製品とスタック · ローカル統合環境とアプリサーバー

WampServer と PHP2Shell：影響の有無と対処法

WampServer が使う PHP バージョンの確認方法

環境に合うコマンドを実行します。同じブランチで 8.2.35、8.3.36、8.4.27、8.5.12 以上なら修正済み。古いブランチはベンダーが修正を明記したビルドのみ修正済みです。

dir C:\wamp64\bin\php
C:\wamp64\bin\php\php8.3.36\php.exe -v

トレイメニュー（左クリック → PHP → Version）で有効なバージョンを確認できます。

コマンドラインの php はサイトを動かす PHP と違うことがあります。確実にするには Web SAPI（認証付きの一時的な phpinfo() ページか、パネルの PHP 設定）を確認し、終わったら削除してください。当サイトのバージョンチェッカーで番号を比較できます。

WampServer のアドオンサイトから該当ブランチの修正済み PHP アドオンを取得して実行します。
トレイメニュー（PHP → Version）で切り替え、不要になった古い PHP フォルダーを削除します。
上記のベンダー修正版またはパッケージを入れます。
すべての PHP プロセス（PHP-FPM プール、mod_php の Apache、LiteSpeed の lsphp、キューワーカー）を再起動します。動作中のプロセスは古い PHP をメモリに保持します。
確認コマンドで稼働中のバージョンを再確認します。

確認を AI エージェントに任せたい場合：影響の有無を確認 · AI エージェントで修正

アプリが上書きできない場所（php.ini、FPM プールや Apache 設定の php_admin_value）で session.upload_progress.enabled = 0 を設定し、PHP を再起動します。
PHP 8.5 では fatal_error_backtraces = 0 を設定します。
PHP の暫定策には memory_limit と小さい post_max_size も含まれます。一部の経路しか防げないため対策ページの通りに設定してください。
ベンダーのバックポートがない PHP 8.1 以前なら、アクセス制限（VPN、IP 許可リスト）かサービス停止を。WAF ルールは役立ちますが修正ではありません。

ベンダーの修正版を入れるまでは影響を受けます。 WampServer は修正済み PHP アドオン（8.2.35、8.3.36、8.4.27、8.5.12）を公開しています。ただし 3.4.0 インストーラー自体は古い PHP のままなので、新規インストールは修正アドオンを入れるまで脆弱です。

更新に修正済み PHP が含まれる場合のみです。PHP2Shell は PHP インタープリターの脆弱性なので、WampServer が動く PHP が問題です。更新後にバージョンを確認してください。

2026 年 10 月 21 日公開の PHP 8.2.35、8.3.36、8.4.27、8.5.12 です。PHP 8.1 以前は PHP プロジェクトからリリースがなく、バックポートしたベンダービルド（または 7.4、8.0、8.1 用ソースパッチで自前ビルド）のみが修正になります。

PHP ベースの Web 画面をインターネットから遮断（VPN か IP 許可リスト）し、session upload progress の無効化など PHP の暫定設定を適用、ベンダー更新が出たらすぐ入れます。暫定設定はリスクを下げますが修正ではありません。

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

公開情報の非公式まとめです。当サイトはベンダーや PHP プロジェクトとは無関係で、攻撃コードは掲載しません。