あなたは、小さな会社のIT担当を手伝っています。

2026年10月に公表された、PHP の重大な脆弱性（通称 PHP2Shell）について、この会社の「持ち物の一覧」の12件それぞれが影響を受けるかを判定してください。

判定は次の3つのどれか1つにしてください。
- 要対応: 自分たちで更新・停止などを今すぐ決める
- 要確認: 分からないので調べる・問い合わせる
- 対応不要: この件で自分たちがすることはない

出力の形:
1. 表（No／判定／理由（1〜2文）／次にやること）
2. 「今すぐ決める」上位3つ（No と理由）
3. あなたが判定に使った事実のうち、渡された資料に書いていないもの（なければ「なし」）

使ってよい資料は、下の「持ち物の一覧」と「事実シート」だけです。Web の検索や、ほかのファイルを開くことはしないでください。

=== 持ち物の一覧 ===
# 持ち物の一覧（架空の会社・社員12人）

この会社は架空です。2026年10月23日時点の一覧。

| No | 名前 | どこで動いているか | 分かっていること | 外から見えるか |
|---|---|---|---|---|
| 1 | 会社のホームページ（WordPress） | 共用のレンタルサーバー | サーバーの管理画面の表示: PHP 8.2.34 | 公開 |
| 2 | 来店予約のシステム | 自社で借りたクラウドのサーバー。Docker で動かしている | 使っているイメージ: php:8.4-fpm（版を固定していない）。最後にイメージを作り直したのは 2026年9月30日 | 公開 |
| 3 | 社内の勤怠システム | 社内のサーバー。Apache の mod_php | `php -v` の表示: PHP 8.3.36 | 社内のネットワークだけ |
| 4 | 3年前のキャンペーンサイト | 借りている仮想サーバー（VPS） | PHP 7.4.33。キャンペーンは終わったが、ページは公開したまま | 公開 |
| 5 | 採用サイト | Vercel（Next.js で作ったサイト） | PHP は使っていない | 公開 |
| 6 | ネットショップ | ネットショップを作れるサービス（月額で借りている） | サーバーの管理は事業者。こちらでは PHP の版を見られない | 公開 |
| 7 | 共有フォルダの機械（NAS） | 社内 | 管理画面がある。中で何が動いているかは分からない。メーカーの告知はまだ見ていない | 社内のネットワークだけ |
| 8 | 社長のブログ | 共用のレンタルサーバー（LiteSpeed） | 管理画面の表示は「PHP 8.5」だけで、細かい版は出ない | 公開 |
| 9 | 問い合わせフォーム | Google フォーム | 自社のサーバーは使っていない | 公開 |
| 10 | 会員向けサイト | 外部の制作会社が作って、保守もしている | PHP で作られている。版は制作会社しか知らない | 公開 |
| 11 | 社内の情報共有（Wiki） | 社内のサーバー。FrankenPHP | PHP 8.5.12 | 社内のネットワークだけ |
| 12 | 閉じたはずの旧サイト | レンタルサーバー。契約は続いている | 独自ドメインは解約したが、ファイルは消していない。PHP 8.0 | 不明（ドメインを解約しただけ） |

=== 事実シート ===
# PHP の脆弱性（PHP2Shell）事実シート

2026年10月23日時点。下の公式の情報源を、Claude が開いて要約した。AI に渡すのはこのシートだけ。

## 何が公表されたか
- 2026年10月21日、PHP の開発チームが、重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を直した版を公開した。発見者が付けた通称は「PHP2Shell」。
- 認証なしで、外部から PHP のプロセスの権限で任意のプログラムを動かされるおそれがある（リモートコード実行）。
- 深刻度（CVSS v4.0）は 9.2。

## 直った版（これ以上なら修正済み）
- 8.5 系: 8.5.12
- 8.4 系: 8.4.27
- 8.3 系: 8.3.36
- 8.2 系: 8.2.35
- 8.1 以前: PHP の開発チームからの修正版はない（サポート終了）。7.4・8.0・8.1 向けに、ソースから組み立てる人のための最小限の修正の差分が出ている。サポートのある版への移行が勧められている。
- 発見者（Wiz）によると、少なくとも一方の脆弱性は PHP 5.4 以降に影響する。
- 他の製品や Linux ディストリビューションに組み込まれた PHP も影響を受けうる。その製品の提供元の情報を確認する。

## どんな使い方が狙われるか（公式の脆弱性情報より）
- Web サーバーの中で、同じ PHP の処理役（ワーカー）が複数のリクエストを続けて受け持つ使い方が対象。
- Apache の mod_php: 外部からの実行まで確かめられている。
- PHP-FPM: 条件つきで影響を受ける。
- LiteSpeed（LSAPI）・FrankenPHP: 影響を受ける可能性が高い（ソースの分析による）。
- コマンドラインで動かす PHP（CLI）と CGI: 公式の脆弱性情報には記載がない。

## すぐ更新できないとき
- 公式: 「完全な回避策はなく、更新だけが安全な選択」。設定で一部の経路を塞ぐ方法は示されているが、それだけでは安全にならない。
- IPA: 更新が済むまで暫定対策やアクセス制限を行う。有効な対策が取れない場合は、外部からのアクセスを止める、またはサービスを一時停止することも検討する。

## 悪用の状況
- IPA の注意喚起（10月22日）は、悪用が確認されたとは書いていない。
- JPCERT/CC の注意喚起（10月22日）は、攻撃を受けていないかの調査を勧めている。痕跡がないことは、攻撃を受けていないことの証明にはならない。

## 情報源
- PHP 公式: https://www.php.net/ （2026年10月21日のリリース告知とセキュリティ勧告）
- 公式の脆弱性情報: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w ／ https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- JPCERT/CC: https://www.jpcert.or.jp/at/2026/at260033.html
- IPA: https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
