大規模な本番運用で培った規律
すべての変更をレビューし、ステージングで検証し、段階的に反映し、いつでも切り戻せるようにします。何を、なぜ変えたのかを記録に残す。数百万人が使うサービスを運用していた頃と同じやり方です。
PHP セキュリティの専門チーム · AWS・Google などの出身エンジニア
古い PHP、公式パッチがない？私たちが直します。
私たちは、セキュリティと開発の分野で長年経験を積んできた、AWS や Google などの大手テック企業出身のエンジニアによる PHP の専門チームです。ドキュメントのない大規模なコードも AI で素早く読み解き、すべての指摘とすべての変更を経験豊富なエンジニアが人の目で確認します。誰も触りたがらない PHP 5.2 時代のシステムから、メジャーバージョン 2 つ分遅れたアプリまで、作り直しを前提とせずに難しい問題を解決します。
人 + AIすべての変更をエンジニアが確認
PHP 4 → 8.5すべてのバージョンに対応
AWS・Google など大手テック企業出身のエンジニア
セキュリティ情報 · 2026 年 10 月
PHP2Shell：自社のコードに問題がなくても、今すぐパッチを
PHP2Shell は、PHP エンジン本体に見つかった 2 件の深刻なメモリ安全性の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です。認証なしでリモートからコードを実行される恐れがあり、経路によっては他のリクエストのメモリ（パスワード、セッショントークン、API キーなど）が攻撃者に漏れます。PHP 本体の問題なので、WordPress、Magento、Laravel、自社開発のアプリも同じように影響を受けます。
CVE-2026-109618
CVE-2026-109619
CVSS 9.2
- 深刻度
- CVSS v4.0 9.2（2 件とも）
- 攻撃条件
- リモート・ログイン不要
- 実行環境
- PHP-FPM、Apache mod_php など
- 影響範囲
- 脆弱なコードは PHP 5.4 まで遡ると報告
- 悪用状況
- 2026 年 10 月 21 日から攻撃通信を観測
修正済みの公式リリース
| PHP 8.5 | ≥ 8.5.12 |
| PHP 8.4 | ≥ 8.4.27 |
| PHP 8.3 | ≥ 8.3.36 |
| PHP 8.2 | ≥ 8.2.35 |
| PHP 8.1 以前 | 公式リリースなし：バックポートまたはアップグレード |
PHP 8.1 以前には公式の新リリースが出ません。対策はディストリビューションやベンダーのバックポートか、アップグレードのみです。古いプロジェクトの多くがここで止まっており、私たちがお手伝いできるのもこの部分です。
すぐにパッチを当てられない場合の暫定策
session.upload_progress.enabledをサーバー側（php.ini または FPM プール。ini_set()は不可）で無効にし、PHP ワーカーを再起動する。- ファイルアップロードを使わないアプリなら、nginx や Apache で
multipart/form-dataのリクエストを遮断する。 - リクエストサイズの上限（
post_max_size、upload_max_filesize）を絞り、不要な公開範囲を制限する。
これらは影響を減らすだけです。完全な対策は PHP の更新しかありません。
簡単なセルフチェック
実際に Web リクエストを処理している PHP を確認します。CLI の
php -vは FPM や Apache の PHP と異なる場合があります。<?php echo PHP_VERSION; // 一時ファイル。確認後に削除Debian / Ubuntu：パッケージに修正が含まれているか確認（バージョンは環境に合わせて変更）。
zgrep CVE-2026-109618 /usr/share/doc/php8.1-common/changelog.Debian.gzRHEL / AlmaLinux / Rocky：
rpm -q --changelog php-common | grep CVE-2026-109618
PHP2Shell 緊急対応の内容
- サーバー上のすべての PHP（コンテナ、複数バージョン、同梱版を含む）を洗い出し。
- 修正版へ更新、または PHP 5.x〜8.1 には信頼できるバックポートを適用。
- 暫定策を適用し、php.ini だけでなく実際に動いている設定で効いているか確認。
- 侵害調査：Web シェル、改ざんファイル、不審な管理者ユーザーや cron の有無。
- 調査結果と変更内容をまとめた簡潔なレポート。
サポート終了の PHP
お使いのバージョンに公式の修正がない？それこそ私たちの専門です。
PHP 8.1 以前のバージョンには、PHP2Shell を含め、PHP 公式からのセキュリティリリースがもう出ません。それでも多くのレンタルサーバー、Docker イメージ、古いサーバーはこれらのバージョンで動いています。公式パッチを待っても届かないため、私たちは 3 つのステップで安全な状態まで引き上げます。
- 今すぐ01
応急処置
検証済みのセキュリティバックポートや代替の防御策を、今お使いのバージョンに適用。差し迫ったリスクを数か月ではなく数日で塞ぎます。
- 次に02
アップグレード
最新の安全な PHP（8.4 / 8.5）へ段階的に移行。廃止関数の修正、依存関係の更新を行い、各段階を本番前にテストします。
- 常に03
堅牢化
php.ini と PHP-FPM の設定強化、危険な関数の無効化、ファイル権限の修正、WAF ルールと監視の追加。次の PHP2Shell が来ても被害を抑えます。
私たちについて
AWS・Google などの出身エンジニアが、事業を支える PHP を直します
RescuePHP は、セキュリティと開発の分野で長年経験を積んできた少人数のエンジニアチームです。RescuePHP を始める前は、AWS や Google などの企業で本番システムの開発と運用に携わり、コードレビュー、セキュリティレビュー、オンコール対応、インシデント対応を日常業務としてきました。その同じ規律を、企業が頼りにしているのに誰も触りたがらない PHP アプリケーションに持ち込んでいます。
セキュリティが本業
脅威モデリング、脆弱性の評価、インシデント対応が私たちの出発点です。PHP2Shell のような深刻な脆弱性が出たとき、実際の影響範囲を見極め、パッチを当て、検証し、侵害の痕跡まで確認する方法を知っています。
どの時代の PHP にも対応
PHP 4・5 のコードも最新の PHP 8 と同じように読み解けます。こうしたアプリが動いているサーバー、フレームワーク、ホスティング環境にも精通しています。
作業するエンジニアと直接やりとり
営業担当や取り次ぎはいません。コードを見るエンジニア本人が、日本語または英語でご質問にお答えします。
なぜ古い PHP に取り組むのか
Web の大部分はいまも PHP で動いており、その多くはセキュリティ修正がもう提供されないバージョンです。作り直しは現実的でないことが多く、放置すれば危険です。こうしたシステムを、慎重に、騒ぎを起こさずに、安全で保守できる状態へ引き上げる。それが私たちの選んだ仕事です。
お客様の情報は口外しません
お客様の社名を出したり、コードを公開したり、インシデントを事例として紹介したりすることはありません。このサイトに導入企業のロゴがないのはそのためです。コードを拝見する前に御社の NDA に署名し、作業に必要な権限だけを使い、作業が終わればアクセス権を返却します。
私たちの約束：何が問題で、直すのにいくらかかり、何は後回しにできるのかを率直にお伝えします。作り直しのほうが本当に良い場合は、そうはっきり申し上げます。
人のレビュー + AI
人だけより速く、AI だけより安全に。
古い PHP には想定外がつきものです。広く調べるのは AI、判断するのはエンジニア。人が承認しない変更は一切リリースしません。
AI
AI が大量のコードを読む
- コード全体から脆弱なパターン、廃止関数、アップグレードの障害を洗い出す
- ドキュメントのないコードのデータの流れを追跡する
- 数千ファイルにわたる繰り返しの修正とテストの下書きを作る
Human
エンジニアが判断する
- すべての指摘を確認し、誤検知を取り除く
- すべての変更を 1 行ずつ読んで承認する
- 業務ロジック、データ移行、本番切り替えなど難しい部分を担当する
サービス
古い PHP に必要なことは、まとめて対応
不具合修正・障害対応
真っ白な画面、500 エラー、決済の不具合、止まった cron。他人が書いたコードでも原因を突き止めます。
PHP バージョンアップ
PHP 5.x / 7.x から 8.x へ段階的に。廃止関数、mysql_* から PDO への移行、非推奨機能、依存ライブラリの更新まで。
フレームワークの更新
Laravel、Symfony、CodeIgniter、ThinkPHP、Yii、Zend / Laminas、CakePHP、WordPress、Magento、Drupal。
セキュリティ対策・駆除
既知の CVE への対応、マルウェアや Web シェルの駆除、SQL インジェクションや XSS の修正、サーバー設定の強化。
サーバー移行
共用レンタルサーバーや老朽化した VPS から、PHP-FPM、Docker、マネージド環境へ。切り替え当日に慌てない移行を。
継続的な保守
毎月のパッチ適用、依存関係の更新、監視。コードを理解している開発者がいつでも対応します。
対応バージョン
どの PHP バージョンでも対応します
公式サポートが終わっても、事業は続きます。PHP の歴史全体にわたるコードとサーバーを扱います。
- 42000
- 5.22006
- 5.32009
- 5.42012
- 5.62014
- 7.02015
- 7.42019
- 8.02020
- 8.12021
- 8.22022
- 8.32023
- 8.42024
- 8.52025
サポート終了（当社は対応）
公式サポート中
ご依頼の流れ
4 ステップ、囲い込みなし
- 01
状況を教えてください
症状、PHP のバージョン、サーバー環境をお送りください。リポジトリへのアクセスは必須ではありません。
- 02
無料診断
コードと環境を確認し、リスクをわかりやすくご説明します。
- 03
固定見積もり
作業前に範囲と金額を明確にします。際限のない時間課金はしません。
- 04
修正・引き継ぎ
修正、テスト、デプロイまで対応し、変更内容を文書化。ほかの開発者でも引き継げます。
よくある質問
よくいただくご質問
実際に誰が作業しますか？
AWS や Google などの企業で本番システムの開発・運用に携わってきた、当社のエンジニアが担当します。外注や再委託はせず、コードを書き、レビューする本人と直接やりとりしていただけます。
お使いの PHP バージョンに公式の修正がありません。どうすればいいですか？
まず検証済みのバックポートや代替の防御策で差し迫ったリスクを塞ぎ、そのうえで最新の安全な PHP へのアップグレードを計画し、あわせてサーバーを堅牢化します。
作業は AI が行うのですか？
AI は大規模なコードを素早く読み、調べるために使います。すべての指摘はエンジニアが確認し、すべての変更はエンジニアが書くか承認してからサーバーに反映します。
システムを作り直す必要はありますか？
ほとんどの場合、必要ありません。古い PHP の多くは、そのまま安定化・アップグレードできます。長期的に明らかに安くなる場合に限り、一部の置き換えをご提案します。
PHP 5.6 / 7.x で動いています。PHP2Shell の影響はありますか？
脆弱なコードは PHP 5.4 まで遡ると報告されており、PHP 8.1 以前には公式の修正が出ません。バックポートかアップグレードが済むまでは、影響を受けるものとしてご対応ください。
開発者が辞めていて、ドキュメントもありません。
それがいつもの出発点です。まずコード、サーバー、デプロイ方法を把握し、わかったことを文書に残します。
本番環境を壊さずに作業できますか？
はい。まずコピーやステージング環境で作業し、変更の日時はご相談のうえ決め、すべてのデプロイで切り戻しができるようにします。
NDA を結べますか？導入事例として社名を出されませんか？
はい、コードを拝見する前に御社の NDA に署名します。お客様の社名や作業内容を公表することは一切ないため、問題があったことが当社から外部に知られることはありません。
お問い合わせ
PHP のお困りごとをお送りください
状況をお知らせください（公開サイトなら URL も）。日本語・英語どちらでも対応します。
あると助かる情報
- PHP のバージョンとフレームワーク（わかれば）
- サーバー環境：共用、VPS、クラウド、Docker
- 何が壊れているか、何を更新したいか
- 希望納期・緊急度