PHP2Shell：PHPの重大な脆弱性、WordPressサイトで確認すべきこと

目次4セクション

2026年10月21日、PHPに2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619、通称「PHP2Shell」）が公表され、日本時間の23時に修正版が公開されました。その少し前の21時55分、高市早苗首相はXで「今夜に対応して頂きたい大至急のお願いです」と呼びかけています。すぐに修正パッチを適用できない場合は、ウェブサイトを一時的に停止することもリスクを下げる有効策の一つだ、という内容でした。

その夜、pixiv、ニコニコ、BASE、さくらインターネットなど多くのサービスが緊急メンテナンスに入り、財務省も一部のページを一時停止しました。WordPressでサイトを運営している方が確認すべきことを、専門用語をなるべく使わずにまとめます。

PHP2Shellとは

WordPressは、PHPというプログラミング言語で作られています。訪問者がページを開くたびに、サーバーの上でPHPが動き、ページを組み立ててブラウザに送ります。W3Techsによると、サーバー側の言語がわかっているウェブサイトの69.3%がPHPを使っています。

今回の2件の脆弱性を悪用されると、攻撃者は外部から簡単なリクエストを送るだけで、サーバー上で自分のコマンドを実行させることができます。パスワードもアカウントもいりません。JPCERT/CCは「PHPの実行プロセスの権限で任意のコードを実行される可能性」があると説明しています。PHPの開発元によると、ウェブページを表示しているPHPはすべて影響を受けます。

深刻度を表すCVSS v4.0のスコアは、2件とも9.2です。修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。

サイトを止めるべきか

首相の投稿の少し前、国家サイバー統括室（NCO）もXで、修正パッチをすぐに適用するのが難しい場合は、ウェブサイトを一時的に停止することもリスクを下げる有効策の一つだと発信しました。IPAは22日の注意喚起で「外部からのアクセス遮断やサービスの一時停止が必要か判断してください」としています。止めるかどうかは、サイトごとに判断する対策です。

会社案内のサイトなら、数時間止めても影響は小さいでしょう。ネットショップは、サーバー会社がどこまで修正を終えたかを確かめてから決めます。

WordPressサイトは大丈夫？

PHPで動くサイトはすべて対象ですが、WordPressの側でインストールするものはありません。問題はサーバーのPHPにあるからです。レンタルサーバーの場合、PHPを更新するのはサーバー会社です。サイトの持ち主がするのは、それが済んだかの確認です。

サーバー	対応状況
エックスサーバー	PHP 5.6〜8.5に適用済み（5.5以前は準備中）
さくらのレンタルサーバ	適用済み（サポート終了版も含む）
ConoHa WING	全バージョンに適用済み
ロリポップ!	適用済み、サイトの動作確認をお願い
mixhost	PHP 5.2〜8.5に適用済み
カラフルボックス	10月22日朝までに完了
お名前.com レンタルサーバー	対応中（完了のお知らせは未確認）
Hostinger	全サーバーで完了（VPSを除く）

出典：エックスサーバー · さくらインターネット · ConoHa WING · ロリポップ! · mixhost · カラフルボックス · お名前.com · Hostinger

お使いのサーバー会社が何も発表していない場合は、2つのCVE番号（CVE-2026-109618、CVE-2026-109619）を伝えて、修正が済んでいるかを書面で問い合わせましょう。

PHPのバージョンを確認する

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHP バージョン」が表示されます。サーバー会社の管理画面でも確認できます。

修正版の番号は 8.2.35、8.3.36、8.4.27、8.5.12 ですが、番号だけで判断しないでください。ConoHa WING、mixhost、カラフルボックスは、今のバージョンのまま修正を適用したと案内しています。mixhostでは、修正後も「8.4.26」のように前の番号が表示されます。当スタジオが使っているHostingerのサーバーでも、PHP 8.4は8.4.26と表示されたままですが、10月21日にビルドし直されていました。Hostingerは、PHP情報の「Build Date」が2026年10月21日以降なら修正済みと説明しています。

PHP 8.1以前は、PHPの開発元によるサポートが終わっています。多くのサーバー会社が独自に修正を適用していますが、IPAとJPCERT/CCはサポート中のバージョンへの移行を勧めています。PHP 8.2のサポートも、2026年12月31日で終わります。

すでに被害を受けていたら

修正版が公開された日、米国のCISAは攻撃を確認していませんでした。その後Amazonは、公表の4日前にあたる10月17日に、攻撃の試みを観測していたと報告しています。JPCERT/CCは、侵害が疑われる場合は「ログなどの証拠を保全した上で」影響範囲の調査やシステムの隔離を行うよう求めています。

この脆弱性で侵入されたサイトも、ほかの改ざん被害と同じように見えます。知らないサイトへ転送される、作った覚えのないページが増える、Googleが警告を出す、サーバー会社に停止される、といった症状です。何をどの順番で行うかは、WordPressサイトが改ざんされたら：やるべきことと順番にまとめています。

サーバー会社から返事がない、サイトが心配という方は、こちらからご相談ください。保守プランをご契約中のサイトは、ハッキング被害時の復旧作業も料金に含まれています。