セキュリティ
2026年10月、PHP というプログラムに、重大な脆弱性（弱点）が見つかりました。「PHP2shell」と呼ばれています。WordPress など、PHP で動くホームページを持っている方は、確認が必要です。この記事では、IPA（情報処理推進機構）と PHP の公式サイトの情報をもとに、何が問題なのか、何をすればよいのかを、できるだけやさしく整理します。
PHP2shell は、PHP の2件の脆弱性（CVE-2026-109618 と CVE-2026-109619）を組み合わせたものを指す通称です。PHP の公式サイトによると、どちらも、ログインなどの認証をしなくても、遠隔からサーバー上でプログラムを実行できてしまう（リモートコード実行）可能性がある、重大な脆弱性です。
専門的な内容ですが、ポイントは1つです。条件がそろうと、見ず知らずの第三者が、サーバーの中で、勝手にプログラムを動かせてしまうおそれがある、ということです。
サーバーの中で、他人にプログラムを動かされると、ホームページの改ざん、情報の盗み出し、ほかの攻撃の踏み台にされる、といった被害につながるおそれがあります。
IPA の注意喚起によると、2026年10月26日（現地時間）に、米国の CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の、悪用が確認された脆弱性の一覧（KEV カタログ）に、この脆弱性が掲載されました。一方、IPA は、国内での被害事例は把握していないとしています（2026年10月27日の更新時点）。
IPA によると、次のバージョンより前の版が対象です。修正版は、各系統の最新版です。
| PHP の系統 | 修正版（この版以降） |
|---|---|
| 8.2 系 | 8.2.35 |
| 8.3 系 | 8.3.36 |
| 8.4 系 | 8.4.27 |
| 8.5 系 | 8.5.12 |
修正版は、2026年10月21日に公開されました。いまお使いの PHP のバージョンが、上の表の修正版より古い場合は、更新が必要です。
PHP 8.1 以前は、すでにサポートが終了しており、PHP のプロジェクトからは、更新が提供されません。次の点に注意してください。
PHP の公式サイトによると、PHP 8.2 のセキュリティサポートは、2026年12月31日に終了します。修正版（8.2.35）に更新しても、年が明けると、新しい更新は出なくなります。8.3 は2027年12月31日、8.4 は2028年12月31日、8.5 は2029年12月31日までです。計画的に、新しい版への移行を進めることをおすすめします。
バージョンの判定は、PHPバージョン診断（無料）でも、すぐに確認できます。ホームページ全体の「守り」を確認したい方は、セキュリティのセルフチェックをお使いください。基本の考え方は、ホームページのセキュリティ、何を確認すればいい？でも解説しています。
PHP の更新は、サーバーの設定にかかわるため、ふだんホームページを管理していない方には、難しい作業です。Kairos では、更新や点検を継続してお任せいただく保守プランを用意しています（ライト 月5,000円〜、スタンダード 月15,000円〜、システム保守 月30,000円〜／税込、最低契約6か月）。お客様のサイトの構成によって、確認することが変わりますので、まずはご相談ください。ヒアリングは無料です。蟹江町や近隣の方は、対面でのご相談もできます（蟹江町のホームページ制作）。
この記事は、2026年10月31日時点の公式発表にもとづきます。IPA などが情報を更新することがありますので、最新の内容は、末尾の出典でご確認ください。
Sources
この記事は、公開日時点の情報にもとづきます。最新の情報は、各出典でご確認ください。
FAQ
PHP の2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を組み合わせたものを指す通称です。条件がそろうと、外部の第三者が、サーバー上でプログラムを実行できてしまうおそれがあります。
PHP で動いているサイト（WordPress など）で、PHP のバージョンが修正版より古い場合は対象になりえます。HTML だけで作られたサイトで、PHP を使っていなければ、この脆弱性の影響は受けません。
この脆弱性については、修正版以降であれば、対策済みと考えられます。ただし、WordPress 本体やプラグインなど、ほかの部分の更新も続けることが大切です。
Related