専用プログラムのインストールは必要なく、WebサイトのURLを入力して診断できる。サーバの応答情報を分析する非侵入型の方式を採用しており、診断結果とともに、対応の優先順位や具体的な対策を提示する。

　Webサイトの外部からPHPのバージョンを特定しにくい環境に向けては、サーバ内部のPHPバージョンや設定情報を検証する診断スクリプトも用意している。言語は日本語と韓国語、英語に対応しており、CloudbricのWebサイトから無料で利用できる。

　ペンタセキュリティは、同じリモートコード実行の脆弱性であっても、PHP2Shellの脆弱性がこれほど危険視されている理由を4つ挙げている。

　1つ目は、アプリケーションコードの実行前から攻撃可能なことだ。PHPセキュリティチームは、mod_php環境では、認証を必要としない単一のリクエストによって、アプリケーションコードの実行前に脆弱性が悪用される可能性があると指摘し、最も高いリスク評価をつけた。このため、アプリケーションコードの修正だけでは、十分な対策が難しい。

　2つ目は、AIの存在だ。Wizの研究者は、PHPの欠陥自体は昔から存在していたものの、実際に攻撃を成功させるには手順が複雑で悪用が難しかったとしている。しかし、最新のAIを駆使したことで解析と攻撃手順の作成が容易になり、以前であれば騒がれなかった問題が今回深刻な脅威として表面化した。

　3つ目が、公開前の攻撃試行だ。PHPは脆弱性公開の翌日に緊急パッチをリリースした。しかし、正式公開の前から、外部のセキュリティ機関が実際の攻撃試行を観測したとの報告もあり、非常に緊急性が高い状況にある。

　そして4つ目が、露出規模の大きさだ。VirusTotalは、インターネットに公開されているPHPサーバが510万台以上あると推定している。英国国家サイバーセキュリティセンター（NCSC）は、PHPを使用しているシステムをすぐにアップデートするよう呼びかけており、直ちに対応できない場合はWAFなどによる一時的な緩和措置やサービス停止を含めたリスク回避策を求めている状況だ。

　これらの危険性への最も有効な手段は、PHPセキュリティパッチを適用することだ。しかし、運用中のサービスは、互換性の検証なしに即座のバージョンアップが難しい場合もある。

　PHPセキュリティチームは即時パッチが難しい場合の応急的な緩和設定を紹介している。CVE-2026-109618対策としては「メモリ制限の解除」「リクエストサイズ制限」「リソース制限の分離」、CVE-2026-109619対策としては「セッションアップロード進捗機能をオフ」「致命的エラーのバックトレースをオフ」「診断メッセージ設定の整理」「エラー経路の点検」が手段となる。

　ペンタセキュリティは、上記に加えて、パッチおよびアップデート完了までのリスクを緩和する手段の一つとして、WAF（Web Application Firewall）を使ったルールの追加も効果的だとしている。同社は、提供するWAF製品の「WAPPLES」「WAPPLES SA」「Cloudbric WAF+」利用者向けに、PHP2Shellに対応するカスタムルールと設定ガイドを配布している。