PHPの重大な脆弱性「php2shell」とは？サイト運営者が今すぐ確認すべき5つのこと
PHPに2026年10月、深刻度9.2の脆弱性「php2shell」が2件公表されました。修正版のバージョン、影響する環境、WordPress更新では直らない理由、見落としやすい確認箇所をサイト運営者向けに整理します。
2026年10月、PHPに深刻度「緊急」の脆弱性が2件公表されました。国内でもレンタルサーバー会社や大手Webサービスが緊急メンテナンスを行っています。一方で「自社サイトが対象なのか分からない」という声も多く聞きます。この記事では、脆弱性の概要と、サイト運営者が確認すべきことを順番に整理します。
この記事でわかること
- php2shell（CVE-2026-109618 / CVE-2026-109619）の概要と深刻度
- 修正版のバージョンと、影響を受けるPHPの動かし方
- 見落としやすい「自社が使っているPHP」の探し方
- すぐに更新できない場合の暫定策と、その限界
php2shellとは何か？
php2shellとは、PHPで2026年10月に修正された2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です。悪用されると、ログインなしで外部からサーバー上の任意のプログラムを実行されるおそれがあります。
PHPは、WordPressをはじめ多くのWebサイトを動かしているプログラミング言語です。企業サイト、ECサイト、予約フォームなど、身近なサイトの多くがPHPで動いています。
原因は、処理が途中でエラー停止したときに、使い終わったメモリを指す情報が残ってしまう不具合とされています（専門用語で「解放後使用（use-after-free）」と呼びます）。次のリクエストがその情報を信用してしまうことで、攻撃に使われます。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-109618、CVE-2026-109619 |
| 深刻度 | 2件とも CVSS v4.0 で 9.2（10点満点中、Critical） |
| 被害 | 認証不要のリモートコード実行（外部からの乗っ取り） |
| 修正版の公開 | 2026年10月21日（日本時間の同日夜） |
CVSSは脆弱性の深刻度を0〜10点で表す国際的な指標です。9.0以上は最も深刻な「Critical」に分類されます。つまり、今回は最優先で対応すべき水準です。
なぜ今すぐ対応が必要なのか？
理由は3つあります。影響範囲が広いこと、攻撃の手順がすでに公開されていること、そして設定変更だけでは防ぎきれないことです。
| PHPの動かし方 | 状況 |
|---|---|
| Apacheのモジュール版（mod_php） | PHP公式が外部からの乗っ取りを確認 |
| PHP-FPM | 影響ありとされる（完全な攻撃手順は未確認との報告あり） |
| php-cgi・FrankenPHP・LiteSpeed | 影響対象として挙げられている |
つまり、PHPでサイトを動かす一般的な方式はほぼすべて対象です。レンタルサーバーでも自社サーバーでも、PHPを使っていれば確認が必要です。
次に、攻撃を再現するプログラム（PoC）がGitHubなどに公開されています。一部のセキュリティ事業者は悪用の試みを報告しています。ただし執筆時点では、米国CISAの「悪用が確認された脆弱性」一覧には載っていません。状況は日々変わるため、公開された今のうちに更新を済ませることが重要です。
サイト運営者が確認すべき5つのこと
- PHPを使っているサイトを洗い出す：コーポレートサイト、LP、採用サイト、問い合わせフォームなどを一覧にします。
- PHPのバージョンを確認する：レンタルサーバーなら管理パネル、自社サーバーなら
php -vで確認します。phpinfo() を公開ページに置くのは避けてください。 - 修正版へ更新する：下の表のバージョン以上になっているかを確認します。
- 更新できない場合は暫定策を入れる：ただし、あくまで一時しのぎです。
- 更新後に動作とログを確認する：フォーム送信や決済など、主要な機能が動くかを確かめます。
修正版のバージョン
| 系列 | 修正版 | 備考 |
|---|---|---|
| 8.5系 | 8.5.12 | |
| 8.4系 | 8.4.27 | |
| 8.3系 | 8.3.36 | |
| 8.2系 | 8.2.35 | セキュリティ修正は2026年12月31日まで |
| 8.1系以前 | 公式リリースなし | OSやサーバー会社の修正配布を確認 |
8.1系以前は、PHP公式のサポートがすでに終わっています。7.4・8.0・8.1向けにはソースコードだけの修正が公開されたと報告されていますが、通常の更新手順では入りません。つまり、古いPHPを使い続けているサイトは、この機会に8.2系以降へ移行するのが現実的です。
すぐに更新できない場合の暫定策
セキュリティ企業からは、php.ini の session.upload_progress.enabled を Off にする、Webサーバー側で受け付けるリクエストの大きさを制限する、といった暫定策が示されています。
ただし、PHP公式は「設定変更は危険を減らすだけで、完全な対策は更新のみ」としています。暫定策を入れた場合も、更新の予定日を決めておきましょう。
見落としやすいPHPの利用箇所
当社でも、主に制作・運用しているサイトの影響を確認しました。Next.jsやNode.jsで作ったサイトはPHPを使っていないため、今回の脆弱性の直接の影響はありません。しかし、確認を進めると、PHPで動く外部のサイトに依存している箇所が見つかりました。
特に見落としやすいのは次のような場所です。
- リニューアル前の旧サイト：新サイトへの切り替えまで、WordPressの旧サイトが本番で動いている。
- 画像や情報の読み込み元：新しいサイトが、別のWordPressサイトから商品画像などを読み込んでいる。
- 別サーバーに置いたページ：キャンペーンLP、採用サイト、ブログなどが別のレンタルサーバーにある。
- 機器の管理画面：ルーターやNASなど、内部でPHPを使っている機器がある。
つまり、「メインのサイトはPHPではない」だけでは安心できません。自社のドメインで公開しているもの、自社サイトが依存しているものを含めて洗い出すことが大切です。
よくある質問（FAQ）
Q. WordPressとプラグインを最新にすれば大丈夫ですか？
いいえ。今回の脆弱性はWordPressではなくPHP本体にあります。PHP本体を修正版に更新する必要があります。
Q. レンタルサーバーを使っていれば何もしなくてよいですか？
PHP本体の更新は、基本的にサーバー会社が行います。ただし管理パネルでPHPのバージョンを選べる場合、古い系列を選んでいると修正が届かないことがあります。サーバー会社のお知らせと、サイトに設定しているバージョンを確認してください。
Q. Next.jsやNode.jsで作ったサイトも影響を受けますか？
今回のPHPの脆弱性の影響はありません。ただし、旧サイトや画像の読み込み元など、PHPで動く別のサイトに依存していないかは確認が必要です。また、Next.js自体にも2026年10月14日に別の緊急の修正が出ています。PHPとは関係なく、Next.jsも最新版への更新が必要です。
Q. 設定変更だけで防げますか？
完全には防げません。PHP公式は、設定変更は危険を減らすだけで、確実な対策は更新のみとしています。
Q. すでに攻撃されているのでしょうか？
一部のセキュリティ事業者が悪用の試みを報告していますが、執筆時点では確定情報ではありません。攻撃手順が公開されているため、早めの更新をおすすめします。
まとめ
- php2shellは、PHPの2件の緊急レベルの脆弱性（CVSS 9.2）です。
- 修正版は8.5.12・8.4.27・8.3.36・8.2.35。8.1系以前は公式の修正がありません。
- WordPressの更新では直らず、PHP本体の更新が必要です。
- 設定変更による暫定策は一時しのぎで、完全な対策は更新のみです。
- 旧サイトや画像の読み込み元など、見落としやすいPHPの利用箇所も確認しましょう。
自社サイトの影響確認やPHPの更新、使っているソフトを最新に保つ運用については、E-team AIのAI×Web制作チームにご相談ください。
→ https://ai.e-team.co.jp/
参考情報
- GMO Flatt Security「PHPの重大な脆弱性『php2shell』の概要と対応指針」
- piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」
- マイナビニュース「IPA、PHPのセキュリティリリース公開を事前告知」
- 窓の杜「『PHP』の“致命的”な脆弱性2件が修正、ただちにアップデートを」
- Sansec「PHP2Shell: Critical PHP RCE」
- JFrog Security Research「PHP2Shell: All You Need to Know」
著者情報
中森秀彬（morimori.ai）
GEO・AIOレポート自動作成ツール「AI SearchScope」開発者。法人向けAIマーケティング支援・AIマーケティング研修・AI×Web制作を手がける。
X：@morimori_ai_dev