PHP2Shellとは？緊急のPHP脆弱性の影響と今すぐの対策を解説
2026年10月、PHPに緊急レベルの脆弱性「PHP2Shell」が公開され、世界中のWeb管理者が一斉に対応へ動いています。PHPは世界中の多くのWebサイトやWordPressの土台です。今回の穴はPHP本体にあるため、対応が遅れると自社サイトのサーバーを乗っ取られるおそれがあります。
この記事では、PHP2Shellがどんな脆弱性で、自社のサイトが影響を受けるのか、今すぐ何をすべきかを解説します。結論から言えば、必要なのはPHPを修正版へ更新することだけです。記事を読めば、自社サイトの危険度を確認し、最初の一手を判断できます。
PHP2Shellとは、PHP本体に見つかった2つの緊急脆弱性のこと
PHP2Shellは、2026年10月に公開された、PHP本体の2つの重大な脆弱性をまとめた呼び名です。識別番号はCVE-2026-109618とCVE-2026-109619の2つです。どちらも、攻撃者が遠隔からサーバー上で任意のプログラムを実行できてしまう「リモートコード実行」の脆弱性にあたります。2つとも、PHPがメモリを扱う処理の不具合に由来します。
PHPは、Webサイトの画面や機能を動かすためのプログラミング言語です。世界中の多くのWebサイトや、WordPress・Drupal・Joomlaといったサイト作成システムがPHPの上で動いています。今回の問題はPHP本体にあるため、PHPで動くサイトが広く影響を受ける可能性があります。
名前にある「Shell」は、攻撃者がサーバーを遠隔から操作できる状態のことです。
脆弱性の深刻さを示す国際指標CVSS(バージョン4.0)では、2つとも10点満点中9.2点と評価されました。9点台は最上位の「緊急(クリティカル)」に分類される水準です。
PHP2Shellがとくに危険とされる理由
PHP2Shellは、数ある脆弱性の中でも対応の優先度が高い部類です。危険とされる主な理由は、以下の3つです。
- 遠隔からサーバーを乗っ取られるおそれがある
- PHPで動く幅広いサイトが対象になりうる
- 修正前からすでに悪用の動きが確認されている
遠隔からサーバーを乗っ取られるおそれがある
PHP2Shellの最大の問題は、攻撃者がインターネット越しにサーバー上で自由にプログラムを動かせてしまう点です。サーバーを乗っ取られると、サイトの改ざん、顧客情報や認証情報の抜き取り、別の攻撃への踏み台化といった被害につながります。攻撃の多くはログインやパスワードを必要としないため、インターネット上の脆弱なサイトは自動的なスキャンで探し出され、ねらわれやすくなります。
PHPで動く幅広いサイトが対象になりうる
PHPは世界中の多くのWebサイトを支える基盤です。とくにWordPressはPHPで動いており、企業サイト・採用サイト・ECサイトなど幅広く使われています。今回の脆弱性はPHP本体にあるため、特定のプラグインやテーマだけの問題ではありません。PHPで動くサイトであれば、規模や業種を問わず確認が必要になります。
修正前からすでに悪用の動きが確認されている
PHP2Shellは、修正版が公開される前から攻撃の準備が進んでいた点でも警戒されています。攻撃の実証コード(PoC)が事前に外部へ流出し、公開の4日前にあたる2026年10月17日には、実際に悪用を試みる通信が観測されました。攻撃の手口が広く知られてしまったため、公開直後から悪用が本格化する危険が高い状況です。
出典：Help Net Securityの報道(2026年10月21日)
影響を受けるのはどのサイトか
自社のサイトが影響を受けるかどうかは、使っているPHPのバージョンと、サイトの動かし方で決まります。確認すべきポイントは、以下のとおりです。
- 対象になりやすいサイトの動作構成
- 影響を受けるPHPのバージョン
- 自社サイトのPHPバージョンを確認する方法
対象になりやすいサイトの動作構成
PHP2Shellは、Webからのリクエストを処理するPHP全般が対象です。サーバーでPHPを動かす方式には複数あり、Apacheのmod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなどが該当します。中でもApacheのmod_phpと呼ばれる方式は、もっとも危険度が高い構成です。mod_php以外のPHP-FPMなどの方式でも、条件によっては悪用される可能性があります。自社サイトがどの方式かはサーバー会社や制作会社が把握しているため、分からない場合は問い合わせるのが確実です。
影響を受けるPHPのバージョン
今回の脆弱性は、サポート中のPHP 8.2系から8.5系までが対象です。各系統の修正版がすでに公開されています。修正版のバージョンは、以下の表のとおりです。
| PHPの系統 | 修正版のバージョン |
|---|---|
| PHP 8.5系 | 8.5.12 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.2系 | 8.2.35 |
サポートが終了したPHP 8.1以前にも、限定的な修正が用意されています。ただしPHP 8.1以前はすでにサポート終了(EOL)の状態です。安全を保つには、サポート中の新しい系統へ移行する準備も必要になります。一部では、さらに古いPHP 5系から影響するとの指摘もありますが、公式には確定していません。
自社サイトのPHPバージョンを確認する方法
PHPのバージョンは、専門知識がなくても確認できます。確認の手順は、以下のとおりです。
- レンタルサーバーの管理画面にログインし、PHPのバージョン設定の項目を開く
- WordPressの場合は、管理画面の「ツール」にある「サイトヘルス」で、稼働中のPHPバージョンを確認する
- 制作会社や運用の委託先がある場合は、使用中のPHPバージョンと更新状況を問い合わせる
表示されたバージョンが修正版より古い場合は、対象になっている可能性が高いため、早めの更新が必要です。
PHP2Shellが公開されるまでの経緯
PHP2Shellは、通常の脆弱性公開とは異なる慌ただしい経緯をたどりました。主な出来事は、以下のとおりです。
- 2026年10月17日: 公開前にもかかわらず、悪用を試みる通信が観測される
- 2026年10月20日〜21日: 攻撃の実証コードが流出したため、予定を前倒しして修正版が公開される
- 公開後: 脆弱なサイトを探すスキャンや悪用の試みが世界的に拡大
攻撃の手口が広く知られてしまったため、暫定的な緩和策だけで完全に防ぐことは難しくなっています。問題を完全に塞げるのは、修正版への更新だけです。すでに一部のセキュリティサービスでは、脆弱性をねらう通信を一時的に遮断する仕組みや、影響の有無を点検するツールも提供されています。
PHP2Shellへ今すぐ取るべき対策
PHP2Shellへの対策は、PHPを修正版へ更新することが基本です。更新できない場合の暫定策もありますが、問題を完全に塞げるのは更新しかありません。取るべき対策は、以下のとおりです。
- PHPを修正版へ更新する
- サーバー会社や委託先に対応状況を確認する
- すぐに更新できない場合の暫定的な備えを取る
- 更新後に侵害の兆候がないか確認する
PHPを修正版へ更新する
もっとも確実な対策は、PHPを修正版へ更新することです。更新の手順は、以下のとおりです。
- 現在使用しているPHPのバージョンを確認する
- 使っている系統の修正版(8.2.35・8.3.36・8.4.27・8.5.12のいずれか)へ更新する
- 更新後にサイトが正常に表示され、問い合わせフォームなどの機能が動くかを確認する
多くのレンタルサーバーでは、管理画面からPHPのバージョンを切り替えられます。更新によって一部の機能が動かなくなる場合もあるため、事前のバックアップと更新後の動作確認をあわせて行いましょう。
サーバー会社や委託先に対応状況を確認する
自社でサーバーを管理していない場合は、更新の対応を委託先に任せているケースが多くあります。レンタルサーバーを使っているなら、サーバー会社がすでに対応済みか、利用者側で何をすべきかを確認してください。制作会社や運用パートナーがいる場合は、PHP2Shellへの対応予定を問い合わせると、自社の状況を早く把握できます。
すぐに更新できない場合の暫定的な備えを取る
事情があってすぐに更新できない場合も、被害の可能性を下げる備えはあります。代表的な備えは、以下のとおりです。
- WAF(Webアプリケーションファイアウォール)で不正な通信を遮断する
- 更新までの間、対象のサイトやサービスの公開を一時的に止める
- PHPの設定による緩和策を、専門家やサーバー会社に相談して適用する
PHPの設定を変える緩和策も公表されていますが、設定を誤るとサイトが動かなくなります。自己判断で触らず、委託先やサーバー会社に相談して適用するのが安全です。暫定の備えはあくまで時間稼ぎであり、最終的には修正版への更新が欠かせません。
更新後に侵害の兆候がないか確認する
修正版へ更新したあとも、更新前に侵入されていないかの確認が大切です。すでに攻撃を受けていた場合、更新するだけでは侵入の痕跡が残ってしまうためです。身に覚えのないファイルや管理者アカウントが増えていないか、サイトの表示や挙動に不審な変化がないかを確認しましょう。判断が難しい場合は、セキュリティの専門会社やサーバー会社に点検を依頼するのが確実です。
PHP2Shellに関するよくある質問
PHP2Shellについて、非エンジニアの方から寄せられやすい疑問をまとめます。よくある質問は、以下の4つです。
- WordPressを使っているだけでも影響を受けますか
- レンタルサーバーなら自動で更新されますか
- 今のところ被害がなければ大丈夫ですか
- 古いPHPを使っています。どうすればよいですか
WordPressを使っているだけでも影響を受けますか
WordPress自体ではなく、その土台のPHPが古いままだと影響を受けます。WordPressはPHPで動いているため、PHPのバージョンが修正版より古ければ対象になります。プラグインやテーマの更新とは別に、PHP本体のバージョンを必ず確認してください。
レンタルサーバーなら自動で更新されますか
サーバー会社が自動で更新する場合もありますが、利用者側での操作が必要な場合もあります。多くのレンタルサーバーでは、利用者が管理画面でPHPのバージョンを選ぶ仕組みです。自動更新に任せきりにせず、現在のバージョンと更新状況を自分で確認しておくと安心です。
今のところ被害がなければ大丈夫ですか
被害が表面化していなくても、安全とは言い切れません。PHP2Shellは公開前から悪用の動きがあり、侵入されても気づきにくいケースがあります。被害の有無にかかわらず、修正版への更新を優先してください。
古いPHPを使っています。どうすればよいですか
サポートの終了したPHPを使っている場合は、サポート中の系統への移行を検討しましょう。PHP 8.1以前には限定的な修正しか用意されず、今後も新しい脆弱性への対応が受けにくくなります。移行には動作確認が必要なため、制作会社やサーバー会社と計画を立てて進めるのが現実的です。
PHP2Shellの被害は早めのPHP更新で防げる
PHP2Shellは、PHPで動くサイトを広く危険にさらす緊急の脆弱性です。攻撃者に遠隔からサーバーを乗っ取られるおそれがあり、WordPressをはじめ多くのサイトが対象になります。ただし、過度に恐れる必要はありません。
被害の多くは、基本的な対応で防げます。今日から取り組めることは、次の3つです。
- 自社サイトのPHPのバージョンを確認する
- 使っている系統の修正版(8.2.35・8.3.36・8.4.27・8.5.12)へ更新する
- 自社で管理していない場合は、サーバー会社や委託先に対応を確認する
PHP2Shellのように影響範囲の広い脆弱性では、対応の速さがそのまま被害の大きさを分けます。まずは自社サイトのPHPバージョンを確認し、修正版への更新を今日から進めましょう。
