PHPの重大な脆弱性「PHP2Shell」とは？WordPressサイトで確認すべきことと当社の対応

はじめに

2026年10月21日の夜、Webサイトで広く使われているプログラミング言語「PHP」に、

深刻度の高い脆弱性が2件公表されました。

通称「PHP2Shell（php2shell）」と呼ばれています。

公表の前後には、自治体や金融機関、通販サイトなど多くの組織が、予防的にWebサイトやサービスを一時停止しました。

ニュースをご覧になって「うちのホームページは大丈夫だろうか」と感じた方も多いのではないでしょうか。

WordPressで作られたサイトはPHPで動いているため、今回の件は企業のホームページにも関係します。

この記事では、専門用語をなるべく使わずに、次の3点をまとめました。

• PHP2Shellで何が起きたのか
• 自社サイトで何を確認すればよいのか
• ソラノデザインとしてどう対応しているか

PHP2Shellとは：何が起きたのか

• 対象：PHP本体に見つかった2件の脆弱性（CVE-2026-109618、CVE-2026-109619）
• 深刻度：CVSS v4.0で9.2（Critical／緊急）
• 起こりうること：ログインしていない第三者が、外部からサーバー上で不正なプログラムを実行できるおそれがあります。サーバーのメモリ上にあるパスワードなどの情報を読み出される可能性も指摘されています。
• 影響範囲：Webからのアクセスを処理するPHP環境が広く対象です。WordPressでも攻撃が成立することが、研究者によって実証されています。

PHPの開発チームは10月21日夜（日本時間）に修正版を公開し、

IPA（情報処理推進機構）やJPCERT/CCも速やかな更新を呼びかけています。

修正済みのPHPバージョン

PHP 8.1以前は、すでに公式のサポートが終了しています。

一部のサーバー会社やOSの配布元が独自に修正を提供していますが、基本的にはサポート中のバージョンへの移行が推奨されています。

攻撃の状況

公表の前後から、攻撃を試みる通信が世界中で多数観測されています。

一方で、10月24日時点では、実際に侵入に成功した事例は確認されていないとする機関が多く、

公開されている攻撃コードも動作する条件が限られているとの分析が出ています。

ただし、「成功例がまだ確認されていない」ことは「安全である」という意味ではありません。

修正が済んでいない環境は、早めの対応が必要です。

自社サイトで確認すべき4つのこと

1. サイトがどんなサーバーで動いているか

一般的なレンタルサーバー（共用サーバー）の場合 PHPの更新はサーバー会社が行います。

エックスサーバー、さくらのレンタルサーバ、ロリポップ！、ConoHa WING、お名前.com レンタルサーバーなど、国内の主要なレンタルサーバーの多くは、10月22〜23日にかけてサーバー側で修正を適用したと発表しています。

まずはご契約中のサーバー会社のお知らせをご確認ください。

VPS・専用サーバー・クラウドの場合 PHPの更新は、

ご自身または管理を委託している会社の作業になります。

PHPのパッケージを更新したうえで、WebサーバーやPHPの再起動まで行う必要があります。

なお、サーバー会社によっては、修正を適用しても管理画面に表示されるPHPのバージョン番号が変わらない場合があります。番号だけで判断せず、サーバー会社の発表で確認するのが確実です。

2. 古いPHPを使い続けていないか

PHP 7系や5系など、古いバージョンのまま運用しているサイトもまだ多く見られます。

古いバージョンについては、サーバー会社によって修正の提供状況が異なり、

利用者側での緩和策の実施にとどまるケースもあります。

この機会に、サポート中のPHPバージョンへの切り替えをおすすめします。

ただし、切り替えるとWordPressのテーマやプラグインが対応しておらず、表示崩れやエラーが起きることがあります。

事前にテスト環境などで動作を確認してから切り替えるのが安全です。

3. 一時停止するなら「メンテナンスモード」では防げない

修正が済むまでの間、サイトを一時停止するという判断もあります。

IPAも、有効な暫定策が取れない場合は、外部からのアクセスの遮断やサービスの一時停止が必要かどうかを判断するよう呼びかけています。

このとき注意したいのが、WordPressの「メンテナンスモード」系のプラグインです。

メンテナンス画面を表示する処理そのものがPHPで動いているため、今回の脆弱性に対する防御にはなりません。

止める場合は、サーバー側の設定でPHPが動かない状態にする必要があります。

4. 修正後に、不審な点がないか

修正が適用される前に攻撃を受けていた可能性は、ゼロではありません。

次のような点に心当たりがあれば、制作会社や専門家にご相談ください。

• WordPressに見覚えのない管理者ユーザーが増えている
• 見覚えのないページやファイルがある、表示が書き換わっている
• 10月中旬以降、サーバーエラー（500エラー）が急に増えた
• サイトの表示が急に重くなった

JPCERT/CCは、痕跡が見つからないからといって攻撃を受けていないとは断定できない、としています。

お問い合わせフォームのメール送信設定や外部サービスとの連携キーなどをサイトに保存している場合は、念のためパスワードやキーの変更もご検討ください。

よくある誤解：セキュリティプラグインで防げる？

今回の脆弱性はPHP本体の問題のため、WordPressのセキュリティプラグインや2段階認証で直接防げるものではありません。

根本的な対策は、PHPを修正済みのバージョンに更新することだけです。

一方で、今回のように「サイトの裏側の仕組み」が突然狙われることは、今後も起こりえます。

ログイン画面の保護や2段階認証、WordPress本体とプラグインの定期的な更新、バックアップの確保といった基本的な対策は、ほかの種類の攻撃を防ぐうえで引き続き重要です。

ソラノデザインの対応

当社では、今回の脆弱性の公表を受けて、次の対応を行っています。

• 保守・管理をお預かりしているサイトについて、利用中のサーバーとPHPのバージョン、各サーバー会社の対応状況を確認。
• WordPressのバージョンやプラグインのバージョンに問題がないか確認、また、対応。
• サーバー会社側の修正が完了するまでの間、状況に応じてサイトの一時停止の判断をサポート。
• これを機に、ログイン画面の保護や2段階認証の導入など、セキュリティ設定の見直しをご提案し、順次実施。

当社で制作したサイトで保守契約を結んでいない場合や、他社で制作されたサイトについても、

状況の確認や対応のご相談を承ります。

内容に応じて、対応いたします。

まとめ

• 今回のPHPの脆弱性は深刻度が高く、WordPressで作られたサイトも対象になる
• 共用のレンタルサーバーなら、まずはサーバー会社の対応状況を確認する
• VPSなど自社で管理するサーバーは、PHPの更新と再起動が必要
• 古いPHPを使っている場合は、この機会にバージョンアップを検討する
• 一時停止するなら、メンテナンスモードのプラグインではなくサーバー側で止める

「自社のサイトが対象かどうか分からない」「サーバーの管理画面の見方が分からない」といった段階でも構いません。

石川県金沢市を拠点に、ホームページの制作から保守・運用まで対応しています。お気軽にお問い合わせください。