PHP VERSION CHECK
PHPバージョン・脆弱性チェック
URLを入れるか、バージョンを選ぶだけ。PHP2shellの修正版か、サポートが続いている版かと、やることが分かります。
- 約10秒
- 無料
- 会員登録なし
NO SIGN-UP登録なしで、開いてすぐ使えます
- 会員登録なしメールアドレスも名前もいりません
- ずっと無料有料版への誘導もありません
- 開いてすぐ使えるアプリのインストールも不要
- 結果はあなたの手元だけ入力した内容は保存しません
- PHP2shellの修正版か悪用が確認された脆弱性が直った版かを判定
- サポートはいつまでか開発元のセキュリティ修正が続く期限
- 次にやることレンタルサーバー・自社管理それぞれの手順
01 ・ WHAT IS PHP2SHELL
PHP2shellとは？ ログインなしでサーバーを乗っ取られる脆弱性
PHPの開発元が2026年10月21日に修正を公開した、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の呼び名です。深刻度は2件とも CVSS 9.2。WordPressやEC-CUBEなど、PHPで動くサイトが広く対象です。
- 細工した通信を送るログインもパスワードもいらない
- PHPの不具合を突くサイトの作りに関係なく、PHP本体の問題
- サーバーで好きな命令を実行改ざん・情報の持ち出し・踏み台に
PHPの開発元が緊急の修正を予告
修正版 8.5.12・8.4.27・8.3.36・8.2.35 を公開
JPCERT/CCとIPAが注意喚起
悪用の観測が相次ぎ、米CISAが「悪用確認済み」に登録
影響する動かし方mod_php（最も危険）PHP-FPMphp-cgiLiteSpeed
PHP2shellの記事で、くわしい手順と出典を読む →02 ・ SUPPORT
PHPのバージョンとサポート期限
サポートが終わった版には、脆弱性が見つかっても修正版が出ません。線が今日（赤い縦線）より右に伸びている版を使ってください。
通常のサポートセキュリティ修正のみ今日
PHP 8.2 のサポート終了まで55日
PHP 8.2は2026年12月31日でサポート終了
年明け以降に見つかった脆弱性は直されません。8.2を使っているサイトは、年内に 8.3 以上（できれば 8.4・8.5）へ上げる準備を始めてください。8.1以前はすでに終わっています。
表で見る（公開日・期限・PHP2shellの修正版）
| バージョン | 公開日 | 通常のサポート | セキュリティ修正 | PHP2shellの修正版 |
|---|---|---|---|---|
| 8.5 | 2025年11月20日 | 2027年12月31日 | 2029年12月31日 | 8.5.12 |
| 8.4 | 2024年11月21日 | 2026年12月31日 | 2028年12月31日 | 8.4.27 |
| 8.3 | 2023年11月23日 | 2025年12月31日（終了） | 2027年12月31日 | 8.3.36 |
| 8.2 | 2022年12月8日 | 2024年12月31日（終了） | 2026年12月31日 | 8.2.35 |
| 8.1 | 2021年11月25日 | 2023年11月25日（終了） | 2025年12月31日（終了） | 修正版なし |
| 8.0以前 | — | 終了 | 終了 | 修正版なし |
03 ・ HOSTING
レンタルサーバー各社のPHP2shell対応状況
PHPの本体は、レンタルサーバーの会社が入れ替えます。各社の公式発表を確かめてまとめました。上の欄にURLを入れると、使っている会社を自動で見分けて表示します。
エックスサーバー対応済み2026年10月26日
- 対象の版
- 8.2〜8.5は修正版に更新、5.1〜8.1は今の版のまま修正パッチ
- 利用者がやること
- 基本的に不要（「急いでPHPのバージョンを変更いただく必要はございません」）。VPSは対象外で、自分で更新が必要です
シン・レンタルサーバー対応済み2026年10月22日
- 対象の版
- 8.2〜8.5は修正版、7.2〜8.1は今の版のまま修正パッチ
- 利用者がやること
- 基本的に不要（急いで版を変える必要はないと案内）
ConoHa WING対応済み2026年10月22日
- 対象の版
- すべての版に、番号を変えずにパッチ（8.3.35などの表示のままで修正済み）
- 利用者がやること
- 不要（「お客様ご自身でPHPバージョンの変更等をしていただく必要はございません」）
さくらのレンタルサーバ対応済み2026年10月23日
- 対象の版
- サポートが終わった版も含む、提供中のすべての版
- 利用者がやること
- 不要。ただし、サポートが続いている新しい版を使うよう推奨されています
ロリポップ！対応済み2026年10月22日
- 対象の版
- 8.2〜8.5は公式の修正版、8.1以前は独自の修正（応急的な対策）
- 利用者がやること
- PHP 8.1以前を使っているなら、8.2以降へ切り替える（公式の依頼）
ヘテムル対応済み2026年10月22日
- 対象の版
- 8.2〜8.5は修正版、8.1以前は独自の対策
- 利用者がやること
- PHP 8.1以前なら、8.2以降へ切り替える（推奨）。WordPressの更新も
KAGOYA一部のみ2026年10月27日
- 対象の版
- レンタルサーバープランの8.2〜8.5は修正版。7.4〜8.1は緩和策のみ。共用・マネージド専用・WordPress専用サーバーは「脆弱性が残存している状態」
- 利用者がやること
- レンタルサーバープランなら8.2以上に切り替える。共用・専用プランなら、レンタルサーバープランへ変更して8.2以上を使う
各社の公式発表を2026年10月28日に確認。VPS・クラウドは、利用者が自分でPHPを更新する必要があります。
04 ・ HOW TO CHECK
PHPのバージョンの確認方法
サーバー会社が分からなかったときや、念のため正確な版を見たいときは、使っている環境に合わせて確かめます。
WordPress
管理画面の［ツール］→［サイトヘルス］→［情報］→［サーバー］の「PHPバージョン」
レンタルサーバー
サーバー会社の管理画面の、PHPのバージョンを設定する画面。サイト（ドメイン）ごとに違う版を選べるので、全部確かめる
自分で管理するサーバー
サーバーにログインして php -v。Webで動くPHPと版が違うことがあるので、サイトヘルスなどでも確かめる
制作会社に任せている
「PHPの版」と「PHP2shellへの対応予定」の2つを問い合わせる
05 ・ RESULT
診断結果の見方
PHP2shellの修正前か、サポートが終わった版。今日中に更新か切り替えを
細かい版まで分からない、またはPHP 8.2（年内でサポート終了）
修正版以降で、サポートも続く版。今後の修正版も早めに当てる
06 ・ IF YOU CAN'T UPDATE
すぐに更新できないとき
応急処置：session.upload_progress を止める
php.ini などで session.upload_progress.enabled=0 にし、PHPのプロセスをすべて再起動します。ini_set() や .user.ini では効きません。一部の攻撃経路を防ぐだけなので、更新の代わりにはなりません。
攻撃されていないか確かめる
- 異常に長い PHPSESSID のCookie
- 不審なファイル送信のリクエストと、その前後のメモリ上限エラーやHTTP 500エラー
- PHPのプロセスの頻繁な異常終了
JPCERT/CCは、痕跡がなくても安全とは言い切れないとしています。
更新までの時間を稼ぐ：WAF
サイトの手前で攻撃を止めるWAFが役立ちます。サーバー会社がWAFのルールを入れている場合もあります。WAFを比べる →
FAQ
よくある質問
PHPのバージョンはどこで確かめられますか？
WordPressなら、管理画面の［ツール］→［サイトヘルス］→［情報］→［サーバー］に出ます。レンタルサーバーなら、管理画面のPHPの設定の画面にも表示されます。外から見える設定のサイトなら、このページにURLを入れるだけで分かります。
PHP2shellはどのバージョンで直っていますか？
PHP 8.5.12・8.4.27・8.3.36・8.2.35 で修正されています（2026年10月21日公開）。それより前の版は対象です。8.1以前はサポートが終わっているため、修正版は出ていません。
PHP 8.2はいつまで使えますか？
PHPの開発元がセキュリティ修正を出すのは2026年12月31日までです。それ以降に見つかった脆弱性は直されないので、年内に8.3以上へ上げる準備をしてください。
PHP 8.1や7.4を使っています。どうすればいいですか？
どちらもサポートが終わっていて、PHP2shellの修正版も出ません。8.3以上（できれば8.4・8.5）へ上げてください。上げる前にサイトのバックアップを取り、WordPressやプラグインが新しい版に対応しているかを確かめます。
レンタルサーバーなら、自分で何かする必要はありますか？
PHPの本体はサーバー会社が入れ替えます。エックスサーバー・ConoHa WING・さくら・ロリポップなど主な会社は、10月22〜26日に修正を当て終えたと公式に発表しています。多くは利用者の作業は不要ですが、ロリポップやヘテムルのように、8.1以前の人に8.2以降への切り替えを求めている会社もあります。このページにURLを入れると、使っている会社と対応状況を表示します。
管理画面の版が古い番号のままです。修正されていないのですか？
ConoHa WINGやmixhost、お名前.comなどは、番号を変えずに修正を当てています。たとえばConoHa WINGでは 8.3.35 と表示されたままでも修正済みです。URLを入れて調べると、会社の発表に合わせて判定します。
すぐに更新できないときはどうすればいいですか？
php.ini などで session.upload_progress.enabled=0 にし、PHPのプロセスをすべて再起動する応急処置が案内されています。ini_set() や .user.ini では効きません。あくまで一時しのぎなので、修正版への更新を急いでください。
攻撃されたかどうかは分かりますか？
JPCERT/CCは、異常に長いPHPSESSIDのCookie、不審なファイル送信のリクエストと前後のメモリ上限エラーやHTTP 500エラー、PHPのプロセスの頻繁な異常終了を確かめるよう勧めています。痕跡がなくても安全とは言い切れないとしています。
URLを入れても、PHPのバージョンが出ません
多くのサーバーは、安全のためPHPのバージョンを外に出さない設定です。その場合も、PHPを使っているか・WordPressの版・サーバー会社までは表示し、その会社の管理画面のどこを見ればよいかを案内します。確かめた版は結果の欄にそのまま入れて判定できます。