PHPの脆弱性「PHP2Shell」とは？ホームページ担当者が確認すべきことと今後の対策を解説

2026年10月21日、Webサイトで広く使われているプログラミング言語「PHP」に、重大な脆弱性が見つかったことが公表されました。

「PHP2Shell」とも呼ばれるこの脆弱性は、外部から認証なしでサーバー上のプログラムを動かされる恐れがある深刻なもので、国内でも銀行やECサイト、ゲーム、自治体など一部のサービスが予防的に停止する事態となりました。

「自社のホームページは大丈夫なのか」「何を確認すればいいのかわからない」と不安を感じている方も多いのではないでしょうか。

本記事では、今回のPHPの脆弱性の概要と影響をわかりやすく解説し、ホームページ運営担当者が確認・対策すべきことを整理します。

なお、ホームページ作成をご検討なら、Wepageをご検討ください。

ホームページ作成はこちら

まずは、今回公表されたPHPの脆弱性がどれほどの規模で、どのような内容なのかを確認していきましょう。

１-１．Webサイトの約7割で使われているPHP

今回の脆弱性の大きな特徴は、影響を受ける可能性がある範囲の広さです。

PHPは、世界中のWebサイトで広く使われているプログラミング言語です。
W3Techsの調査では、サーバー側のプログラミング言語が判明しているWebサイトのうち、69.2%でPHPが利用されています（2026年10月29日時点）。

ただし、PHPを使っているすべてのサイトが影響を受けるわけではありません。
PHPのバージョンやサーバーの構成、事業者の対応状況によって影響は異なるため、落ち着いて自社の状況を確認することが大切です。

１-２．そもそもPHPとは

PHPとは、Webサーバー上で動き、Webページの内容を動的に生成するために使われるプログラミング言語です。
お問い合わせフォームの送信や会員登録、ブログの記事表示、ネットショップの注文処理など、ホームページの「裏側の仕組み」を動かす役割を担っています。

世界で広く使われているWordPressをはじめ、DrupalやJoomlaといったCMSもPHPで作られています。
そのため、WordPressでホームページを運営している場合は、PHPを利用していることになります。

１-３．脆弱性の概要

今回公表されたのは、次の2件の脆弱性です。

項目	CVE-2026-109618	CVE-2026-109619
内容	メモリ不足時のエラー処理の不備により、外部からプログラムを実行される恐れ	処理後に残ったデータの扱いの不備により、外部からプログラムを実行される恐れ
認証の要否	不要	不要
深刻度	9.2（緊急）	9.2（緊急）

※「CVE」は脆弱性を識別するための世界共通の番号、深刻度はCVSS v4.0による評価です。

どちらも、サーバーのメモリの扱いに関する不備が原因で、攻撃者が細工したリクエストを送ると、サーバー上で任意のプログラムを実行（リモートコード実行）される恐れがあります。

１-４．何が危険なのか

今回の脆弱性が特に危険とされる理由は、主に次の3つです。

危険な理由	内容
ログインせずに攻撃できる	IDやパスワードを知らなくても、外部から攻撃を仕掛けられる
サーバーを乗っ取られる恐れがある	サーバー上でプログラムを実行され、改ざんや不正なファイルの設置、ほかへの攻撃の踏み台にされる恐れがある
機密情報を読み取られる恐れがある	プログラムの実行に至らなくても、メモリ上のパスワードやAPIキーなどを読み取られる可能性がある

特に注意したいのが、パスワードやAPIキーなどの機密情報が漏れる可能性です。
これらの情報が盗まれると、PHPを更新した後も、盗まれた情報を使って別の経路から再び侵入される恐れがあります。

今回の脆弱性の影響を受けるかどうかは、ホームページの作り方や利用しているサービスによって異なります。

２-１．影響を受ける可能性があるホームページ

PHPを使用しているホームページでは、サーバーの構成やPHPの実行方式によって攻撃が成立する可能性があります。
代表的なのは、次のようなケースです。

ホームページの作り方	PHPの利用	対応する人
レンタルサーバー＋WordPressなどのCMS	利用している	サーバーのPHPはレンタルサーバー事業者、CMS本体は運営者
自社で管理するサーバー（VPS・クラウドなど）	利用している場合が多い	自社または委託先の制作会社
制作会社が構築・管理しているサイト	構成による	制作会社（契約内容による）
ネットショップ作成サービスなどのクラウドサービス	サービスによる	サービス提供事業者

影響を受ける可能性があるのは、修正版より前のPHPのほぼすべてのバージョンです。
PHP 5.4以降のバージョンの広い範囲で、少なくとも1件の脆弱性の影響を受けると指摘されています。

２-２．修正版のバージョン

PHPの開発チームは、次の修正版を公開しています。

PHPのバージョン	修正版
8.5系	8.5.12
8.4系	8.4.27
8.3系	8.3.36
8.2系	8.2.35
8.1系以前	公式の修正版はなし（一部の修正コードのみ提供）

PHP 8.1以前はすでに公式のサポートが終了しているため、PHP開発元からは今回の脆弱性に対応した修正版は提供されません。
古いバージョンを使い続けている場合は、サポート中のバージョンへの移行が必要です。

２-３．影響を受けにくいケース

一方で、次のようなケースでは、運営者が自分でPHPを更新する必要はありません。

1つ目は、PHPを使っていないホームページ作成サービスを利用している場合です。
仕組みにPHPを使っていなければ、今回の脆弱性の影響は受けません。

2つ目は、サーバーの管理を事業者が行うサービスを利用していて、事業者がすでに対応を済ませている場合です。
この場合も、利用しているサービスのお知らせで、対応が完了していることを確認しておくと安心です。

ここからは、ホームページ運営担当者が確認・対策すべきことを、順番に解説します。
まずは全体の流れを確認しましょう。

手順	確認・対策すること
1	自社のホームページでPHPが使われているか確認する
2	PHPのバージョンを確認し、修正版に更新する
3	レンタルサーバー事業者や制作会社の対応状況を確認する
4	PHP 8.1以前を使っている場合は移行を検討する
5	すぐに更新できない場合は暫定策をとる
6	不正アクセスの痕跡を確認し、パスワードなどを変更する

３-１．自社のホームページでPHPが使われているか確認する

最初に確認したいのが、自社のホームページがどのような仕組みで動いているかです。
WordPressなどのCMSを使っている場合や、お問い合わせフォームを自作している場合は、PHPが使われている可能性が高いといえます。

確認する範囲は、公開しているホームページだけではありません。
キャンペーンサイトや採用サイト、過去に作って放置しているサイト、サーバーの管理画面など、PHPが動いているものをすべて洗い出しましょう。
仕組みがわからない場合は、制作会社やサーバーの管理者に問い合わせるのが確実です。

３-２．PHPのバージョンを確認し、修正版に更新する

PHPを使っている場合は、現在のバージョンが修正版以降になっているかを確認します。
レンタルサーバーの場合は、管理画面のPHP設定のページなどでバージョンを確認・変更できることが一般的です。

WordPressを使っている場合は、管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」の項目でも、PHPのバージョンを確認できます。

バージョンを変更すると、プラグインやテーマが正しく動かなくなる場合があります。
変更前にバックアップをとり、変更後はホームページの表示やフォームの動作を確認するようにしましょう。

３-３．レンタルサーバー事業者や制作会社の対応状況を確認する

レンタルサーバーを利用している場合、サーバーのPHPは事業者が更新するのが一般的です。
国内の主要なレンタルサーバー各社は、10月22日から23日にかけて修正の適用を進めました。

ただし、古いPHPのバージョンには修正を適用せず、緩和策の実施を利用者に任せている事業者もあります。
利用している事業者のお知らせを確認し、自分で対応が必要な部分がないかをチェックしましょう。

また、制作会社にホームページの管理を任せている場合は、今回の脆弱性への対応状況を問い合わせておくと安心です。
保守契約がないサイトでは、誰が対応するのかが曖昧になりがちなため、この機会に確認しておきましょう。

３-４．PHP 8.1以前を使っている場合は移行を検討する

PHP 8.1以前は公式のサポートが終了しており、今回の修正版も提供されていません。
古いバージョンを使い続けると、今回の脆弱性だけでなく、今後見つかる脆弱性にも対応できない状態が続きます。

さらに、PHP 8.2も2026年12月31日で公式のセキュリティサポートが終了します。
今回8.2系の修正版に更新した場合でも、早めに8.3系以降への移行を計画しておくことが大切です。

３-５．すぐに更新できない場合は暫定策をとる

システムの事情ですぐに更新できない場合は、WAF（Web Application Firewall）の活用や、PHPの設定変更などの暫定策で攻撃を受けるリスクを下げられます。
主要なWAFの提供事業者は、今回の攻撃を遮断するルールを公開しています。

ただし、暫定策はあくまで一時的なものです。
根本的な解決には修正版への更新が必要なため、暫定策をとっている間に更新の準備を進めましょう。
リスクが高い場合は、更新が完了するまでホームページを一時的に非公開にすることも検討します。

３-６．不正アクセスの痕跡を確認し、パスワードなどを変更する

今回の脆弱性は、修正版の公表前から攻撃の試行が観測されています。
そのため、更新を済ませた後も、すでに不正アクセスを受けていないかを確認することが大切です。

サーバーのログに不審な通信やエラーが急増していないか、見覚えのないファイルが置かれていないかなどを確認しましょう。
JPCERT/CCは、痕跡が見つからないことが攻撃を受けていない証明にはならないとしています。

万が一に備えて、サーバーやデータベース、CMSの管理画面などのパスワードを変更しておくと、盗まれた情報による再侵入を防ぐことにつながります。

今回はPHPの脆弱性でしたが、同じようなリスクはホームページを動かしているあらゆるソフトウェアに存在します。
ここでは、今後も起こり得る代表的なリスクを紹介します。

４-１．CMSやプラグインの脆弱性

WordPressなどのCMSは、本体だけでなく、機能を追加するプラグインやテーマにも脆弱性が見つかることがあります。
特にプラグインは開発者が多様で、更新が止まったまま放置されているものも少なくありません。

使っていないプラグインは削除し、使っているものは常に最新の状態に保つことが基本です。

４-２．サポートが終了したソフトウェアの放置

PHP 8.1以前のように、公式のサポートが終了したソフトウェアには、新たな脆弱性が見つかっても修正が提供されません。
W3Techsの調査では、脆弱性公表後の2026年10月29日時点でも、PHPを使うサイトのうち約34%がPHP 7以前を使っているとされています。

サーバーのOSやデータベース、CMSについても同様で、サポート期限を把握し、計画的に移行することが欠かせません。

４-３．ホスティング事業者や委託先を経由した被害

自社のホームページに問題がなくても、利用しているレンタルサーバーやクラウドサービス、制作会社が攻撃を受けると、その影響が自社にも及ぶことがあります。
このように取引先や委託先を経由して被害が広がる攻撃は「サプライチェーン攻撃」と呼ばれます。

サービスを選ぶ際は、セキュリティ対策や障害時の情報公開・サポート体制が整っているかを確認しておくことが大切です。

４-４．AIによる脆弱性の発見と攻撃の加速

今回の脆弱性の発見にはAIが活用されたことが報告されています。
AIの進化によって、これまで見つからなかった脆弱性が見つかりやすくなる一方で、攻撃者も同じように脆弱性を見つけ、攻撃までの時間が短くなる可能性が指摘されています。

月に1回程度の手作業の更新では対応が間に合わなくなる恐れもあり、更新や監視をできるだけ自動化することが求められます。

４-５．被害の表面化の遅れ

不正アクセスの被害は、すぐに表面化するとは限りません。
攻撃者が密かに不正なプログラムを設置し、数週間から数カ月後にカード情報の窃取や改ざんが発覚することもあります。

今回の脆弱性についても、今後しばらくは被害の公表が続く可能性があるため、ログの確認や改ざんの監視を継続することが大切です。

今回のような緊急の脆弱性に慌てず対応するためには、日頃からの備えが重要です。
ここでは、今後に備えて取り組みたい対策を紹介します。

５-１．使っているソフトウェアとバージョンを把握する

脆弱性が公表されたとき、まず必要になるのが「自社が影響を受けるかどうか」の判断です。
そのためには、ホームページで使っているサーバー、PHPなどの言語、CMS、プラグインとそのバージョンを一覧にして管理しておくことが役立ちます。

一覧があれば、今回のような緊急時にも、影響の有無をすぐに確認できます。

５-２．継続的に更新できる体制を整える

ソフトウェアの更新は、一度行えば終わりではありません。
誰が・いつ・どのように更新するのかを決めておき、制作会社に任せている場合は保守契約の内容を確認しておきましょう。

５-３．脆弱性の情報を集める

IPA（情報処理推進機構）やJPCERT/CCは、重大な脆弱性が見つかった際に注意喚起を公開しています。
あわせて、利用しているレンタルサーバーやサービスのお知らせも、定期的に確認する習慣をつけておくと安心です。

５-４．WAFやバックアップで被害を抑える

WAFを導入しておけば、今回のように攻撃を遮断するルールが提供された場合に、更新までの時間を稼ぐことができます。
また、定期的なバックアップがあれば、万が一改ざんされた場合でも正常な状態に素早く戻せます。

５-５．サーバーやシステムの管理を任せられるサービスを選ぶ

専任のIT担当者がいない中小企業にとって、サーバーやPHP、CMSの更新を自社で続けるのは大きな負担です。
そこで有効なのが、サーバーの管理やシステムの更新をサービス提供事業者が行うホームページ作成サービスを選ぶことです。

自社でサーバーやソフトウェアを抱えなければ、今回のような緊急の更新作業に追われることもなくなります。

ホームページに必要なセキュリティ対策を自社で行うのが難しい場合におすすめしたいのが、Wepage（ウィーページ）です。
Wepageでは、ホームページ用のサーバーをあらかじめ用意しており、サーバーの管理からシステムの更新まで運営側で行います。
システムは自社で開発しているため、今後新たな脆弱性が見つかった場合にも、運営側で速やかに対応します。

Wepageで作成されたホームページや管理画面は、今回発生したPHPの脆弱性の影響を受けていません。

今すぐ無料で作ってみる

2026年10月21日に公表されたPHPの脆弱性「PHP2Shell」は、認証なしで外部からサーバー上のプログラムを実行される恐れがある深刻なものです。
PHPは、約7割のWebサイトで使われているプログラミング言語であり、まずは自社ホームページに使われているか確認するところから始める必要があります。
PHPを使ったホームページを運営している場合は、PHPのバージョンを確認して修正版へ更新し、レンタルサーバー事業者や制作会社の対応状況も確認しましょう。
PHP 8.1以前を使っている場合は、サポート中のバージョンへの移行が必要です。

また、同じようなリスクは、CMSやプラグイン、サーバーなどPHP以外のソフトウェアにも存在します。
使っているソフトウェアの把握や更新体制の整備に加え、Wepageのようにサーバーやシステムの管理を任せられるサービスを活用することも、ホームページを守る有効な選択肢です。