製品とスタック · ホスティング基盤とサーバー管理サービス

HostGator と PHP2Shell：影響の有無と対処法

結論

影響あり。一部のバージョンや構成要素にのみ修正があります。

ベンダー状況: 一部修正
PHP: patched builds deploying · cPanel 8.2–8.5 + 7.4–8.1 backports · CloudLinux/TuxCare backports 5.2–8.5 · Plesk · VPS/dedicated: package update
最終確認: 2026-10-22

HostGator のステータス告知「PHP Update」（10 月 21 日掲載）は、最新の更新（米東部時間 10 月 22 日 11:00、15:00 UTC）で、ホスティング基盤全体への修正済み PHP ビルドの展開が大きく進んだとし、修正ビルドを初めて列挙しました。cPanel EasyApache 4 では PHP 8.5.12・8.4.27・8.3.36・8.2.35 とベンダーのバックポート 8.1.34-5・8.0.30-12・7.4.33-19。CentOS 7 / CloudLinux 7 向け CloudLinux EasyApache 4 では 5.2〜8.3 の各ブランチのバックポート（例：ea-php83 8.3.35-2.el7.cloudlinux.2、ea-php74 7.4.33-18.el7.cloudlinux.13）。CloudLinux/TuxCare alt-php ELS では 5.2〜8.5（例：alt-php85 8.5.11-5、alt-php82 8.2.34-7）。Plesk では PHP 8.5.12・8.4.27・8.3.36・8.2.35 と、パネル自体の PHP を更新する Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11。さらに AlmaLinux、Rocky Linux、CentOS Stream、Fedora、Ubuntu、Debian のディストリビューションパッケージです。バックポート版の多くは古いバージョン番号のままなので、ビルド文字列全体で比べてください。HostGator は、phpinfo() に表示されるバージョンが一覧と同じかそれより新しければパッチ適用済みで対応不要とし、VPS や専用サーバーを自分で管理する利用者はコントロールパネルでパッケージ更新を実行するよう求め、対応が必要な利用者にはメールで連絡するとしています。前回の更新（米東部時間 10 月 21 日 23:00）では大半のサーバーがパッチ適用済みで、アップロードサイズを制限しうる緩和策を維持するとしていました。完了時期は示されていません。

HostGator が使う PHP バージョンの確認方法

環境に合うコマンドを実行します。同じブランチで 8.2.35、8.3.36、8.4.27、8.5.12 以上なら修正済み。古いブランチはベンダーが修正を明記したビルドのみ修正済みです。

php -v

コマンドラインの php はサイトを動かす PHP と違うことがあります。確実にするには Web SAPI（認証付きの一時的な phpinfo() ページか、パネルの PHP 設定）を確認し、終わったら削除してください。当サイトのバージョンチェッカーで番号を比較できます。

🔎 バージョン番号がわかったら PHP2Shell チェッカーで確認 →

HostGator の PHP2Shell を修正する方法

このアプリを動かす PHP の出どころを確認します：ディストリ、サードパーティ（Ondřej Surý、Remi）、管理パネル、Docker イメージ、ホスティング事業者。
その PHP を 8.2.35、8.3.36、8.4.27、8.5.12、または修正をバックポートしたベンダービルドに更新し、PHP ワーカーをすべて再起動します。
共有・マネージドホスティングでは自分で直せません。修正版 PHP が展開済みか事業者に確認し、パネルでサイトを修正版に切り替えます。
PHP 8.1 以前で動いているなら、サポート中のブランチへ移行します。PHP は 7.4、8.0、8.1 向けにソースパッチのみを公開しています。

確認を AI エージェントに任せたい場合：影響の有無を確認 · AI エージェントで修正

すぐに修正できない場合

アプリが上書きできない場所（php.ini、FPM プールや Apache 設定の php_admin_value）で session.upload_progress.enabled = 0 を設定し、PHP を再起動します。
PHP 8.5 では fatal_error_backtraces = 0 を設定します。
PHP の暫定策には memory_limit と小さい post_max_size も含まれます。一部の経路しか防げないため対策ページの通りに設定してください。
ベンダーのバックポートがない PHP 8.1 以前なら、アクセス制限（VPN、IP 許可リスト）かサービス停止を。WAF ルールは役立ちますが修正ではありません。

よくある質問

HostGator は PHP2Shell の影響を受けますか？

影響あり。一部のバージョンや構成要素にのみ修正があります。 HostGator のステータス告知「PHP Update」（10 月 21 日掲載）は、最新の更新（米東部時間 10 月 22 日 11:00、15:00 UTC）で、ホスティング基盤全体への修正済み PHP ビルドの展開が大きく進んだとし、修正ビルドを初めて列挙しました。cPanel EasyApache 4 では PHP 8.5.12・8.4.27・8.3.36・8.2.35 とベンダーのバックポート 8.1.34-5・8.0.30-12・7.4.33-19。CentOS 7 / CloudLinux 7 向け CloudLinux EasyApache 4 では 5.2〜8.3 の各ブランチのバックポート（例：ea-php83 8.3.35-2.el7.cloudlinux.2、ea-php74 7.4.33-18.el7.cloudlinux.13）。CloudLinux/TuxCare alt-php ELS では 5.2〜8.5（例：alt-php85 8.5.11-5、alt-php82 8.2.34-7）。Plesk では PHP 8.5.12・8.4.27・8.3.36・8.2.35 と、パネル自体の PHP を更新する Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11。さらに AlmaLinux、Rocky Linux、CentOS Stream、Fedora、Ubuntu、Debian のディストリビューションパッケージです。バックポート版の多くは古いバージョン番号のままなので、ビルド文字列全体で比べてください。HostGator は、phpinfo() に表示されるバージョンが一覧と同じかそれより新しければパッチ適用済みで対応不要とし、VPS や専用サーバーを自分で管理する利用者はコントロールパネルでパッケージ更新を実行するよう求め、対応が必要な利用者にはメールで連絡するとしています。前回の更新（米東部時間 10 月 21 日 23:00）では大半のサーバーがパッチ適用済みで、アップロードサイズを制限しうる緩和策を維持するとしていました。完了時期は示されていません。

HostGator 自体を更新すれば CVE-2026-109618 と CVE-2026-109619 は直りますか？

更新に修正済み PHP が含まれる場合のみです。PHP2Shell は PHP インタープリターの脆弱性なので、HostGator が動く PHP が問題です。更新後にバージョンを確認してください。

PHP2Shell を修正した PHP バージョンは？

2026 年 10 月 21 日公開の PHP 8.2.35、8.3.36、8.4.27、8.5.12 です。PHP 8.1 以前は PHP プロジェクトからリリースがなく、バックポートしたベンダービルド（または 7.4、8.0、8.1 用ソースパッチで自前ビルド）のみが修正になります。

HostGator にまだ修正がない場合は？

PHP ベースの Web 画面をインターネットから遮断（VPN か IP 許可リスト）し、session upload progress の無効化など PHP の暫定設定を適用、ベンダー更新が出たらすぐ入れます。暫定設定はリスクを下げますが修正ではありません。

← PHP を同梱する製品一覧

関連：プラットフォーム別の対策 · 影響バージョン · ベンダー状況

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

公開情報の非公式まとめです。当サイトはベンダーや PHP プロジェクトとは無関係で、攻撃コードは掲載しません。