PHPとは？WordPressを利用するWeb担当者に重大な脆弱性（＝PHP2shell）への対処について解説

本記事では、2026年10月21日にThe PHP Groupが公表した重大な脆弱性「PHP2shell」の概要と、WordPressでWebサイトを構築している際の影響や具体的な確認・対応手順について解説します。

「自社サイトにWordPressを使っている中で、PHPの脆弱性の対象か分からず不安」「何をどこから確認・対応すべきか分からない」とお悩みのWebサイトの担当者や管理者の方は、PHPの脆弱性の影響があるバージョンの判別基準や対応手順、侵入痕跡の確認方法などを本記事で確認しておきましょう。

この記事を読めば、自社サイトが直面しているリスクを正確に把握し、PHPのバージョンの更新や制作会社への依頼など、被害を防ぐために今すぐに取り組むべき具体的なアクションが判断できるようになります。

関連資料ダウンロード

Web制作・Webマーケティングの入門・応用資料3点

この資料では、以下のことを紹介しています。

・事例取材記事から問い合わせを増やす3つのポイント
・問い合わせ獲得にこだわるBtoB向けLP制作のポイント
・BtoBサイトリニューアルのよくある失敗例5選を徹底解説

ダウンロードはこちら

関連記事

WordPressのアップデート完全ガイド！バージョンアップせず放置するリスクや実施フローを解説

：WordPressをアップデートせずに放置するリスクから正しい実施手順、そして万が一の不具合が発生した場合の対処法まで網羅的に解説。

PHPとは？WordPressで構築したWebサイトにも関係

PHPは、WebサイトやWebアプリケーションを開発する際にWebサーバー側でプログラムを設計するためのプログラミング言語です。Webサイトの開発ではHTMLやJavaScriptという言語も耳にしますが、これらの言語とPHPは稼働させる場所や役割が異なります。3つの言語の違いは、次のとおりです。

PHPは、例えば次のような処理を実行しています。

• データベースからブログ記事データの取得
• 問い合わせフォームの送信
• 会員ログインの判定

なぜ世間で話題になったのかというと、このPHP本体に外部から攻撃され得る重大な欠陥が2件見つかったためです。次の章から、その詳細を紹介していきます。

WordPressとPHPの関係

WordPressは、PHPの仕組みを用いたコンテンツ管理システム（CMS）です。そのため、PHP全体に問題がある場合は、このシステムで構築したWebサイトにも影響が及びます。

W3Techsの2026年7月の調査（※1）によると、PHPの利用シェアはサーバー側の言語が判明しているWebサイト全体の69.1％になると言われています。利用者が大勢いるということはそれだけ攻撃者にとって攻撃する価値が高いということであり、Web担当者は「WordPressだから安心」ではなく「WordPressだからこそ確認が必要」と考えることが大切です。

【参考】
※1 W3Techs｜Usage statistics of server-side programming languages for websites

PHPの重大な脆弱性「PHP2shell」とは？

2026年10月21日、PHPプロジェクトは重大な脆弱性2件の修正版を公開しました。こちらでは、2件の脆弱性の概要、なぜ「乗っ取られる」と言われるのか、そして公表前から攻撃が始まっていた経緯を解説します。

PHP2shellとは？2つの脆弱性（CVE）の概要

PHP2shellは、PHPから見つかった2件の脆弱性（識別番号：CVE-2026-109618、CVE-2026-109619）の通称です。この発見に関与したとされる研究者の投稿で用いられた呼び名のため、本記事ではこの2件をまとめて通称として使用します。

PHP2shellは、どちらも深刻度を示すCVSS v4.0のスコア（0〜10で評価）が9.2で、最上位の区分「Critical（緊急）」に分類されています（※2、※3）。

【参考】
※2 GMO Flatt Security｜PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開　「直ちにアップデートを」
※3 ITmedia NEWS｜PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針

認証不要で乗っ取られる？

条件がそろうと、認証IDやパスワードを持たない第三者が、外部からWebサーバーに命令を実行させる恐れがあります。専門的には「認証なしのリモートコード実行（RCE）」と呼ばれ、悪用されると次のような被害につながります。

• サイトの改ざん
• 保存データの窃取
• ウイルス配布の踏み台

ただし、実際に悪用できるかは環境や設定によって異なるため、「必ず乗っ取られる」とは限りません。仕組みは、次の3段階で捉えると分かりやすくなります（※2、※3）。

• 通常：PHPはアクセスのたびに、「受付、処理、片付け」を繰り返しています
• 異常：メモリ不足などで片付けが中断し、不完全なデータが残ります
• 悪用：残ったデータが次のリクエストの処理に混ざり、攻撃の入口になります

この「片付け漏れ」が残る点が、今回の脆弱性の核心です。

公表前から始まっていた攻撃

時系列で整理すると、攻撃の試みは公表前から始まっており、その後も状況が進んでいます。主な動きは次のとおりです。

• 2026年10月17日ごろ：悪用の試みが観測される
• 2026年10月20日：修正版の公開が予告（※4）
• 2026年10月21日：修正版が公開（※5）
• 2026年10月24日：おとり用サーバーで攻撃の成功が観測されたと報じられる（※6）（元記事はSecurityWeek）
• 2026年10月26日：米CISAが「悪用が確認された脆弱性」のカタログ（KEV）に登録（※7）。IPAは、国内での攻撃被害事例は把握していないと発表

ここで重要なのは、2026年10月21日にPHPの修正版に更新したWebサイトでも、それ以前に侵入されている可能性が残る点です。更新は「これからの攻撃」を防ぐための対策で、「すでに起きた侵入」への対応においては別途の確認が必要です。

【参考】
※4 Acronis｜PHPの重大な脆弱性「php2shell」：知っておくべきことと対策
※5 gihyo.jp｜PHP⁠⁠、重大な脆弱性2件を修正
※6 Pivo-te｜【緊急】PHPの脆弱性をわかりやすく図解解説｜確認すべき5つのこと
※7 独立行政法人情報処理推進機構｜PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）

自社サイトがPHPの脆弱性の対象バージョンかの確認

自社サイトがPHPの脆弱性に直面しているか、PHPのバージョンから判断できます。修正済みのPHP最新バージョン一覧と、WordPress上でのPHPのバージョンの調べ方、WordPress本体の更新の必要性について確認しておきましょう。

PHPの修正済み最新バージョン一覧

2026年10月21日時点での修正済みの最新バージョンは、次の表のとおりです（※8、※9）。7.4、8.0、8.1はサポートが終了していますが、深刻度を考慮して最小限の修正がソースコードで提供されました。ただし、こちらは通常の修正版ではないため、サポート中のバージョンへの移行が必要です。LinuxディストリビューションのPHPは、各社の更新パッケージの案内も確認しましょう。

【参考】
※8 ITmedia NEWS｜PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開　「直ちにアップデートを」
※9 gihyo.jp｜PHP⁠⁠、重大な脆弱性2件を修正

「修正済み」と判定されていても、更新前の侵入有無については別途確認が必要です。その確認方法については、後述の対応手順で把握できます。

WordPress上でPHPのバージョンを確認する方法

PHPのバージョンは、WordPressの管理画面から確認できます。ただし、WordPressのバージョンによって管理画面の表記が異なる場合がある点にはご注意ください。

• ステップ1：管理画面で「ツール」内にある「サイトヘルス」を開きます
• ステップ2：「情報」タブを選び、「サーバー」項目を展開します
• ステップ3：そこに表示されたPHPのバージョンを、上記の前述の表と照合します

レンタルサーバーを用いている場合、Webサーバーの管理画面にあるPHP設定でも確認は可能です。PHPのバージョンを更新した際、再起動を行うまで古いバージョンが動き続けるケースがあるため、更新後にサイトヘルスで番号の変動を確認することで、その問題に気づきやすくなります（※6）。自身で確認できない場合、サーバー会社やWebサイトの運営・管理会社へ「当Webサイト（URLも記載）で動いているPHPのバージョンと、2026年10月21日に公開された修正版への更新状況を教えてください」と問い合わせると良いでしょう。

WordPress本体の更新は必要？

WordPress公式サイトは10月21日の告知で、Webサイト運営者に向けてPHPを直ちに更新するよう呼びかけました。加えて、2件の脆弱性がWordPress本体の問題ではないため、その更新が不要であると説明しています（※9）。

Webサイト運営者に求められるのは、Webサーバー側のPHP更新と再起動です。ただし、PHPのバージョンを更新する場合、現在利用中のプラグインとテーマが新しいPHPのバージョンで稼働するかを事前に確認する必要があります。

一般的に、例えば8.3.35から8.3.36などの同じ系統内の更新では影響が小さい一方、8.1から8.3のように系統をまたぐ移行では古いプラグインが原因で画面が正しく表示されなくなる恐れがあるため、注意しましょう。

PHPの脆弱性に対応する手順と判断基準

PHPに脆弱性があるサイトと分かったら、その対応が必要です。こちらでは、対象確認から再起動までの5ステップ、更新が難しいときの判断基準、更新後の侵入確認について解説します。

5ステップ：対象確認から更新、再起動まで

次の5ステップでPHPの脆弱性を確認、対処できます（※6）。

• ステップ1：自社サイトがPHPを使用しているかを確認します（WordPressで構築しているならPHPを使用しています）
• ステップ2：自社サイトがPHPを使用している場合、契約中のサーバー会社の告知から対応状況を確認します
• ステップ3：PHPのバージョンを確認し、修正版へと更新します
• ステップ4：PHP-FPMやWebサーバーを再起動し、PHPのバージョンの更新を反映させます
• ステップ5：10月17日以降の外部からの不正プログラムの侵入を確認します

レンタルサーバーでは、管理画面上にあるPHP設定でバージョンを切り替えられる場合が多い一方、サーバー会社に更新してもらう際には、利用者の作業範囲が限られることを理解しておくことが大切です。

VPSやクラウドなど自社で管理するサーバーの場合、開発会社や社内のインフラ担当者への依頼が必要で、更新後も古いPHPのバージョンが動き続けないようPHP-FPMやWebサーバーを再起動しましょう（※6）。その依頼の際、「PHPのバージョンを更新後、再起動まで含めてお願いします」と伝えると確実です。

なお、ENISA（EUサイバーセキュリティ機関）は、PHPを用いる社内製品が見落とされやすい点に触れつつ、インターネットに公開しているシステムを優先して対応するよう推奨しています（※10）。

【参考】
※10 Lovguiden｜Critical PHP vulnerabilities: ENISA urges organisations to patch

すぐに更新できないときは停止か、緩和策か

PHPのバージョンを更新できない事情がある際の判断は、Webサイトの性質によって変わります。次の表を目安にしてください（※6、※10）。

「更新できない事情」としては、次のような例があります。

• 自社独自の改修が多く、更新前に検証が必要
• 開発会社と連絡がつかない
• 古いPHPのバージョンのため、単純な更新ができない

停止する場合、HTTPステータス503（一時的に利用不可）に設定します。200でメンテナンス画面に返すとその画面がインデックスされる恐れがあり、404ではページが消えたと扱われるためです（※6）。

設定変更による緩和策もありますが、session.upload_progress.enabledの無効化だけでは不十分である（※3）といった言及も見られるため、あくまで応急処置としてとどめておき、安全な選択肢として更新しましょう（※2）。

侵入されていないかの確認

PHPのバージョンの更新が完了していても安心はできません。10月17日ごろから攻撃の試みがあったことを受け、それ以前に侵入された可能性も考える必要があるからです。その不安を解消するために、Webサイトのサーバー会社や制作会社に、10月17日以降のログ確認を依頼することが肝心です。同時に、自身でも次の点を確認できます（※6）。

• Search Consoleの「セキュリティと手動による対策」に、通知が出ていないか
• 見覚えのないページ、広告、リンクが増えていないか
• 検索結果やブラウザ上で、自社サイトに警告が表示されていないか

上記のいずれかに当てはまる場合、すぐにWebサイトのサーバー会社や制作会社へ連絡し、対処してもらう必要があります。

更新後に残る課題──PHP 8.2終了と新たな脆弱性の発見

今回、修正済みのバージョンに更新しても、Web担当者の対応は終わりではありません。こちらでは、PHPの各バージョンのセキュリティサポートの終了時期と、新たな脆弱性が発見された場合に備えた運用体制を整理できます。

PHP 8.2は2026年12月31日でサポート終了

PHPの各バージョンともに、公開から2年間が通常サポート、その後の2年間が重大なセキュリティ修正のみのサポートを受けられます（※11）。その中で、PHP 8.2はセキュリティサポートが2026年12月31日に終了します。つまり、今回8.2.35のバージョンにしても、2027年1月1日以降に次のバージョンが出ません。

そのため、PHP8.2を利用している場合はセキュリティサポートが2027年末まで続く8.3以上へのバージョン移行が望ましいでしょう。各バージョンのセキュリティサポートの終了時期は、次の表から確かめられます。

【参考】
※11 PHP｜Supported Versions

PHPのバージョンを移行するなら、事前にプラグインとテーマの対応状況の確認、さらにはテスト環境での表示確認を行うことが必要です。

次に脆弱性が発見された際のための運用体制

さらに10月23日、3件目（CVE-2026-115560）の脆弱性も告知されました。特定の設定とアプリケーションの処理が重なった場合にのみ起こる問題で、本記事公開時点では修正版がありません。しかし、PHPはその対策として、「session.upload_progress.enabledを0にする」という設定を推奨しています（※5）。このような続報に備えて、次の4点を整えておくと安心です。

• サーバー会社や制作会社、社内の責任者の連絡先を控えておく
• 自身が確認した事実、実施した対応、考えられるリスクを、上司や外注先へ報告できる形にまとめておく
• 外注先への依頼内容にバージョンの確認、更新時の再起動、更新後の侵入確認を加えておく
• PHPからの公式情報やサーバー会社からの告知を確認することを習慣づける

これらを平時から整えておけば、続報が出たときも慌てずに判断と依頼を進められます。

PHPについてよくある質問とその回答

こちらでは、PHPについて多くの方からお問い合わせがある内容とそれに対する回答を把握できます。

PHPの脆弱性に対して、何から始めれば良いかわかりません。

社内の責任者、もしくはサーバー会社や制作会社に自社サイトにPHPを使用しているかを確認しましょう。PHPを使用している場合、重大な脆弱性という問題に直面している恐れがあるため対処が必要です。なお、WordPressを用いて自社サイトを運営、管理しているなら、PHPを用いています。

詳しくは、記事内の「PHPの脆弱性に対応する手順と判断基準」をご確認ください。

WordPressを最新バージョンにすれば、PHPの脆弱性は解消されますか？

いいえ、PHPの脆弱性を解消するためには、Webサーバー側のPHPのバージョンを更新する必要があります。その後、従来のPHPのバージョンが稼働する状況を防ぐために、再起動まで行うことも大切です。

詳しくは、記事内の「自社サイトがPHPの脆弱性の対象バージョンかの確認」をご覧ください。

PHPの脆弱性を修正したバージョンにすれば問題ないですか？

PHPのバージョンを更新しても、古いバージョンが稼働したままになる可能性があるため、必ず再起動しましょう。また、PHPの脆弱性が発表される前から、攻撃が始まっていた事実があります。そのため、Webサーバーに外部からの命令がないか確かめることも必要です。

詳しくは、記事内の「PHPの脆弱性に対応する手順と判断基準」で確かめられます。

まとめ

PHPは、多くの企業Webサイトに用いられているプログラミング言語です。そのため、Web担当者はPHPの重大な脆弱性に直面している可能性を想定し、自社サイトで使用するプログラミング言語を確認しましょう。

PHPを用いている自社サイトの場合、修正版のバージョンに更新する必要があります。すぐにその対応ができないならHTTPステータス503を設定し、一時停止をするのも手段のひとつです。

PHPの重大な脆弱性を放置して自社サイトが攻撃を受けると、Webサイトの改ざんや保存データの窃取につながったり、自社の信頼が損なわれたりするリスクがあります。自社サイトにPHPを用いている場合は、迅速にその脆弱性への対処を行いましょう。