2026年10月21日、Webサイトの多くを動かしているプログラム言語「PHP（ピー・エイチ・ピー）」に、緊急の脆弱性（ぜいじゃくせい＝セキュリティの穴）が2つ公表されました。通称「PHP2Shell」です。結論から言うと、修正版（8.5.12・8.4.27・8.3.36・8.2.35）にすればふさがります。レンタルサーバーで WordPress を使っている人は、多くの場合サーバー会社が更新してくれるので、自分でやるのは「PHP のバージョンとサーバー会社のお知らせを確かめる」ことです。この記事では、何が起きたのか、自分のサイトが大丈夫かの確かめ方、WordPress の人がやることを、専門用語をなるべく使わずにまとめます。
Amazonセール開催中【PR】
＼ 本日の掘り出し物は？ ／
＼今、売れてるのはコレ ／
結論：PHP の脆弱性（2026年10月）の要点
| 何が起きた | PHP 本体に、ログインなしで外からサーバーのプログラムを動かされるおそれのある穴が2つ見つかった |
|---|---|
| 番号・深刻度 | CVE-2026-109618、CVE-2026-109619。PHP 公式の評価は CVSS v4.0 で 9.2（緊急） |
| 通称 | PHP2Shell（ピー・エイチ・ピー・トゥー・シェル） |
| 修正版 | PHP 8.5.12・8.4.27・8.3.36・8.2.35（2026年10月21日公開） |
| 影響する範囲 | 修正版より前の PHP。発見した会社は「PHP 5.4 以降のほぼすべて」が少なくとも1つの影響を受けるとしている |
| WordPress の更新で直る？ | 直らない。PHP 本体（サーバー側）の問題 |
| 個人がやること | ①PHP のバージョンを見る ②サーバー会社のお知らせを見る ③8.1 以前なら 8.2 以上へ切り替える |
PHP の公式サイトは「すべての PHP 利用者は、すぐに更新することを強くすすめる」「完全な回避策はなく、更新だけが安全な選択」と書いています。
何が起きたのか：時系列でわかる PHP2Shell
今回は、修正版が出る前に情報がもれて、攻撃が始まってしまったのが大きな騒ぎになった理由です。セキュリティの情報をまとめているブログ「piyolog」の時系列から、主な出来事をぬき出します（日本時間）。
| 日時 | 出来事 |
|---|---|
| 8〜9月 | セキュリティ会社などが、PHP の開発チームに穴を報告 |
| 10月17日 | Amazon が、公表より前に悪用しようとする動きを観測 |
| 10月20日 | PHP が修正版の公開を予告。情報がもれて SNS で広まる |
| 10月21日 | IPA（情報処理推進機構）などが事前の準備を呼びかけ。高市首相も X で対応を呼びかけた。各社が予防のためサービスを止め始める |
| 10月21日 23時ごろ | 修正版と脆弱性の詳しい情報が公開 |
| 10月22日 | Cloudflare の CEO が「攻撃の試みは数百万件」と投稿。JPCERT/CC が、攻撃を受けていないかの確認も呼びかけ |
piyolog によると、予防のためにサービスを一時停止するなどした国内の組織は、10月22日午後の時点で211。銀行、ゲーム会社、自治体、大学、レンタルサーバー会社など、はば広い分野に広がりました。
なぜそんなに危ないの？
PHP は WordPress をはじめ、世界のとても多くの Web サイトで使われています。今回の穴は、サイトのプログラム（WordPress やプラグイン）の書き方とは関係なく、土台の PHP そのものにありました。そのため「自分のサイトのプログラムはきちんと作ってある」場合でも、PHP が古いままだと狙われるおそれがあります。
発見したセキュリティ会社 Wiz は、WordPress・Drupal・Joomla の最新版で、ログインなしにプログラムを動かせることを実際に確かめたと発表しています。PHP の動かし方のうち、Apache に組みこむ「mod_php」という方式が、いちばん危ないとされています。
自分のサイトは大丈夫？PHP のバージョンの確かめ方
WordPress なら、管理画面から1分で確かめられます。
- WordPress の管理画面にログインする
- 左のメニューの「ツール」→「サイトヘルス」を開く
- 上の「情報」タブ →「サーバー」を開く
- 「PHP バージョン」の数字を見る
見かたは次のとおりです。
| 表示されたバージョン | 状態 | やること |
|---|---|---|
| 8.5.12 以上／8.4.27 以上／8.3.36 以上／8.2.35 以上 | 修正ずみ | とくになし |
| 8.2〜8.5 で、上より小さい数字 | 修正前 | サーバー会社の更新を待つ。自分で管理しているサーバーならすぐ更新 |
| 8.1 以前（7.4・8.0・8.1 など） | サポートが終わった古い版 | サーバー会社の案内を見て、8.2 以上への切り替えを考える |
注意点として、レンタルサーバーの会社が古い版に独自の修正を当てている場合、画面の数字が変わらないことがあります。最後はサーバー会社のお知らせで確かめるのが確実です。
WordPress・個人ブログの人がやること
- サーバー会社のお知らせと公式 X を見る：共用のレンタルサーバーなら、PHP の更新はサーバー会社がやってくれることが多い。「利用者の作業が必要か」が書いてあるので確かめる
- PHP 8.1 以前なら切り替えを考える：切り替える前にバックアップを取り、使っているテーマ・プラグインが新しい版に対応しているか確かめる。切り替えた後は、表示と問い合わせフォームの送信まで試す
- WordPress・プラグインの更新は別に続ける：今回の穴は直らないが、ほかの穴をふさぐために、ふだんどおり最新にしておく
- 変なところがないか見る：知らない管理者ユーザー、見覚えのないファイルやページ、急に重くなった・エラーが増えた、などがあればサーバー会社に相談する
VPS や自分のサーバーで PHP を動かしている人は、OS のパッケージを今すぐ更新して、PHP を動かしているサービス（PHP-FPM や Apache）を再起動してください。Ubuntu・Debian・AlmaLinux など主な OS は、10月22日までに修正版を出しています。
レンタルサーバー各社の対応（10月22日時点）
| 会社 | 対応 |
|---|---|
| エックスサーバー | 10月21日16時から管理画面などを予防のため一時停止（公開中のサイトとメールは使える。不正アクセスではないと説明）。PHP 8.2〜8.5 は全サーバーに修正を適用ずみ。古い版も独自の修正を順に適用 |
| さくらのレンタルサーバ | PHP を更新（10月22日6時30分に完了）。古い版の人には PHP 8.3 への切り替えを案内 |
| ロリポップ！ | サービスサイトや一部の機能を停止して緊急メンテナンス |
| KAGOYA | PHP 8.2〜8.5 を順に更新する予定 |
状況はどんどん変わるので、最新の情報は各社の公式お知らせで確かめてください。管理画面が止まっている間も、サーバー会社の側で作業は進んでいます。
よくある質問
Q. サイトを見に行っただけの人も危ないですか？
今回の穴は、サイトを動かしているサーバー側の問題です。スマホやパソコンでサイトを見る人が、PHP を更新したり何かを入れたりする必要はありません。
Q. サイトを止めたほうがいいですか？
修正版に更新できていれば止める必要はありません。IPA は、すぐに修正できない場合は一時的な対策や外からのアクセスの制限を考え、有効な対策がなければサービスの停止も判断するよう呼びかけています。多くの会社がサービスを止めたのは、この「更新が終わるまでの予防」のためです。
Q. WordPress のセキュリティプラグインで防げますか？
今回の穴は、WordPress が動き出す前の段階で狙われるものもあるため、WordPress の中のプラグインだけでは防ぎきれません。Cloudflare などの WAF（ウェブアプリケーションファイアウォール＝攻撃を手前で止める仕組み）は防ぐルールを出していますが、PHP 公式は「完全な解決は更新だけ」としています。
まとめ
- 2026年10月21日、PHP に緊急の脆弱性2件（PHP2Shell。CVE-2026-109618・109619）が公表された
- 修正版は 8.5.12・8.4.27・8.3.36・8.2.35。WordPress の更新では直らない
- WordPress の人は「ツール → サイトヘルス → 情報 → サーバー」で PHP のバージョンを確かめる
- レンタルサーバーならサーバー会社のお知らせを確認。8.1 以前は 8.2 以上への切り替えを考える
