PHPの脆弱性（PHP2Shell）とは？自社サイトの確かめ方と対応【10月22日時点】
公開日 | マツケンスタジオ 責任者
- PHPの脆弱性（PHP2Shell）で何が起きたのか
- 自社のホームページが影響を受けるかの確かめ方
- 更新の進め方と、制作会社・サーバー会社に確かめること
ホームページのご相談は無料です
2026年10月、Webサイトを動かすプログラミング言語「PHP」に、重大な脆弱性（セキュリティ上の弱いところ）が見つかったと公表されました。大手のWebサービスやゲームが緊急のメンテナンスに入り、首相がSNSで注意を呼びかけるなど、大きなニュースになっています。
「うちのホームページは大丈夫なのか」「何を確かめればいいのか」。この記事では、PHPを開発しているPHP Groupと、IPA（情報処理推進機構）、JPCERT/CC（JPCERTコーディネーションセンター）の発表をもとに、中小企業のホームページの担当者が確かめたいことと、対応の進め方を整理します。
この記事は、2026年10月22日の時点で公開されている情報をもとに書いています。状況は変わることがあるので、対応するときは、記事の最後にまとめた公式の情報で最新の内容を確かめてください。
何が起きたのか
PHP Groupは、2026年10月20日に、重大な脆弱性を直すための修正版を公開する予定であることを先に知らせ、10月21日に修正版を公開しました。修正された脆弱性は次の2つで、あわせて「PHP2Shell」と呼ばれています。
| 識別番号 | 内容（PHP Groupの発表より） |
|---|---|
| CVE-2026-109618 | メモリが足りなくなったときの処理の不具合を使って、外から命令を実行される（RCE）おそれ |
| CVE-2026-109619 | 前のアクセスで使ったデータが残る不具合を使って、外から命令を実行される（RCE）おそれ |
JPCERT/CCは、この脆弱性によって、PHPが動いているサーバーの権限で、外部から任意のプログラムを実行される可能性があると説明しています。つまり、悪用されると、ホームページの書きかえや、サーバーに保存されている情報の持ち出しにつながるおそれがあります。報道では、深刻度は10点満点中9.2で、もっとも高い「緊急（Critical）」の水準とされています。
主な出来事
| 日付 | できごと |
|---|---|
| 2026年10月20日 | PHP Groupが、重大な脆弱性の修正版を公開する予定であることを告知 |
| 2026年10月21日 | IPAが、修正版の公開に向けた「事前準備のお願い」を公表。国内の一部のサービスが緊急のメンテナンスや機能の停止を実施 |
| 2026年10月21日 | PHP Groupが修正版（8.5.12、8.4.27、8.3.36、8.2.35）を公開 |
| 2026年10月22日 | JPCERT/CCが注意喚起を公表 |
国内では何が起きたか
修正版が公開される前後には、国内でも影響が広がりました。報道によると、さくらインターネットが10月21日に一部のサービスの機能を止めたほか、Cygamesやpixivなどが緊急のメンテナンスを発表しました。ほかにも、オンラインのサービスやゲームが一時的に止まったと伝えられています。高市早苗首相も10月21日の夜、X（旧Twitter）でPHPの脆弱性について触れ、修正の準備を呼びかけました。首相が個別のソフトウェアの脆弱性に触れるのは異例だと報じられています。
大きな会社が止めてまで対応したのは、それだけ深刻で、修正版が出ればすぐに悪用されるおそれがあると考えられたためです。IPAは、10月21日の時点では悪用した攻撃を確認していないとしつつ、攻撃者は短い時間で悪用に動く可能性があるとして、すぐに更新できるよう準備するよう呼びかけていました。中小企業のホームページも、狙われる対象から外れるわけではありません。攻撃の多くは、相手を選ばず、弱いところのあるサイトを機械的に探して行われるためです。
ニュースに出てくる言葉
ニュースや注意喚起には、なじみの薄い言葉が出てきます。主なものを整理しておきます。
| 言葉 | 意味 |
|---|---|
| 脆弱性（ぜいじゃくせい） | ソフトウェアの、セキュリティ上の弱いところ |
| CVE | 見つかった脆弱性に付けられる、世界共通の識別番号 |
| CVSS | 脆弱性の深刻さを10点満点で表す目安。9.0以上は「緊急」 |
| RCE（リモートコード実行） | 外部から、サーバーの上で好きな命令を動かされること |
| 修正版・パッチ | 脆弱性を直したソフトウェアや、直すための更新 |
| サポート終了（EOL） | 開発元が修正版を出さなくなった古い版 |
そもそもPHPとは
PHPは、Webサイトの裏側で動くプログラミング言語です。お問い合わせフォームの送信、会員のログイン、お知らせの更新など、ページを開いた人の操作に合わせて中身を作る仕組みによく使われています。
中小企業のホームページで特に多いのが、WordPress（ワードプレス）です。WordPressはPHPで作られているため、WordPressで作ったホームページは、PHPが動くサーバーの上で公開されています。WordPressの仕組みは、ホームページにWordPressは必要かで紹介しています。
一方で、ホームページを開いた人のスマホやパソコンでは、PHPは動いていません。ホームページを見る側は、今回のことで何かを更新する必要はありません。対応が必要なのは、ホームページを公開している側です。
影響を受けるもの
JPCERT/CCは、影響を受けるバージョンを次のように示しています。
| PHPの系統 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| 8.5系 | 8.5.12より前 | 8.5.12 |
| 8.4系 | 8.4.27より前 | 8.4.27 |
| 8.3系 | 8.3.36より前 | 8.3.36 |
| 8.2系 | 8.2.35より前 | 8.2.35 |
| 8.1系以前 | 影響を受ける可能性がある | 提供されない（サポートが続いている版への移行が必要） |
IPAは、欧州の機関（CERT-EU）の注意喚起をもとに、PHP 5以降が影響を受けると案内しています。とくに注意したいのが、すでにサポートが終わった古いPHP（8.1以前）です。修正版は出ないため、サポートが続いている版へ移す必要があります。IPAも、サポートが終わった古いPHPを使い続けているサイトが見受けられると指摘しています。
PHP Groupは、更新できない人向けに最小限の緩和策を示していますが、完全な緩和策はなく、更新だけが安全な選択だとしています。
ホームページの作り方ごとの、影響の目安
自社のホームページが影響を受けるかどうかは、どう作られ、どこで公開されているかで変わります。目安は次のとおりです。
| 作り方・公開のしかた | 今回の影響 | 誰が更新するか |
|---|---|---|
| WordPressなどで作り、レンタルサーバーで公開 | 影響を受ける可能性が高い | サーバー会社がPHPを更新することが多い。古い版を選んでいる場合は自社（または制作会社）で切り替えが必要 |
| 自社や制作会社で管理しているサーバー（VPS・クラウドなど） | PHPを使っていれば影響を受ける | 管理している自社または制作会社 |
| Wix・Studioなどのホームページ作成サービス | サービスの側の対応による | サービスの提供会社（お知らせを確かめる） |
| HTMLだけで作った静的なサイト | サイトにPHPがなければ、影響を受けない | なし（同じサーバーでほかにPHPを動かしていないかは確かめる） |
「静的なサイト」とは、決まったページを置いておくだけで、サーバーの上でプログラムを動かさない作りのことです。たとえば当サイト（マツケンスタジオ）は、PHPを使わない作りで公開しているため、今回の脆弱性の影響を受けません。ただし、作りがどうであっても、同じサーバーの中に、PHPで動く別のサイトや古いページが残っていないかは確かめておく必要があります。
自社のホームページが影響を受けるか、確かめる方法
次の順番で確かめていくと、専門の知識がなくても、どこまで対応が必要かが見えてきます。
1. 誰が、どこで管理しているかを確かめる
まず、ホームページを作った制作会社、保守を頼んでいる会社、サーバーの契約先を確かめます。契約書や請求書、サーバー会社からのメールが手がかりになります。分からない場合は、ドメインやサーバーの契約先から調べていきます。仕組みは、ドメインとサーバーとは？で紹介しています。
2. PHPを使っているかを確かめる
WordPressで作っている場合は、PHPを使っています。お問い合わせフォームや会員ページなど、入力を受け付ける仕組みがある場合も、PHPで動いていることがよくあります。分からなければ、制作会社に「うちのサイトはPHPを使っていますか」と聞くのが確実です。
3. PHPのバージョンを確かめる
PHPのバージョンは、次の方法で確かめられます。
- WordPressの管理画面：「ツール」の「サイトヘルス」を開き、「情報」のタブの「サーバー」の欄で、PHPのバージョンが分かります。
- レンタルサーバーの管理画面：多くのレンタルサーバーでは、管理画面のPHPの設定の画面で、使っているバージョンを確かめたり、切り替えたりできます。
- 制作会社や保守会社に聞く：自分で管理画面に入れない場合は、こちらが確実です。
確かめたバージョンが、上の表の修正版と同じか、それより新しければ、今回の脆弱性は直っています。8.1以前の場合は、修正版がないため、サポートが続いている版への切り替えが必要です。
4. サーバー会社のお知らせを確かめる
レンタルサーバーでは、PHPの更新をサーバー会社が行うことが多く、今回も各社が対応のお知らせを出しています。自社が使っているサーバー会社の、お知らせのページやメールを確かめましょう。更新が済んでいるのか、利用者の側で切り替えが必要なのかが書かれています。
5. 古いサイトやページが残っていないかを確かめる
見落としやすいのが、昔のキャンペーンのページ、作り直す前の古いサイト、試しに作ったページなどが、サーバーに残っているケースです。今は使っていなくても、公開されたまま古いPHPで動いていると、そこが入口になるおそれがあります。不要なものは、データを控えたうえで削除しましょう。
ホームページ以外にも、PHPが動いていることがある
PHPは、ホームページだけでなく、インターネットにつながった社内の仕組みにも使われていることがあります。会社で使っている次のようなものも、あわせて確かめておきましょう。
- 予約や受発注の仕組み：ホームページとは別に、外部の会社に作ってもらった予約・受発注・見積りの仕組み
- ネットショップ：自社のサーバーで動かしているネットショップ
- 会員ページや、取引先向けのページ：ログインして使う、資料のダウンロードや発注のページ
- 社内の管理画面：在庫、顧客、勤怠などを、インターネット経由で使っている仕組み
外部のサービスとして借りているものは、提供している会社のお知らせを確かめます。自社のために作ってもらったものは、作った会社か、保守を頼んでいる会社に確かめましょう。JPCERT/CCも、PHPを組み込んだ製品や、Linuxなどの基本ソフトに含まれるPHPも、影響を受ける可能性があると案内しています。
どれも、外から誰でもアクセスできる状態のものほど、先に確かめる必要があります。社内からしか使わないものより、インターネットに公開しているものを優先しましょう。
更新の進め方
PHPの更新や切り替えは、制作会社や保守会社に頼むのが基本です。自社で進める場合も、次の順番を守ると、トラブルを防ぎやすくなります。
- データの控え（バックアップ）を取る：ホームページのファイルとデータベースを控えておきます。
- サーバー会社の案内を読む：更新が自動か、自分で切り替えるのかを確かめます。
- WordPressの本体と追加の部品（プラグイン）、テーマを新しくする：PHPの版を上げる前に、ほかの部分も新しくしておくと、表示が崩れにくくなります。
- PHPを修正版、またはサポートが続いている版に切り替える。
- 表示と動きを確かめる：トップ、主なページ、お問い合わせフォームの送信まで確かめます。
8.1以前から新しい版へ大きく上げる場合は、古いプラグインやテーマが新しいPHPに対応しておらず、表示が崩れたり、画面が真っ白になったりすることがあります。その場合は、元に戻せるように控えを取ったうえで、制作会社と一緒に進めるのが安心です。WordPressの手入れについては、ホームページの維持費・管理費の相場でも紹介しています。
PHPのバージョンの確かめ方と更新の手順はWordPressのPHPバージョンとは？で、ふだんからできる守り方はWordPressのセキュリティ対策で、くわしく紹介しています。手入れの負担を減らすためにWordPressからの乗り換えを考える場合は、WordPressから乗り換えるには？をご覧ください。
すでに侵入されていないかを確かめる
更新が済んでも、更新する前に入り込まれていた場合は、それだけでは安心できません。JPCERT/CCは、侵入されていないかを調べるときの手がかりとして、次のようなものを挙げています。
- アクセスの記録の中に、ログインの情報（PHPSESSIDという名前のCookie）に不自然な値が入ったものがある
- 不審な形式のデータを送りつけるアクセスがある
- PHPのメモリの上限に関するエラーや、サーバーのエラー（HTTP 500）が増えている
- PHPを動かす仕組みが、異常に止まったり、何度も再起動したりしている
これらは、サーバーの記録を見られる人でないと確かめられないものです。制作会社や保守会社に、調べてもらえるかを相談しましょう。担当者の目でも分かるサインとしては、ホームページに見覚えのない文章やリンクが増えている、知らないページへ勝手に移る、管理画面に知らない利用者が増えている、といったことがあります。気づいたら、すぐに制作会社やサーバー会社に連絡してください。
制作会社・保守会社に確かめたいこと
制作会社や保守会社に連絡するときは、次のことを聞くと、状況がすぐに分かります。
- うちのホームページは、PHPを使っていますか。使っているなら、今のバージョンはいくつですか。
- 今回の脆弱性（CVE-2026-109618、CVE-2026-109619）への対応は済んでいますか。まだなら、いつ対応しますか。
- 同じサーバーに、ほかのサイトや古いページは残っていませんか。
- 更新する前に、侵入された形跡がないかを確かめてもらえますか。
- 今回の対応は、今の保守の契約に含まれますか。別に費用がかかりますか。
保守を頼んでいない場合や、制作会社と連絡がつかない場合は、サーバー会社の案内に沿って自社で進めるか、別の会社に相談します。管理を任せる先を変えるときの手順は、ホームページの制作会社を乗り換える手順で紹介しています。
これからの備え
今回のような脆弱性は、PHPに限らず、これからも見つかります。いざというときに慌てないよう、次のことを決めておきましょう。
どこで、何が動いているかを書き出しておく
ホームページ、お問い合わせフォーム、採用ページ、キャンペーンのページなど、会社で公開しているものと、その置き場所、作った会社、管理している人を一覧にしておきます。IPAも、事前の準備として、PHPを使っているものを洗い出しておくよう呼びかけていました。
更新を誰がするかを決めておく
PHPやWordPressの更新を、誰が、どのくらいの間隔で行うのかを決めておきます。保守を頼んでいる場合は、契約に何が含まれているかを確かめておきましょう。
連絡が届く先を決めておく
サーバー会社や制作会社からの大事な知らせが、退職した人のメールアドレスに届いていた、ということはよくあります。社内の誰かが必ず見られるアドレスにしておきましょう。
作り方を見直すきっかけにする
更新が少ない会社案内のサイトなら、PHPやWordPressを使わない作りにすることで、こうした手入れの手間を減らせることがあります。反対に、お知らせを自分たちで頻繁に更新したいなら、WordPressのような仕組みが便利です。どちらがよいかは、更新の回数と、手入れを任せられる先があるかで決まります。作り直すかどうかの目安は、ホームページのリニューアルを考えたい6つのサインで紹介しています。
この機会の不審な連絡に気をつける
大きなニュースのあとは、それに便乗したメールや電話が増えることがあります。「あなたのサイトは危険です。すぐに対応しないと止まります」といった連絡で、不安をあおって契約を急がせたり、管理画面のパスワードを聞き出そうとしたりするものには注意しましょう。対応が必要かどうかは、今の制作会社やサーバー会社に確かめてから判断すれば十分です。
まとめ
2026年10月に公表されたPHPの脆弱性（PHP2Shell）は、悪用されると外部からサーバーの上で命令を実行されるおそれがある、深刻なものです。ホームページを見る側は何もしなくてよく、対応が必要なのは、PHPで動くホームページを公開している側です。まずは、誰がどこで管理しているかを確かめ、PHPを使っているか、バージョンはいくつかを確かめましょう。修正版（8.5.12、8.4.27、8.3.36、8.2.35）か、それより新しい版になっていれば、今回の脆弱性は直っています。8.1以前を使っている場合は、修正版が出ないため、サポートが続いている版への切り替えが必要です。分からないことは、制作会社やサーバー会社に早めに相談してください。
出典（2026年10月22日に確認）
よくある質問
2026年10月に公表されたPHPの2つの脆弱性（CVE-2026-109618とCVE-2026-109619）をまとめた呼び名です。どちらも、悪用されると外部からサーバーの上で命令を実行されるおそれがあるもので、JPCERT/CCの注意喚起でも、この名前の解説ページが参考情報として挙げられています。対応は、PHPを修正版か、それより新しい版に更新することです。
ありません。今回の脆弱性は、ホームページを公開しているサーバーの側の問題です。ホームページを見る側のスマホやパソコンで対応することはありません。
WordPressはPHPで動いているため、サーバーのPHPのバージョンを確かめます。管理画面の「ツール」の「サイトヘルス」で確かめられます。修正版かそれより新しい版でなければ、サーバー会社の案内に沿って更新するか、制作会社に依頼してください。
PHPの更新はサーバー会社が行うことが多いものの、古い版を自分で選んでいる場合など、利用者の側で切り替えが必要なこともあります。使っているサーバー会社のお知らせを必ず確かめてください。
8.1以前には修正版が提供されないため、サポートが続いている版への切り替えが必要です。大きく版を上げると、古いプラグインやテーマが動かなくなることがあるので、データの控えを取ったうえで、制作会社と一緒に進めるのがおすすめです。
サーバーの管理はサービスの提供会社が行っているため、対応もサービスの側で行われます。気になる場合は、使っているサービスのお知らせを確かめてください。
大きなニュースに便乗した営業や、パスワードを聞き出そうとする連絡に注意してください。その場で契約したり、管理画面の情報を伝えたりせず、今の制作会社やサーバー会社に確かめてから判断しましょう。
「何から始めればいいか分からない」という段階でも大丈夫です。町工場発のマツケンスタジオが、ドメインの取得から公開後の更新まで、まるごとお手伝いします。いまは毎月3社まで、特別な価格で制作する「事例づくりモニター」も受け付けています。