PHPの脆弱性PHP2Shell｜あなたのWordPressは大丈夫？【随時更新】

「PHPに重大な脆弱性」というニュースを見て、自社サイトは大丈夫かと不安になった方は多いはずです。

結論からお伝えします。対策の中心は、サーバーのPHPを修正版に更新することです。WordPress本体の更新は要りません（WordPress公式の告知）。

2026年10月21日、PHP（ピーエイチピー）の深刻な脆弱性2件が公表されました。同じ日に修正版も公開されています（PHP公式の発表）。通称は「PHP2Shell（ピーエイチピー・ツー・シェル）」です。ログインしていない外部の人が、サーバー上でプログラムを動かせるおそれがあります。

PHPとは、Webサイトの裏側で動くプログラム言語のことです。例えば、WordPressで作ったサイトは、PHPの上で動いています。

この記事では、何が起きたのか、WordPressは大丈夫か、サイトの置き場所別の対策を順に解説します。冒頭の「最新情報」欄は、公式発表をもとに随時更新しています。

PHP2Shellとは｜何が起きたのかを整理

PHP2Shellとは、PHP本体で見つかった2件の脆弱性の通称です（PHP公式の勧告）。脆弱性とは、プログラムの欠陥のうち、悪用されると被害につながるもののことです。例えば、鍵のかけ忘れのような「すき」を指します。

2件はどちらも、ログイン不要で外からサーバーを操られるおそれがあります（勧告の詳細）。これを「リモートコード実行」と呼びます。

CVEとは、世界共通の脆弱性の番号のことです。例えば、ニュースやサーバー会社の告知で同じ番号を探すと、同じ問題の話かを確かめられます。

なぜ起きたのか｜メモリの後片付けの欠陥

原因は、PHPがアクセスを処理するときのメモリの扱いにあります。メモリとは、プログラムが作業中のデータを置いておく場所のことです。PHP公式の勧告によると、仕組みは次の2つです。

1つ目は、メモリが足りなくなったときの問題です。アクセスの準備の途中でメモリ確保に失敗すると、中途半端なデータが残ります。後片付けの処理がそのデータを使うと、外部のコードを動かされるおそれがあります。

2つ目は、処理が終わったアクセスの情報が残る問題です。PHPは同じ作業員（プロセス）で次々にアクセスを処理します。前のアクセスで片付けたはずのメモリを、次のアクセスが参照してしまう欠陥でした。

どちらも、WordPressやプラグインの作り方とは関係ありません。PHPそのものの欠陥です。

なぜここまで騒ぎになったのか

理由は3つあります。PHPの利用範囲の広さ、深刻度の高さ、そして予定より早い情報の流出です。

PHP Foundationによると、修正版は当初10月22日に公開する予定でした。PHP Foundationとは、PHPの開発を資金や人の面で支える非営利団体のことです。ところが10月20日に番号が流出したため、公開を1日早めました。その直後には、攻撃方法を示す動画が誤って公開されています。

国内でも、IPA（情報処理推進機構。国のIT安全対策を担う機関）が事前に準備を呼びかけました。レンタルサーバー各社も緊急メンテナンスに入りました。

影響を受けるバージョン

影響を受けるのは、修正版より前のPHPです。PHP公式が通常の修正版を出しているのは、8.2・8.3・8.4・8.5の4系統です。7.4・8.0・8.1向けには、自分で組み立てる人向けの最小限の修正だけが公開されています。

※出典：PHP公式ニュース（2026年10月21日）

8.1以前でも影響を受けるという見方があります。IPAは、セキュリティ企業Wizの「5.4以降が影響を受ける」という見解を紹介しています。古い版だから安全、ということはありません。

WordPressは大丈夫？｜本体の更新は不要、PHPの更新が必要

WordPress本体の問題ではないので、本体の更新は要りません。「WordPressを使っているけれど、何をすればいいのか分からない」という声は多いはずです。WordPress公式も「本体の更新は不要」と告知しています。

ただし、WordPressはPHPの上で動いています。サーバーのPHPが古いままだと、WordPressのサイトも狙われます。

つまり、見るべき場所はWordPressの管理画面ではなく、サーバーのPHPです。ここを取り違えると、「WordPressを最新にしたから安心」という誤解が生まれます。

PHPのバージョンを確かめる方法

PHPのバージョンは、サーバーの管理画面で確認します。レンタルサーバーなら、管理画面の「PHPのバージョン設定」のような項目に表示されます。

WordPressの管理者権限があれば、「ツール」→「サイトヘルス」→「情報」→「サーバー」でも確認できます。編集者などの権限だと、この画面は表示されません。

制作会社にサイトを任せている場合は、「PHPのバージョンと、今回の修正が入っているか」を問い合わせるのが近道です。

テーマやプラグインはどうなる？

今回の欠陥はPHP本体にあるため、テーマやプラグインは直接の対象ではありません。これらを更新しても、今回の欠陥は直りません。

ただし、PHPを新しい版に切り替えると、古いテーマやプラグインが動かなくなる場合があります。切り替えの前に、バックアップを取っておくと安心です。

具体的な対策｜サイトの置き場所別にやること

対策は、サイトがどこに置いてあるかで変わります。まず、自社サイトがどちらに当てはまるかを確かめてください。

レンタルサーバーの場合｜4つの手順

レンタルサーバーでは、PHPの更新はサーバー会社が行います。自社でやることは次の4つです。

1. サーバー会社の告知を確認する：今回の修正が適用済みかを見ます。冒頭の「最新情報」欄に主要各社の状況をまとめています。
2. PHPのバージョンを確認する：8.2以上かを見ます。
3. 8.1以前なら、旧版への対応を確かめる：サーバー会社によっては旧版にも独自の修正を当てています。ただしサポートが終わった版なので、8.3や8.4への切り替えも計画します。8.2も年末でサポートが終わります。
4. 切り替え後に表示を確かめる：トップページ、問い合わせフォーム、管理画面にログインできるかを確認します。

ここまでで、多くの中小企業のサイトは対応完了です。

エックスサーバー・さくら・ConoHa WINGなど各社の対応状況

主要なレンタルサーバーの対応状況は、冒頭の「最新情報」欄の表に会社ごとにまとめています。表は各社の公式告知をもとに、1時間ごとに見直しています。

10月22日昼の時点で、エックスサーバーとさくらのレンタルサーバは、8.2〜8.5への修正を終えたと告知しています。カラフルボックスは、7.4〜8.1にも保護措置を済ませたとしています。ConoHa WINGとKAGOYAは、対応を進めている段階でした。その後の動きは冒頭の表で確かめてください。

VPS・自社サーバーの場合｜今日中に更新する

VPSとは、自社で管理する仮想のサーバーのことです。例えば、システム会社に構築してもらったサーバーがこれにあたります。自動で更新が入るかは、サーバーの設定次第です。入った場合も、再起動するまでは古いプログラムが動き続けます。

最初に、PHPの動かし方を確かめます。代表的なものは2つです。

• Apache（アパッチ）のmod_php：Webサーバーソフトの中にPHPを組み込んで動かす方式です。例えば、古くからあるサーバーでよく使われています。
• PHP-FPM：PHPを独立した作業員として動かす方式です。例えば、nginx（エンジンエックス）という高速なWebサーバーソフトと組み合わせる構成が代表例です。

PHP公式によると、mod_phpで動かしている環境が最も危険です。ログインなしで攻撃が成立することが確かめられています。

確認と更新は、次のようなコマンドで行います。Linux（リナックス）とは、サーバーで広く使われる基本ソフトのことです。Ubuntu（ウブントゥ）は、その代表的な種類の一つです。パッケージとは、ソフトを配布元から入れるための単位のことです。

Ubuntuの場合（php8.3 は使っている版に置き換えます）：

# 1. 入っているPHPのパッケージと版を確認
dpkg -l | grep php8.3

# 2. 配布元の修正パッケージに更新
sudo apt update && sudo apt install --only-upgrade 'php8.3*'

# 3. 再起動（PHP-FPMの場合）
sudo systemctl restart php8.3-fpm
# Apacheのmod_phpの場合はこちら
# sudo systemctl restart apache2

# 4. 更新後の版を確認し、配布元のセキュリティ情報の修正版番号と照らし合わせる
dpkg -l | grep php8.3

AlmaLinuxの場合：

# 1. 入っているPHPの版を確認
rpm -q php-common

# 2. 更新情報を取り直してから更新
sudo dnf clean metadata
sudo dnf upgrade 'php*'

# 3. 再起動（Apacheで動かしている場合は httpd）
sudo systemctl restart php-fpm

# 4. 更新後の版を確認し、配布元の告知の修正版番号と照らし合わせる
rpm -q php-common

なお、配布元のパッケージは、修正済みでも版の番号が変わらないことがあります。例えばUbuntu 24.04では、8.3.6のまま修正が入ります（Ubuntuのセキュリティ情報）。修正済みかは、配布元のセキュリティ情報で確かめてください。php -v の表示だけで判断しないのが安全です。

再起動しないと、古いプログラムが動き続けます。AlmaLinux（アルマリナックス）は、企業のサーバーで使われるLinuxの種類の一つです。AlmaLinuxでは、更新のあとに php-fpm、または httpd（AlmaLinuxでのApacheの呼び名）を再起動します（AlmaLinuxの案内）。8.1以前は、サポート中の版へ移行してください。

すぐに更新できないときの応急処置

更新までに時間がかかる場合は、被害を防ぐ手を先に打ちます。IPAは、アクセス制限や外部からの遮断、サービスの一時停止を挙げています。

PHP公式は、設定変更による回避策も示しています。ただし「これでは安全にならない」とも明記しています。あくまで更新までのつなぎです。

WAF（ワフ）とは、不正なアクセスをサイトの入口で止める仕組みのことです。例えば、Cloudflare（クラウドフレア）がその代表です。Cloudflareを使っているサイトには、無料プランでも防御ルールが自動で入っています。これも更新の代わりにはなりません。

PHP公式が示している主な設定は、次の4つです（PHP公式の告知）。どれも、サーバー全体の設定（php.ini やPHP-FPMの設定）で行い、PHPを再起動します。

• session.upload_progress.enabled=0：CVE-2026-109619の確認済みの経路を止めます。
• memory_limit=-1：CVE-2026-109618の経路を減らします。アプリ側から変えられない方法で設定します。
• post_max_size を小さくする：アップロードを使わないなら8M、使うなら32Mが目安です。
• PHP 8.5の場合は fatal_error_backtraces=0 も設定します。

レンタルサーバーでは、これらを利用者が変えられないことが多くあります。その場合は、サーバー会社の修正を待ちつつ、次のアクセス遮断を検討します。

WordPressのメンテナンスモードでは防げない

メンテナンスモードとは、サイトを「準備中」の表示に切り替える機能のことです。例えば、WordPressのプラグインでよく使われます。ただし今回の欠陥は、この方法では防げません。PHP公式によると、mod_phpでは、アプリのコードが動く前に攻撃が成立するためです（PHP公式の告知）。

一時的にサイトを閉じるなら、WordPressより手前の、サーバーの段階で止めます。Apache（アパッチ）やLiteSpeed（ライトスピード）のサーバーなら、.htaccess（ドット・エイチティーアクセス）という設定ファイルで、自社以外のアクセスを拒否できます。

# 自社のIPアドレス以外からのアクセスを拒否する例（Apache 2.4 / LiteSpeed）
# 203.0.113.10 は自社のIPアドレスに置き換える
Require all denied
Require ip 203.0.113.10

レンタルサーバーによっては、管理画面にアクセス制限の機能があります。設定を誤るとサイトに入れなくなるので、変更前の .htaccess を保存してから行ってください。

やってはいけないこと

慌てて対応すると、効かない対策で安心してしまいがちです。次の3つは避けてください。

• WordPressの更新だけで済ませる：PHPの欠陥なので直りません。
• エラー表示を消して安心する：PHP公式は、エラー表示を隠しても効果はないとしています。
• サイト側の設定ファイルだけで回避策を入れる：PHP公式は、サイトごとの設定（.user.ini など）では効かないとしています。設定は、サーバー全体の設定ファイル（php.ini）で行います。

被害を受けていないか確かめるポイント

確かめるのは、管理者ユーザー・プラグイン・最近変わったファイル・予約実行の4つです。修正前に攻撃を受けていないかも、見ておくと安心です。Cloudflareは、攻撃の試行を観測していると公表しています。

次の4点に、見覚えのない変化がないかを見ます。

• WordPressの管理者ユーザー
• インストールされているプラグイン
• サーバー上のファイル（更新日時が最近のもの）
• 予約実行の設定（cron（クーロン）と呼ばれる自動実行の仕組み）

不審な点があれば、サイトを一時停止して、制作会社やサーバー会社に相談してください。バックアップから戻す判断も、専門家と一緒に行うのが安全です。

今回の件から考える｜自社サイトという資産の守り方

普段から備えたいのは、置き場所の一覧、連絡が届く窓口、別の場所へのバックアップの3つです。これがあれば、次に同じことが起きても慌てずに済みます。自社サイトは、記事を積み重ねるほど価値が増える資産です。借りた場所ではないからこそ、守る責任も自社にあります。

弊社（コントリ）は今回、管理している約30サイトについて、置き場所とPHPの状況を当日中に確認しました。手順は、各サイトのサーバー会社を調べ、告知と管理画面でPHPの版を確かめる、という流れです。

大半はエックスサーバーにあり、事業者側の修正で対応済みでした。社内システム用のVPSには、そもそもPHPが入っていないことも確かめました。一方で、置き場所がお客様の契約で、弊社から管理画面を見られないサイトもありました。

そこで弊社が感じた、普段から用意しておきたい備えは次の3つです。

• サイトの置き場所の一覧：どのサーバーに、どの契約で置いてあるか
• 連絡が届く窓口：サーバー会社や制作会社からの告知を誰が受け取るか（担当者交代への備えも同じ考え方です）
• バックアップ：サーバー会社の自動バックアップに加えて、別の場所にも保存する

一時的な話題で終わらせず、この機会に一覧を作っておきましょう。長く発信を続けるための、地味ですが大切な土台。自社サイトを持つ意味を考えるきっかけにもなります。

まとめ

PHP2Shellは、PHP本体の欠陥です。ログインなしでサーバーを操られるおそれがあり、深刻度は10点満点で9.2です。

対策の中心は、サーバーのPHPを修正版に更新すること。WordPress本体の更新は要りません。

• レンタルサーバー：告知とPHPの版を確認し、8.1以前なら旧版への対応を確かめて切り替えを計画する
• VPS・自社サーバー：今日中に更新し、PHP-FPMやApacheを再起動する
• 制作会社に任せている：対応状況と完了日を問い合わせる

最新の状況は、冒頭の「最新情報」欄で随時お知らせします。

参考にした一次情報

2026年10月22日に、次の公式ページで内容を確認しています。

関連記事：

• ワードプレス バックアップ｜中小企業の発信担当者が月1回安全に運用する手順
• BackWPup設定方法｜中小企業のWP資産を守る運用手順
• オウンドメディアの引き継ぎ手順｜担当者交代でも更新を止めない仕組み

よくある質問（FAQ）

Q1. PHP2Shellとは何ですか？

PHP本体で見つかった2件の脆弱性（CVE-2026-109618とCVE-2026-109619）の通称です。ログインしていない外部の人が、サーバー上でプログラムを動かせるおそれがあります。2026年10月21日に修正版が公開されました（PHP公式）。

Q2. WordPressを最新版にすれば大丈夫ですか？

WordPressの更新では直りません。欠陥はWordPressではなく、その土台のPHPにあるためです。WordPress公式も、本体の更新は不要で、PHPの更新が必要だと告知しています。

Q3. レンタルサーバーを使っています。自分で何かする必要はありますか？

PHPの更新はサーバー会社が行います。自社では、サーバー会社の告知で適用状況を確認し、PHPの版が8.2以上かを確かめてください。8.1以前の場合は、まず告知で旧版への対応を確かめます。そのうえで、8.3や8.4への切り替えを計画してください。

Q4. PHPのバージョンはどこで確認できますか？

サーバーの管理画面で確認できます。WordPressの管理者権限があれば、「ツール」→「サイトヘルス」→「情報」→「サーバー」でも確認できます。制作会社に任せている場合は、問い合わせるのが確実です。

Q5. 問い合わせフォームを外部サービスにしていれば安全ですか？

安全とは言えません。今回の欠陥は、フォームの有無に関係なく、PHPで動くサイト全体が対象です。外部のフォームサービスは、個人情報を自社サーバーに置かずに済む点では有効です。

Q6. 8.1以前から切り替えると、サイトが壊れませんか？

古いテーマやプラグインが新しいPHPに対応していないと、表示が崩れる場合があります。切り替え前にバックアップを取り、切り替え後にトップページ・フォーム・管理画面を確認してください。不安な場合は制作会社と日程を決めて進めると安全です。

この記事の著者

飯塚 昭博

Akihiro Iitsuka

コントリ株式会社 代表取締役

青山学院大学卒業後、自動車会社にて年間180億円規模の設備調達を担当。中小企業経営者の想いに触れる中でその価値を伝えることに使命を感じ、2023年独立。経営者インタビューメディア「コントリ」を運営し、100社以上の経営者を取材。SEO・AI活用・発信設計を通じて中小企業の「伝わる発信」を支援している。

comtri.jp ハッシンラボ note