XAMPP と PHP2Shell：影響の有無と対処法

XAMPP が使う PHP バージョンの確認方法

環境に合うコマンドを実行します。同じブランチで 8.2.35、8.3.36、8.4.27、8.5.12 以上なら修正済み。古いブランチはベンダーが修正を明記したビルドのみ修正済みです。

C:\xampp\php\php.exe -v
/opt/lampp/bin/php -v

コマンドラインの php はサイトを動かす PHP と違うことがあります。確実にするには Web SAPI（認証付きの一時的な phpinfo() ページか、パネルの PHP 設定）を確認し、終わったら削除してください。当サイトのバージョンチェッカーで番号を比較できます。

🔎 バージョン番号がわかったら PHP2Shell チェッカーで確認 →

XAMPP の PHP2Shell を修正する方法

1. XAMPP は開発用スタックです。インターネットや LAN から到達できるなら、今すぐ Apache を止めるか 127.0.0.1 にバインドしてください。
2. C:\xampp\php をバックアップし、windows.php.net から PHP 8.2.35 Thread Safe x64 の zip を取得（Apache モジュールには Thread Safe 版が必要）、php フォルダーに展開して php.ini を戻します。php8apache2_4.dll を Apache 設定と合わせるため 8.2 系のままにします。
3. XAMPP コントロールパネルで Apache を再起動し、php -v と一時的な phpinfo() ページでバージョンを確認します。
4. 公開するものは保守されているスタック（ディストリのパッケージ、Docker php イメージ、修正済みパネル）へ移行してください。
5. ベンダービルドがない場合、同梱 PHP を同じブランチの公式修正版に差し替えるのが自力での対処です。古いフォルダーと php.ini はバックアップしておきます。
6. Web サーバーを再起動し、Web SAPI が示すバージョンを再確認します。

確認を AI エージェントに任せたい場合： 影響の有無を確認 · AI エージェントで修正

すぐに修正できない場合

• アプリが上書きできない場所（php.ini、FPM プールや Apache 設定の php_admin_value）で session.upload_progress.enabled = 0 を設定し、PHP を再起動します。
• PHP 8.5 では fatal_error_backtraces = 0 を設定します。
• PHP の暫定策には memory_limit と小さい post_max_size も含まれます。一部の経路しか防げないため対策ページの通りに設定してください。
• ベンダーのバックポートがない PHP 8.1 以前なら、アクセス制限（VPN、IP 許可リスト）かサービス停止を。WAF ルールは役立ちますが修正ではありません。

よくある質問

関連製品

• WampServerベンダー修正あり
• MAMP and MAMP PROベンダー告知なし
• Laragonベンダー告知なし
• Laravel Herdベンダー修正あり
• ServBay一部修正
• FrankenPHP and Laravel Octaneベンダー修正あり

← PHP を同梱する製品一覧

関連：プラットフォーム別の対策 · 影響バージョン · ベンダー状況

公開情報の非公式まとめです。当サイトはベンダーや PHP プロジェクトとは無関係で、攻撃コードは掲載しません。