PHPの脆弱性「php2shell」とは｜サイト担当者が今すぐ確認すること

はじめに

10月21日の夜から22日にかけて、国内のレンタルサーバーや多くのWebサービスが一斉に緊急メンテナンスに入りました。原因は、ホームページを動かすプログラムの一つ「PHP」に見つかった重大な脆弱性です。

「うちのサイトは大丈夫なのか」「何を確認すればいいのか」というご相談を、ファミライズにも多くいただいています。この記事では、専門知識がない方にも分かるように、今回の問題の中身と、中小企業のサイト担当者が今確認したいことをまとめます。

PHPとは何か

PHP（ピーエイチピー）は、ホームページの裏側で動いているプログラムの言語です。お問い合わせフォームの送信、ブログ記事の表示、ネットショップの注文処理など、表示のたびに中身を組み立てるサイトの多くがPHPで動いています。

代表的なのがWordPressです。WordPressはPHPで作られているため、WordPressで作ったホームページは、すべてサーバー上でPHPが動いています。

今回の脆弱性「php2shell」の中身

今回見つかったのは、PHP本体のメモリ（作業用の記憶領域）の扱い方にある2件の欠陥です。

項目	内容
番号	CVE-2026-109618／CVE-2026-109619（通称 php2shell）
修正版の公開	2026年10月21日（日本時間の夜）
深刻度	CVSS v4.0で9.2（10段階で最も重い「緊急」の区分）
起きうること	ログインなしで外からサーバー上のプログラムを動かされる（遠隔からのコード実行）、メモリ内の情報が漏れる、サービスが止まる
対象	Webのリクエストを処理するPHPほぼすべて（Apacheのmod_php、PHP-FPM、php-cgi、LiteSpeed など）
直し方	PHP本体を修正版に更新する（設定変更やWAFだけで完全に防ぐ方法はないとされています）

怖いのは、サイトに作り込んだプログラムの出来ではなく、PHPそのものに穴があることです。どれだけ丁寧に作ったサイトでも、古いPHPの上で動いていれば同じように狙われます。

公表の数日前から攻撃の試みが観測され、公表後には世界中で大量の攻撃の通信が確認されたと報告されています。「様子見」ができる種類の問題ではありません。

修正版が出ているPHPのバージョン

PHPの系列	修正版	注意点
8.5	8.5.12	—
8.4	8.4.27	—
8.3	8.3.36	—
8.2	8.2.35	2026年12月31日で公式サポートが終わります
8.1・8.0・7.4	通常の修正版なし	最小限の修正ソースのみ。レンタルサーバー側の対応に頼る形になります
7.3以前	なし	サポート中の版への切り替えが必要です

大手のレンタルサーバーの多くは、10月22日中に提供しているPHPへ修正を当てたと発表しています。ただし、古い版への対応は各社の独自の修正であり、今後も同じ対応が続くとは限りません。PHP 8.1以前を使っているサイトは、今回をきっかけにサポート中の版（8.3以降がおすすめ）へ切り替えるのが安全です。

自社サイトで今すぐ確認したい5つのこと

1. サイトがPHPで動いているか
   WordPress、EC-CUBE、Movable Type（一部）、自作のPHPのフォームなどを使っていれば対象です。制作会社に作ってもらった場合は「何で作ったサイトか」を確認しましょう。
2. PHPのバージョン
   WordPressなら管理画面の「ツール → サイトヘルス → 情報 → サーバー」で確認できます。レンタルサーバーの管理画面の「PHPバージョン切替」などでも分かります。
3. サーバー会社の対応状況
   契約しているレンタルサーバーのお知らせで、使っているPHPの版に修正が当たったかを確認します。専用サーバーやVPS、クラウドで自分で管理している場合は、自分で更新する必要があります。
4. フォーム・予約・ネットショップの動き
   緊急メンテナンスやPHPの切り替えのあと、お問い合わせフォームの送信や自動返信メール、予約・決済の動きが止まっていないかを実際に試して確かめます。
5. サイトの中身が書き換えられていないか
   見覚えのないページや外部サイトへの転送、管理者アカウントの増加がないかを確認します。不安があればサーバーのアクセスログの確認や、パスワードの変更も行いましょう。

PHPのバージョンを上げるときの注意点

PHPの「系列」を上げる（例：7.4から8.3へ）と、古いテーマやプラグインが動かなくなることがあります。画面が真っ白になる、フォームが送れなくなる、といった不具合がよく起きます。

• 切り替える前に、サイトのファイルとデータベースのバックアップを取る
• WordPress本体・テーマ・プラグインを先に最新にしておく
• 切り替えたら、トップページ・下層ページ・フォーム・管理画面を一通り確認する
• 不具合が出たら、すぐ元の版に戻せるようにしておく（多くのレンタルサーバーは管理画面で戻せます）

何年も更新していないサイトほど、切り替えで不具合が出やすくなります。その場合は、無理に古いサイトを直し続けるより、作り直しや仕組みの見直しを考えた方が早いこともあります。

今回の件で見えた「古いサイトを持ち続けるリスク」

今回、修正版が出たのはPHP 8.2以降だけでした。何年も前に作ってそのままのサイトは、PHPも古いまま止まっていることが多く、まさに今回のような問題に弱い状態です。

また、レンタルサーバーの緊急メンテナンスで、サイトやネットショップ、受注のしくみが数時間から半日ほど使えなくなった会社もありました。自社では何も悪いことをしていなくても、仕組みの土台に問題が出ると、売上や信用に直接響きます。

ファミライズでは、この考えからお客様のサイトの「脱WordPress」を進めています。表示のたびにPHPを動かさない作りに変えると、今回のようなPHPの脆弱性の影響をそもそも受けなくなります。安全なサイトの作り方の全体像は「安全なホームページの作り方」にまとめています。

よくある質問

php2shellとは何ですか？

2026年10月21日に修正版が公開された、PHPの重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619）の通称です。ログインなしで外からサーバー上のプログラムを動かされるおそれがあり、深刻度はCVSS 9.2とされています。

WordPressを最新版にすれば大丈夫ですか？

いいえ。今回の問題はWordPressではなく、その土台のPHP本体にあります。WordPressやプラグインを更新しても直らないため、サーバー側のPHPを修正版に更新する必要があります。

レンタルサーバーを使っていますが、自分で何かする必要はありますか？

多くのレンタルサーバーは修正をサーバー側で当てていますが、使っているPHPの版が古い場合は、サポート中の版への切り替えは自分で行う必要があります。お知らせで対応状況を確認し、PHP 8.1以前なら8.3以降への切り替えをおすすめします。

PHP 7.4のままでも使い続けられますか？

PHP 7.4には公式の通常の修正版が出ていません。今回はレンタルサーバー各社が独自に修正を当てていますが、今後も同じ対応が続く保証はないため、早めにサポート中の版へ切り替えるか、PHPに頼らない作りへの移行を考えるのが安全です。

静的なサイトやSTUDIO・Wixで作ったサイトも対象ですか？

HTMLだけで表示する静的なサイトは、表示のたびにPHPを動かさないため、今回の脆弱性の直接の影響は受けません。STUDIOやWixなどのサービスで作ったサイトは、サービス提供会社が管理しているため、各社のお知らせを確認してください。

ご相談について

「自社のサイトがPHPで動いているか分からない」「PHPを上げたらサイトが崩れそうで怖い」という段階でも大丈夫です。ファミライズでは、サイトの仕組みとPHPのバージョンの確認から、切り替え・作り直しまでご相談をお受けしています。

サイトの運用を毎月まとめて任せたい場合は、月5万円からのデジタル担当プランで、更新や安全対策も含めてお手伝いしています。まずはお問い合わせからお気軽にご連絡ください。

参考：PHP公式サイト、IPA 情報セキュリティ。記事の内容は2026年10月24日時点の公開情報に基づきます。最新の状況は公式情報や契約中のサーバー会社のお知らせをご確認ください。