PHP2Shell・Node2Shell 影響チェック

CVE-2026-109618 · CVE-2026-109619 (PHP) · CVE-2026-111497 (Node.js)

サーバー上での確定確認任意

リモートチェックでリスクありや要確認と表示された場合、サーバーに小さなファイルを1つ配置して、実際に稼働しているバージョンを確定できます。ご自身のサーバーでのみ可能な作業のため、管理権限の確認も兼ねます。

判定基準と制限事項

脆弱: レスポンスで確認したバージョンが公式修正版より古い、またはサポート終了系列です。
要確認: 修正版より古いものの、ディストリビューションのビルドとみられます。ディストリビューションはバージョン番号を維持したまま修正をバックポートするため、ベンダーの告知か「サーバー上での確定確認」で判断する必要があります。
リスクあり: PHP・Node.jsと見られますが、バージョンがレスポンスに含まれないため、サーバー上で直接確認する必要があります。
安全: レスポンスで確認したバージョンが公式修正版以降です。ほかの脆弱性がないという意味ではありません。
判定不能: 接続に失敗した、またはPHP・Node.jsの手がかりが見つかりませんでした。
公開されているレスポンスヘッダーのみを読み取ります。攻撃ペイロード、異常なリクエスト、コマンド実行の試行は行いません。
レスポンスヘッダーはプロキシ・WAF・CDNによって変更されることがあり、実際のランタイムと異なる場合があります。最終確認はサーバー上でphpinfo()またはnode -vで行ってください。
PHP修正版 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35、Node.js修正版 26.12.1 / 24.22.1 / 22.23.4。パッケージを更新した後、Apache・PHP-FPM・Nodeのプロセスを再起動しないと反映されません。
入力値と結果はサーバーに保存しません。プライベート・内部アドレス帯はチェックしません。