停止する条件、結果を確認する担当者を決めてから、検証の可否を判断する。

複数のシステムで対応が重なる場合は、更新の適用と公開設定の点検を整理した記事も参考になる。