SHELLSCOPE

   ____  _   _ _____ _      _      ____   ____  _____ ______
  / ___|| | | | ____| |    | |    / ___| / ___||  _ \|  ____|
  \___ \| |_| |  _| | |    | |    \___ \| |    | |_) | |__
   ___) |  _  | |___| |___ | |___  ___) | |___ |  _ <|  __|
  |____/|_| |_|_____|_____|_____||____/ \____||_| \_\_____|

2shell 露出監査ツール — 攻撃者に見つかる前に、自分で見つけよう。

shellscope は、許可されたネットワーク上で 2026 年の 2 つの CVE クラスタをチェックします：

• Plex2Shell — CVE-2026-96652 / -96654 / -96655 / -96656（Plex Media Server < 1.43.3.10861）
• php2shell — CVE-2026-109618 / -109619（PHP session.upload_progress）

バージョンバナーと HTTP ヘッダーを読み取ります。エクスプロイト、認証、アップロード、メモリバグのトリガーは行いません。

インストール

pipx install shellscope
# or
python -m pip install shellscope

脆弱性の詳細

• CVE ID: CVE-2025-55182
• 影響を受けるバージョン: React Server Components 19.0.0、19.1.0、19.1.1、19.2.0
• 修正バージョン: 19.0.1、19.1.2、19.2.1
• 重大度: 重大
• 脆弱性の種類: 安全でないデシリアライゼーション / リモートコード実行

仕組み

この脆弱性は、React Server Components がクライアントから送信されたデータを処理する方法に存在します。攻撃者が細工したペイロードを送信すると、サーバー上で任意のコードが実行される可能性があります。

影響

この脆弱性を悪用された場合、以下の被害が発生する可能性があります：

• サーバー上でのリモートコード実行
• 機密データへの不正アクセス
• サービス拒否（DoS）
• 完全なシステム侵害

推奨事項

1. 影響を受けるバージョンの React Server Components を使用している場合は、直ちに修正バージョンへアップグレードしてください。
2. アップグレードが困難な場合は、信頼できないソースからのリクエストを制限するなどの緩和策を適用してください。
3. システムログを確認し、不審なアクティビティがないか監視してください。

参考情報

• React セキュリティアドバイザリ
• NVD - CVE-2025-55182

python -m pip install -e ".[dev]"

使用方法

# prove the install works, no network traffic
shellscope --self-test

# see what would be scanned
shellscope --cidr 192.168.1.0/24 --dry-run

# audit your network
shellscope --cidr 10.0.0.0/24 --authorized

# inventory CSV: host,port,owner,environment
shellscope --inventory-csv assets.csv --authorized --html report.html

# CI gate
shellscope --inventory-csv assets.csv --authorized --fail-on high --quiet

--authorized は実際のスキャンに必須です。これは、あなたがそのネットワークを所有しているか、テストするための書面による許可を得ているというあなたの主張です。

チェック内容

CVE セット	プローブ	判定
Plex2Shell	GET /identity → version	< 1.43.3.10861 → CRITICAL
php2shell	GET / → Server、X-Powered-By、PHPSESSID	Apache + 修正版未満の PHP → HIGH
php2shell	同上	nginx/LiteSpeed + 修正版未満 → MEDIUM
php2shell	同上	Apache + バージョン非公開 → MEDIUM（要確認）
—	開いているポート、フィンガープリントなし	INFO

PHP の修正バージョン（公式アドバイザリまではリーク情報に基づく）：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。

HIGH/MEDIUM の区分は意図的なものです。残存する php2shell のバグは、汎用的な PHP RCE ではなく、Apache prefork + mod_php のみとして報告されます。

出力

• --out audit.csv — 検出結果ごとに 1 行（デフォルトは shellscope-results.csv）
• --json audit.json — メタデータ + 検出結果
• --html audit.html — フィルタとソートを備えた、ダークテーマの自己完結型レポート

デモ

$ shellscope --cidr 127.0.0.1/32 --ports 32400,8888 --force-checks --authorized

  [scope] 1 assets / 2 checks
  CRITICAL  127.0.0.1:32400  Plex Media Server 1.43.2.10664  Vulnerable to Plex2Shell
  HIGH      127.0.0.1:8888   PHP 8.2.34                 PHP 8.2.34 < 8.2.35 on Apache

  SUMMARY
  CRITICAL    1  #
  HIGH        1  #
  TOTAL       2

安全性

• 実際のスキャンには --authorized が必須です。
• デフォルトではプライベート/ループバック範囲が対象です。パブリック範囲には --allow-public が必要です。
• --max-hosts、--workers、--delay によってスキャンが制限されます。
• 開いているポートごとに読み取り専用のリクエストを1回のみ送信します。ペイロード、認証バイパス、DoS は行いません。

所有しているネットワーク、またはテストの書面による許可を得ているネットワークでのみ使用してください。バグバウンティのスコープはインターネットをスキャンするライセンスではありません。それはそのプログラムのルールの下で列挙された資産を許可するものです。

注意事項

• CDN はオリジンを隠します。 Server ヘッダーは PHP のビルドではなく Cloudflare を表している可能性があります。
• X-Powered-By はしばしば無効化されています。 ヘッダーが存在しないことはパッチが適用されている証拠にはなりません。
• バージョン ≠ 悪用可能性。 このツールはどこを調べるべきかを示すものであり、ホストが侵害されていることを示すものではありません。
• PHP の修正バージョンはリーク情報に基づいています。 公式アドバイザリで確認してください。

終了コード

コード	意味
0	スキャン完了、--fail-on 以上の検出なし
1	--fail-on 以上の検出あり
2	使用方法または認可ガード

開発

python -m pip install -e ".[dev]"
python -m pytest
python -m ruff check src tests
python -m shellscope --self-test

ライセンス

MIT。許可された使用のみ。