PHPの重大脆弱性（php2shell）｜企業サイトの確認と対策

PHPという、世の中の多くのホームページで使われているプログラム言語の本体に、認証なしで、インターネット越しにコードを実行されるおそれのある重大な脆弱性が見つかりました。2026年10月21日に修正版が公開されています（この記事は2026年10月24日時点の情報です）。

今回、何が起きたのか

PHP開発チームは、PHP本体の2つの脆弱性について、修正版を公開しました。通称は「php2shell」です。

「CVE」は脆弱性につける世界共通の識別番号、「CVSS」は深刻度を0〜10で表す指標です。

PHPとは。なぜ企業のサイトに関係するのか

PHPは、ホームページの裏側でページを組み立てたり、お問い合わせフォームのメールを送ったりするために使われるプログラム言語です。WordPressもPHPで動いています。お名前.comなどのレンタルサーバーでも、多くのプランでPHPが使えます。

つまり、自社のサイトにPHPを使っていなくても、WordPressや、フォーム・予約・ECなどの仕組みの中で、PHPが動いていることがあります。

脆弱性の内容と、想定される被害

PHP公式のアドバイザリによると、2つの脆弱性は次の問題です。

• CVE-2026-109618：メモリ不足（OOM）のエラー処理の途中で、PHPがまだ準備しきっていないデータを、後の処理で使ってしまう。
• CVE-2026-109619：前のリクエストで使った内部の状態が、メモリを解放した後も残り、同じ処理プロセスが次のリクエストで使ってしまう。

どちらも、攻撃者がログインしていなくても、細工したリクエストを送ることで、サーバー上で任意のコードを実行できる可能性があるとされています。実行されると、サイトの改ざん、情報の持ち出し、別の悪用の足がかりにされるなどの被害が想定されます。

ただし、攻撃には条件があります。PHP公式は、Apacheのmod_phpという動かし方で、認証なしのリクエストだけで攻撃できることを実証したとしています。PHP-FPMなどの動かし方も「影響を受ける可能性が高い」としていますが、確認の度合いは動かし方によって違います。深刻度の評価（9.2）も、満点（10.0）ではありません。

攻撃は始まっているのか

情報は一致していません。断定せず、複数の発表を並べて読んでください。

• CISAは、公開時点で「成功した悪用は確認していない」としています（10月23日に更新）。
• IPAの注意喚起には、悪用が確認されたという記載はありません。
• 一方、セキュリティ事業者の中には、攻撃の通信を観測したと発表しているところがあります。攻撃の手順を示す検証コード（PoC）も出回っているとされています。

状況は日々変わります。最新の情報は、IPAやPHP公式のページで確認してください。

対象となるPHPのバージョン

CVE・PHP公式の情報に基づく整理です（2026年10月24日時点）。

PHP 8.1 以前の影響について、IPAは、Wiz社の調査として「PHP 5.4 以降は、少なくとも一つの脆弱性の影響を受ける」と案内しています。

バージョン番号の末尾（8.5.11 の「11」）の違いは大切です。「PHP 8.5を使っているから安心」ではなく、8.5.12 以降かどうかを見ます。ただし、サーバー会社が独自に修正を取り込んでいる場合は、番号が上の表より前のままでも、修正済みのことがあります（次の章をご覧ください）。

WordPressを使っている企業への影響

WordPress本体ではなく、WordPressが動くための土台であるPHPの問題です。したがって、次のようになります。

• WordPress本体やテーマ、プラグインを更新しても、この脆弱性は直りません。
• セキュリティプラグインの多くは、PHPが動き始める前の段階の攻撃を止められない可能性があります。PHP公式は、mod_phpでは「アプリケーションのコードが動く前に」攻撃が成立しうるとしています。
• WordPress公式は、PHP 8.3 以降を推奨しています。古いPHPの上で動かし続けること自体が、リスクです。

WordPress本体の別の脆弱性として報じられた「wp2shell」とは、別の問題です。名前が似ているため、混同しないようにしてください。

お名前.comなどのレンタルサーバー利用者への影響

レンタルサーバーでは、PHPそのものはサーバー会社が用意しています。ですから、次の2つを確認します。

1. サーバー会社が、修正版のPHPを用意してくれているか（利用者は直せません）
2. ご自身のサイトが、そのPHPのどのバージョンを使う設定になっているか（利用者が選べることが多い設定です）

PHPのバージョンを選べるサーバーでは、管理画面で「PHP 8.5」のように系統を選びます。選んだ系統の細かい番号は、サーバー会社の更新で変わります。管理画面に「8.5」と出ているだけでは、修正済みかどうか分かりません。

このように、番号が修正版より前でも、サーバー会社が対応済みということがあります。ご利用のサーバー会社の案内で、対応済みかどうかを確認してください。他社の対応状況は、各社の案内をご覧ください。

なお、お名前.comのレンタルサーバー RSプランでは、PHPバージョンを選ぶ設定が、コントロールパネルの「高度な設定」の「PHP」にあると、過去のお知らせで案内されています（画面の名称は変わることがあります。最新の手順は、お名前.comの案内でご確認ください）。今回の対応では、バージョンの変更は不要とされています。

1台のサーバーで複数のサイトを運用している場合のリスク

同じサーバー（同じ契約）の中に複数のサイトを置いている場合は、次の点に注意します。

• 同じアカウントの中のサイトは、同じ権限で動いていることが多く、1つのサイトが侵入されると、ほかのサイトのファイルまで書き換えられるおそれがあります。
• 使っていない古いサイトやテスト用のページにPHPのファイルが残っていると、攻撃の入り口になります。
• PHPのバージョンはサイトごとに選べることがあります。サイトごとに確認してください。

サーバー会社がどこまでサイトを分離しているかは、会社やプランによって違います。契約内容を確認してください。

自社サイトのPHPバージョンを確認する方法

次のいずれかで確認します。

「phpinfo」という、PHPの設定を表示するファイルを置く方法もありますが、設定が外部に見えてしまうため、おすすめしません。使う場合は、確認が終わったらすぐ削除してください。

企業が今すぐ実施すべき対策

優先度の高い順です。

2026年10月23日には、PHP公式が別の脆弱性（CVE-2026-115560）についての補足の注意も出しました。詳しい情報は、次の定期リリースで出る予定です。今後も更新が続くため、この記事の末尾の「更新履歴」も見てください。

よくある質問（FAQ）

自社のサイトは、PHPを使っていないと思います。関係ありますか。

ホームページ制作ツールやWordPress、お問い合わせフォームなどの裏側で、PHPが動いていることがあります。制作会社やサーバー会社に確認してください。

「8.5.11」と表示されます。修正されていないのですか。

修正されていないとは限りません。お名前.comは、ご利用中のPHPバージョンを維持したままセキュリティパッチを適用したとしており、修正版の番号（例：8.5.12）ではなく、これまでと同じ番号（例：8.5.11）が表示される場合があると案内しています。番号だけで判断せず、サーバー会社の案内を確認してください。

修正版にすれば、もう安全ですか。

今回の2つの脆弱性は、修正されます。ただし、すでに攻撃を受けていた場合の被害は、更新では元に戻りません。更新したうえで、サイトの点検もしてください。

WordPressを最新にすれば、大丈夫ですか。

いいえ。今回はPHP本体の問題で、WordPressの更新では直りません。

PHPの「8.5」を選んでいます。修正済みですか。

これだけでは分かりません。8.5系の中でも、PHP公式の修正版（8.5.12）より前は対象です。ただし、サーバー会社が番号を変えずに修正を取り込んでいる場合もあります。サーバー会社の案内で、対応済みかを確認してください。

PHP 8.1 を使っています。どうすればいいですか。

PHPプロジェクトからの修正版は出ません。サポート中のバージョン（8.3 以降がおすすめ）へ移してください。サーバー会社が独自に修正を取り込んでいる場合もあるので、確認もしてください。

すでに攻撃を受けたかどうか、どう分かりますか。

サイトに見覚えのないファイルや管理者がないか、ファイルの更新日時、サーバーのログを確認します。判断が難しい場合は、サーバー会社や専門の事業者に相談してください。

サイトを一時的に閉じたほうがいいですか。

更新できる場合は、更新が先です。更新ができず、サーバー会社も対応していない場合は、公開停止を検討する選択肢が、各国の公的機関の案内にも挙がっています。

お問い合わせフォームを止めれば、安全になりますか。

いいえ。今回の脆弱性は、フォームに限らず、PHPが動くサイト全体に関わります。フォームだけを止めても、解決しません。

この記事で確認できていないこと

• お名前.com以外の、日本のレンタルサーバー各社が、更新済みかどうかは確認できていません。各社の案内をご確認ください。
• お名前.comの案内にある「適用済み」を、利用者の側から外部の検査で確かめる方法は、確認できていません。
• 実際に被害が出ているサイトの数は、確認できていません。
• セキュリティプラグインやWAF製品が、この攻撃をどこまで防げるかは、製品ごとに異なります。確認できていません。

相談のご案内

Nexus株式会社では、ホームページの制作・リニューアルのご相談をお受けしています。依頼前の準備はホームページ制作を依頼する前に準備することにまとめています。PHPのバージョンの確認の仕方や、リニューアルに合わせたPHPの見直し、公開後の更新・保守の進め方など、サイトの運用環境についてお困りの場合は、お問い合わせください。対応できる範囲は、ご相談の内容をうかがったうえでご案内します。

更新履歴

• 2026年10月24日：公開（2026年10月24日時点の情報）