PHPの​重大脆弱性​「php2shell」とは​──WordPress運営者が​今確認すべきこと

PHPの重大脆弱性「php2shell」に対する修正版は、すでに公開されています。WordPressを使うサイトでは、サーバーで動くPHPの修正状況を確認してください。 WordPressの管理画面で「更新はありません」と表示されていても、今回の対応が終わったとは判断できません。

2026年10月22日時点、PHP公式は修正版の8.5.12・8.4.27・8.3.36・8.2.35を公開し、速やかな更新を強く推奨しています。^[1] 自社サイトの確認先、制作会社への問い合わせ方、対応完了を確かめる方法を整理します。

この記事は公式発表に基づく解説です。個別サイトの被害調査や、攻撃の再現実験を行った記事ではありません。

PHPは、サーバー上でプログラムを動かすための言語です。WordPressなどのシステムが、記事を取り出したり、入力内容を処理したりするときに使います。今回問題になったのは、そのPHP自体の不具合です。

公表されたのは、CVE-2026-109618とCVE-2026-109619の2件。CVEは、脆弱性を識別するための共通番号です。どちらもメモリの扱いに関係し、条件がそろうと、外部からサーバーに意図しない処理を実行させられる可能性があります。専門用語では「リモートコード実行（RCE）」と呼びます。^[2][3]

PHP公式は、PHP-FPMやApacheのmod_phpなど、Webからのリクエストを処理するPHP環境を注意対象にしています。特にmod_phpでは、ログインせずに送ったリクエストで、サイト固有の処理が始まる前に攻撃が成立する例が確認されています。「管理画面にはパスワードがある」という理由だけでは、今回の問題への備えにはなりません。^[1]

一方、PHPを使っているという事実だけで、そのサイトがすでに侵入されたと分かるわけでもありません。影響を受ける可能性、攻撃を受けた痕跡、実際の被害は、それぞれ調査が必要です。まずは修正の適用状況を確かめ、被害が疑われる場合は調査を並行させます。

WordPressの管理画面にある「更新」は、WordPress本体やテーマ、プラグインの更新を扱います。PHPは、それらを動かすサーバー側のソフトウェアです。保守の担当や更新方法が分かれていることがあります。

WordPress公式も、今回の問題に対するWordPressの更新は必要なく、予定もしていないと説明しています。求めているのは、ホスティング事業者からの案内を確認し、必要に応じてPHPを速やかに更新することです。^[4]

PHPのバージョンは、WordPress管理画面の「ツール → サイトヘルス → 情報 → サーバー」で確認できます。^[4] ただし、表示された数字だけで最終判断しないでください。 サーバー事業者が既存のバージョンへ修正を組み込む「バックポート」を提供している場合があるためです。PHP公式も、配布元や長期サポート提供元の修正パッケージを確認するよう案内しています。^[1]

管理画面を開けない場合や、PHPの情報が見つからない場合は、サーバー会社または保守会社に確認します。調査のために、PHPの詳細設定を表示するページを一般公開する必要はありません。

2026年10月22日時点で、PHPプロジェクトが公開している今回の修正版は次のとおりです。自社で使う系列に対応する修正版、または配布元が今回の修正を含むと明示したパッケージを確認します。^[1]

PHP 8.1以前は、PHPプロジェクトの通常のサポートが終了しています。今回、7.4・8.0・8.1向けに最小限の修正ソースも提供されましたが、これで継続サポートに戻ったわけではありません。利用者は、契約している配布元の修正提供を確認するか、サポート中の版への移行を進める必要があります。^[1]

誰に聞けばよいかは、契約によって変わります。次の表は確認先の目安です。制作会社とサーバー会社の間で責任範囲が分かれる場合は、連絡を取りまとめる担当者を決めてください。

対象の洗い出しでは、トップページだけを見ないようにします。同じ会社が持つ別ドメイン、サブドメイン、採用サイト、古いキャンペーンサイトなども確認します。更新が止まった小さなサイトほど、担当者が曖昧になっていることがあります。これは自社の管理対象を棚卸しする作業で、第三者のサイトを無断で検査する必要はありません。

サーバー会社のお知らせに「メンテナンス完了」とあっても、自社の契約環境がその案内の対象かを確認します。依頼した作業が終わったかを知るには、対象・修正内容・反映・動作確認の記録が必要です。次は、保守会社から報告を受ける際の確認項目です。

• 対象：どのドメイン・サーバー・PHP環境を確認したか。
• 修正内容：今回の2件を修正したバージョン、または修正パッケージの識別情報は何か。
• 反映：更新後のPHPが、実際にWebの処理で使われているか。必要な再起動・切り替えを済ませたか。
• 動作：ページ表示だけでなく、問い合わせ・ログイン・購入など、自社で必要な機能が動くか。
• 残件：未対応の環境、停止中の機能、被害の有無について追加調査が必要な点はあるか。

バックポートがある環境では、画面上のPHPバージョンが大きく変わらない場合があります。「数字が古そうだから未対応」「数字を変えたから完了」と決めず、配布元の修正情報と実際の稼働状態を組み合わせて確認します。複数のPHPを使い分けているサーバーでは、調査に使った環境と、サイトを処理する環境が同じかも確認対象です。

制作会社・サーバー会社に送る確認文面

当社サイトについて、PHPの脆弱性CVE-2026-109618およびCVE-2026-109619への対応状況を確認したく、ご連絡しました。

対象のドメイン・契約環境、現在の稼働PHP、修正版またはバックポートの適用状況、反映後の動作確認結果を教えてください。未対応の場合は、暫定措置と対応予定もお願いします。

また、当社側で必要な操作と、被害の有無について現時点で確認できている範囲・未確認の範囲をお知らせください。

すぐに更新できない場合、PHP公式は特定の攻撃経路への露出を減らす措置を示していますが、完全な対策とはしていません。CERT-EUは、速やかに更新できない公開システムについて、公開ネットワークからの隔離を推奨しています。^[1][5] サービスを止める範囲や方法は運用担当と判断し、更新と復旧の予定を利用者に案内します。

WAFは、Webアプリケーションへの通信を検査する防御の仕組みです。Cloudflareも今回の防御ルールを案内していますが、PHPの更新を推奨しています。^[8] また、修正の適用は、過去の侵害がなかったことの証明にはなりません。不審な変更やアクセスが見つかった場合は、ログなどを保全して保守・セキュリティ担当に調査を依頼してください。

今回の問題には、AIによる脆弱性の発見も関わっています。OpenAIは2026年10月21日、セキュリティ企業CalifがGPT-5.6 Solを使って重大な問題の1件を発見し、Wizも独立して2件を発見・報告したと説明しました。修正とリリースはPHPの保守担当者が主導したとしています。^[6]

AIが発見を支援しても、その修正を各社のサーバーに届け、反映を確かめる作業は残ります。サイトを持つ企業が準備したいのは、自社の利用環境と担当者を把握し、緊急の更新を依頼できる状態です。

OpenAIは、PHPのバージョンを確認するツールとCodex向けスキルも公開しています。サーバーへのアクセスによる調査と、URLから公開情報を確認する方法が用意されていますが、外部からバージョンを取得できない場合があります。配布元によるバックポートも含め、判定には追加確認が必要になる場合があります。ツールの結果だけで、サイト全体の安全性を証明するものではありません。^[7]

普段の保守記録には、「サイト名・PHPの管理者・保守契約・緊急連絡先・更新を承認する人」を残しておくと、次の連絡を始めやすくなります。更新後に確かめる業務機能も、問い合わせ、予約、購入など、自社のサイトに合わせて決めておきます。

今日の対応では、次の順に確認してください。

• 自社のPHP利用環境と、その管理担当を洗い出す。
• 今回の2件に対する修正が、稼働環境へ反映されたかを確認する。
• 必要な機能の動作と未対応の残件を記録し、対応の窓口を決める。