PHP セキュリティガイド
PHP セキュリティガイド
PHP2Shell 以外でも、PHP サイトが侵害される原因の多くはアプリケーションコードのよく知られた数種類の脆弱性です。ここではそれぞれをわかりやすく説明し、自分のコードでの見つけ方と直し方を示します。
最終更新
よくある PHP の脆弱性
- PHP オブジェクトインジェクションとは？直し方PHP オブジェクトインジェクションは、利用者が操作できる入力が unserialize() に届くと起き、マジックメソッドを通じて攻撃者が選んだ処理を実行させるオブジェクトが生成され得ます。
- PHP ファイルインクルード（LFI/RFI）とは？直し方ファイルインクルードは利用者の入力が include や require のパスを左右すると起き、攻撃者はローカルファイルを読み（LFI）、allow_url_include が有効ならリモートのコードを実行できます（RFI）。
- PHP の SSRF とは？直し方サーバーサイドリクエストフォージェリ（SSRF）は PHP アプリが利用者の指定した URL を取得すると起き、攻撃者はサーバー経由で内部サービスやクラウドのメタデータに到達できます。
- PHP の XSS とは？防ぎ方クロスサイトスクリプティング（XSS）は PHP のページが利用者の操作できるデータをエスケープせずに HTML に出すと起き、攻撃者のスクリプトがほかの訪問者のブラウザで実行されます。
- phpinfo() の露出：なぜ問題か、どう直すか公開された phpinfo() ページは正確な PHP のバージョン、読み込まれたモジュール、ファイルパス、しばしば環境変数や秘密情報まで明かし、PHP2Shell のような脆弱性を狙う手がかりになります。
バージョン、ディストリ、関連する公告
- PHP のバージョンはまだ安全？PHP 7.4〜8.5 のサポート状況と PHP2Shell の状況。
- PHP2Shell のディストリ別修正Debian、Ubuntu、RHEL、SUSE、Alpine、Amazon Linux の修正パッケージ。
- Magento SessionReaperAdobe Commerce と Magento の CVE-2025-54236：影響バージョンとホットフィックス。
- 関連インシデントeMudhra の CA 鍵、CMS への Webshell、Packagist のサプライチェーン、OpenSSL。
出典
外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。
- Cross Site Scripting Prevention Cheat Sheet — OWASP Cheat Sheet Series
- Server-Side Request Forgery Prevention Cheat Sheet — OWASP Cheat Sheet Series
- Supported Versions — PHP project (php.net)
- Security update available for Adobe Commerce | APSB25-88 — Adobe