PHPの脆弱性「php2shell」で何が起きたか｜WordPressサイトの持ち主が確認すること

2026年10月21日、PHP（WordPressなどを動かしているプログラムの言語）に深刻な脆弱性が見つかったとして、国内外で一斉に注意喚起が出ました。通称は「php2shell」です。

「うちのサイトもWordPressだけど、何かしないといけないの？」。ニュースを見て、こう思った方も多いはずです。

先に結論を書きます。レンタルサーバーを使っている多くの会社では、サイトの持ち主が自分で作業することはほとんどありません。直すのはサーバー会社です。

ただし、確認だけはしておく必要があります。この記事では、何が起きたのかを専門用語を減らして整理し、サイトの持ち主が今日やることを絞ってお伝えします。情報は2026年10月22日時点のものです。

何が起きたのか：PHPそのものに「外から乗っ取れる穴」が見つかった

ニュースの見出しだけでは、何がどう危ないのか分かりにくかったと思います。順番に整理します。

見つかったのは、PHPの中にある2件の脆弱性です（番号はCVE-2026-109618とCVE-2026-109619）。どちらも、ログインしていない第三者が、外からサーバー上で好きなプログラムを動かせるおそれがあるという種類のものでした。

たとえるなら、建物の鍵ではなく建物の土台にすき間があったような状態です。WordPressもプラグインもその上に建っているので、上の階をどれだけ固めても、土台のすき間はふさがりません。

PHPの公式発表では、Webのリクエストを処理しているPHPのすべての環境が対象とされています。深刻度は、PHP側の評価で10点満点の9.2です。

経緯を表にまとめます。時刻は日本時間です。

本来は修正版と同時に公表されるはずの情報が、先に漏れました。そのため「直す手段がない時間」に騒ぎだけが先に広がったのが今回の特徴です。夕方から夜にかけて、慌ただしい空気になったのはこのためです。

悪用の状況について、米国のCISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）は、注意喚起の時点では悪用を確認していないとしています。一方で、攻撃の試みを観測したと発表した調査会社もあります。「まだ被害はない」とも「もう攻撃されている」とも言い切れない状況です。

WordPressを最新にしても、今回の件は直りません

いちばん誤解されやすいのがここです。

WordPressの管理画面で「更新」ボタンを押すと、WordPress本体とプラグインが新しくなります。普段のセキュリティ対策としては、これがとても効きます。

ところが今回の穴があるのは、その一段下のPHPです。PHPは管理画面からは更新できません。更新するのは、サーバーを管理している会社です。

つまり、誰が直すかは、サーバーの契約の形で決まります。中小企業のサイトで多いのは次の2パターンです。

共用のレンタルサーバー（月額数百円〜数千円で借りる一般的な形）なら、PHPの更新はサーバー会社の仕事です。今回も各社が緊急メンテナンスで対応しています。

自社や制作会社が管理するサーバー（VPSや専用サーバー）なら、更新するのはそのサーバーを管理している人です。誰かが手を動かさない限り、穴は開いたままです。

当メディアもWordPressで作っていて、レンタルサーバーのConoHa WINGで動いています。ConoHaからは、21日19時からの保守作業と、22日12時〜21時のサーバー再起動を伴うメンテナンスの告知が届きました。ConoHaの発表では、利用中のPHPのバージョンのままパッチを当てるので、利用者がバージョンを変える必要はないとされています。ファイルマネージャーとWebメールは、予防のため一時停止中です。

ほかにも、さくらのレンタルサーバやロリポップ！などが21日に緊急メンテナンスを告知しています。ただし告知の中には、PHPの件だと明記していないものもあります。

サイトの持ち主が確認すること4つ

「何をすればいいのか分からない」という方のために、確認を4つに絞りました。上から順に見てください。

1. サイトがどのサーバーで動いているかを知る

意外と、ここが分からない会社が多いです。

制作の相談でサイトを拝見すると、サーバーの会社名をご存じない方は珍しくありません。制作会社がまとめて契約していて、請求書にもサーバーの名前が出てこない、ということもあります。

分からなければ、制作会社か、サイトを作ってくれた担当者に聞いてください。毎月や毎年の請求書に、サーバー会社の名前が書かれていることもあります。

2. サーバー会社のお知らせで「対応済み」かを確かめる

会社名が分かったら、その会社の公式サイトの「お知らせ」や「メンテナンス情報」を開きます。

PHPの脆弱性への対応が書かれていれば、それを読んでください。今回は、利用者の作業は不要と案内している会社もあります。その場合は、基本的に待つだけで大丈夫です。

注意したいのは、VPSや専用サーバーを使っている場合です。サーバー会社のお知らせに「対応しました」とあっても、それは共用サーバーの話で、VPSの中のPHPは対象外ということがあります。VPSの中身は、借りた側が管理するのが普通だからです。

3. PHPのバージョンが古すぎないかを見る

WordPressの管理画面から確認できます。「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」の欄に、PHPのバージョンが表示されます。

見るのは、先頭の数字だけで構いません。8.2より古い（8.1、8.0、7.4など）場合は要注意です。PHPの公式は、8.1以前をもう更新していないためです。今回もPHPのセキュリティチームが最低限の修正を用意しましたが、それを当てるかどうかはサーバー会社次第です。

また、8.2も2026年12月31日でサポートが終わる予定です。今が8.2なら、年内に上げる計画を立てておいてください。PHPを上げると古いプラグインが動かなくなることがあるので、作業前のバックアップは必須です。

4. 誰がサイトを見ているのかを決めておく

今回、慌てた会社の多くは、ここが決まっていなかったはずです。

「制作会社が見てくれているはず」と思っていたら、保守契約にサーバーの管理が入っていなかった。こういうすれ違いは、普段のセキュリティ対策でもよく起きます。くわしくはホームページのSSL・セキュリティ｜最低限やることと放置のリスクで書きました。

保守費用に何が含まれているかは、ホームページの維持費・保守費用の相場と照らし合わせてみてください。

※自社のサイトがどこで動いていて誰が管理しているのか分からない場合も、無料でご相談いただけます。確認する順番をお伝えします。

今回の件で「効かない対策」と、気をつけたい営業

騒ぎが大きいときほど、効果のない対策や、不安につけこむ話が出回ります。先に知っておくと、余計なお金を使わずに済みます。

3つとも、WordPressの層での対策だからです。PHPの公式発表では、条件によってはサイトのプログラムが動き出す前の段階で攻撃が成立する例が示されています。WordPressが動く前に起きることは、WordPressの中の対策では止められません。

WAF（不正な通信を手前で止める仕組み）は、ある程度の防御になります。CISAも、更新が終わるまでの部分的な防御として使うよう勧めています。ただしあくまでつなぎで、本当の解決はPHPの更新だけです。

もう一つ、気をつけたいのが営業です。こうしたニュースの直後には、「今すぐ対策しないと危ない」という電話やメールが増えます。その場では決めず、まずサーバー会社のお知らせを確認してください。共用サーバーなら、追加でお金を払わなくても対応が終わっていることがほとんどです。

どの作り方を選んでも、穴がなくなるわけではありません

今回のような件は、これからも起きると考えておいたほうが安全です。

PHPの財団は、AIを使った調査が増えたことで脆弱性の報告が増えていると説明しています。7月以降だけで15件のCVE（脆弱性に付く番号）を公開したそうです。古い穴が掘り起こされる速度が上がっていると言えます。

では、サーバーの管理を自分で持たないクラウド型の制作サービスなら安心かというと、そうとも言い切れません。

実際に今月、あるクラウド型の制作サービスで、運営会社への不正アクセスが公表されました。登録しているすべての利用者が対象で、サイトのフォームに送信された内容も流出した可能性があるとされています。

WordPressは、土台の管理を自分たちや制作会社で引き受ける作り方です。クラウド型は、それを運営会社に預ける作り方です。預ければ手間は減りますが、運営会社で事故が起きたときは、利用者全員が同時に影響を受けます。

どちらが安全という話ではありません。違うのは事故が起きる場所です。だからこそ、前の章の4つめ、誰がサイトを見ているのかを決めておくことが効いてきます。

もう一つ、どの作り方でも今日から見直せるのが、問い合わせフォームで集める情報です。使わない項目は、最初から集めない。集めていない情報は、漏れようがありません。項目の考え方は問い合わせフォームの作り方に書いています。

よくある質問

参考情報

• PHP News Archive 2026（セキュリティ勧告）｜PHP.net
• 【事前準備のお願い】PHPのセキュリティリリース公開予定について｜IPA
• Critical Vulnerabilities in PHP Require Immediate Patching｜CISA（英語）
• Today’s PHP security release and how we’re strengthening PHP security｜The PHP Foundation（英語）
• 【重要】PHPの脆弱性への弊社対応について｜ConoHa WING

関連記事

• ホームページのSSL・セキュリティ｜最低限やることと放置のリスク
• ホームページの維持費・保守費用の相場｜月額の内訳と抑え方
• 問い合わせフォームの作り方｜項目を増やすと数が減り、減らすと質が落ちる
• ホームページ制作の見積書の読み方｜項目別チェックと相見積もりの比べ方
• ホームページのドメイン・データ・著作権は誰のもの？｜制作会社を変えるときに困らないために

まとめ

10月21日のphp2shellは、WordPressなどを動かすPHPそのものに見つかった深刻な穴でした。修正版はすでに出ています。

直すのは、多くの場合サイトの持ち主ではなくサーバー会社です。WordPressの更新ボタンでは直りません。

今日やることは4つです。サーバーがどこかを知る。その会社のお知らせで対応済みかを確かめる。PHPのバージョンが8.2より古くないかを見る。そして、誰がサイトを見ているのかを決める。

一番効くのは4つめです。担当が決まっていれば、次に同じことが起きても、連絡ひとつで済みます。