Azure App Service (PHP) と PHP2Shell：影響の有無と対処法

Azure App Service (PHP) が使う PHP バージョンの確認方法

環境に合うコマンドを実行します。同じブランチで 8.2.35、8.3.36、8.4.27、8.5.12 以上なら修正済み。古いブランチはベンダーが修正を明記したビルドのみ修正済みです。

php --version
echo $PHP_VERSION

アプリの SSH コンソール（Kudu WebSSH：https://<アプリ名>.scm.azurewebsites.net/webssh/host）で実行します。ポータルの Stack settings で PHP のメジャー・マイナー版とプラットフォームリリースチャネルを確認できます。

コマンドラインの php はサイトを動かす PHP と違うことがあります。確実にするには Web SAPI（認証付きの一時的な phpinfo() ページか、パネルの PHP 設定）を確認し、終わったら削除してください。当サイトのバージョンチェッカーで番号を比較できます。

🔎 バージョン番号がわかったら PHP2Shell チェッカーで確認 →

Azure App Service (PHP) の PHP2Shell を修正する方法

1. Extended チャネルのアプリは Standard か Latest に切り替えます（ポータル → アプリ → Stack settings → Platform Release Channel → 保存）。インターネット公開や高リスクのアプリには Latest が推奨されています。
2. SSH で実行中の版が 8.2.35・8.3.36・8.4.27・8.5.12 以降か確認し、古いままならアプリを再起動します。
3. カスタムコンテナーや独自の PHP：修正版 PHP でイメージを作り直して再デプロイします。Azure はパッチを当てません。
4. PHP 8.1 以前：チャネル変更では直りません。サポート中の PHP に移行してテストしてください。
5. Alpine イメージの WordPress on App Service：Debian ベースへ移行します。
6. 上記のベンダー修正版またはパッケージを入れます。
7. すべての PHP プロセス（PHP-FPM プール、mod_php の Apache、LiteSpeed の lsphp、キューワーカー）を再起動します。動作中のプロセスは古い PHP をメモリに保持します。
8. 確認コマンドで稼働中のバージョンを再確認します。

確認を AI エージェントに任せたい場合： 影響の有無を確認 · AI エージェントで修正

すぐに修正できない場合

• アプリが上書きできない場所（php.ini、FPM プールや Apache 設定の php_admin_value）で session.upload_progress.enabled = 0 を設定し、PHP を再起動します。
• PHP 8.5 では fatal_error_backtraces = 0 を設定します。
• PHP の暫定策には memory_limit と小さい post_max_size も含まれます。一部の経路しか防げないため対策ページの通りに設定してください。
• ベンダーのバックポートがない PHP 8.1 以前なら、アクセス制限（VPN、IP 許可リスト）かサービス停止を。WAF ルールは役立ちますが修正ではありません。

よくある質問

関連製品

• Laravel ForgeOS／ホストの PHP を更新
• RunCloudベンダー告知なし
• ServerPilotベンダー告知なし
• AWS: Amazon Linux, Elastic Beanstalk, Lightsail一部修正

← PHP を同梱する製品一覧

関連：プラットフォーム別の対策 · 影響バージョン · ベンダー状況

公開情報の非公式まとめです。当サイトはベンダーや PHP プロジェクトとは無関係で、攻撃コードは掲載しません。