【2026年最新】PHPの重大な脆弱性「PHP2Shell」とは？WordPressへの影響と企業が今すぐ行うべき対策

「PHPに重大な脆弱性が見つかったと聞いたけれど、うちのホームページは大丈夫？」

2026年10月、ホームページの裏側で広く使われているプログラミング言語「PHP」に、深刻なセキュリティ上の問題が公表されました。WordPressを利用している企業はもちろん、お問い合わせフォームやお知らせ機能だけにPHPを使っているサイトも、確認が必要です。

この記事では、今回の「PHP2Shell」と呼ばれる脆弱性の内容、対象となるバージョン、具体的な確認・対策方法を、専門用語をできるだけ使わずに解説します。さらに、Webサイトの制作・保守に携わってきたCIZRIAの視点から、今後の備えについてもお伝えします。

2026年10月に公表されたPHPの重大な脆弱性「PHP2Shell」とは？

PHPは、WordPressやお問い合わせフォームなど、Webサイトの裏側で動く仕組みに使われるプログラミング言語です。2026年10月21日、PHPの開発元は2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）に対応した修正版を公開しました。これらは「PHP2Shell」とも呼ばれています。

問題が悪用された場合、攻撃者がログインせずにサーバー上で不正なプログラムを実行できる可能性があります。深刻度はCVSS v4.0で9.2（Critical）と評価されています。ただし、脆弱性があることと、実際に被害を受けていることは別です。慌ててサイトを停止する前に、利用環境を正確に確認しましょう。

対象となるPHPバージョンと修正済みバージョン

PHPの系統	修正済みバージョン	確認のポイント
8.2系	8.2.35以降	8.2.34以前は要確認
8.3系	8.3.36以降	8.3.35以前は要確認
8.4系	8.4.27以降	8.4.26以前は要確認
8.5系	8.5.12以降	8.5.11以前は要確認
8.1以前	サポート対象系統への移行を推奨	古い環境も影響の可能性

※上記はPHP公式の修正版を基準とした目安です。サーバー会社やOS提供元が独自に修正パッチを適用している場合、表示上のバージョン番号だけでは判断できません。

WordPressを更新すれば解決する？

いいえ。今回の問題はPHP本体の脆弱性です。WordPress本体やテーマ、プラグインを最新版にすることは大切ですが、それだけでPHP2Shellの問題を解決できるわけではありません。PHPの実行環境に修正が適用されているかを別途確認する必要があります。

WordPress以外のホームページにも影響する？

「WordPressを使っていないから大丈夫」とは限りません。例えば、静的なHTMLで作られたサイトでも、問い合わせフォームだけPHPで動いている場合があります。独自開発のお知らせシステムや予約フォームなども確認対象です。

• WordPressサイト：PHP本体とWordPress・プラグインの両方を確認する
• HTML中心のサイト：メールフォームやお知らせなどにPHPを使用していないか調べる
• 独自システム：制作会社やシステム管理者に利用PHPと更新可否を確認する

企業が今すぐ行いたい5つのセキュリティ対策

1. サーバーのPHPバージョンと修正状況を確認する

まずはレンタルサーバーの管理画面でPHPのバージョンを確認します。WordPressでは管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」から確認できる場合もあります。ただし、表示された番号だけで安全と断定せず、サーバー会社のお知らせで修正パッチの適用状況も確認してください。

2. バックアップを取得してから更新する

PHPを更新すると、古いテーマやプラグイン、独自に作成されたプログラムが動かなくなる場合があります。サイトのファイルとデータベースをバックアップし、可能であればテスト環境で表示・フォーム送信・管理画面の動作を確認してから切り替えましょう。

3. WordPressやプラグインも定期的に更新する

今回の脆弱性とは別に、WordPress本体やプラグイン、テーマにもセキュリティ上の問題が見つかることがあります。使っていないプラグインを整理し、更新情報を確認する習慣が重要です。

4. 不審な変更やアクセスの有無を確認する

更新後も、知らない管理者アカウントの追加、不審なファイル、意図しないページの書き換え、アクセスログの異常などがないか確認します。修正プログラムの適用は今後の攻撃への対策であり、すでに侵害されていないことの証明にはなりません。

5. 継続的に点検できる保守体制を整える

脆弱性が発表されるたびに慌てて調べるのではなく、誰が情報を確認し、誰が更新を判断し、問題が起きたら誰に連絡するかを決めておくことが大切です。

CIZRIAの見解：ホームページは「公開後の管理」までが大切

これまで700以上のWebサイト制作に携わる中で、私たちが重要だと感じているのは、公開時の完成度だけでなく、公開後も安心して使い続けられる状態を維持することです。

例えば、数年前に制作したホームページが現在も問題なく表示されていたとしても、内部のPHPやプラグインが古いままになっている可能性があります。「今まで動いていたから安全」とは限りません。一方で、十分な確認をせずPHPだけを更新すると、フォームの送信不具合や画面表示のエラーが発生することもあります。

CIZRIAでは、単にバージョンを新しくするだけでなく、サイトの構成や既存プログラムとの互換性、更新後の動作確認まで含めて判断することが重要だと考えています。セキュリティ対策と安定運用は、どちらか一方ではなく、両立させるべきものです。

CIZRIAができること：ホームページのセキュリティ保守

「何を確認すればよいかわからない」「更新したらサイトが壊れないか不安」という企業様に向けて、CIZRIAではホームページのセキュリティ保守をご案内しています。

• 更新・メンテナンス：WordPressや関連プログラムの更新状況を確認し、必要な対応を検討
• セキュリティ対策：サイトの構成に応じた不正アクセス対策や設定の確認
• バックアップ：万一に備えたデータ保全と復旧への備え
• 相談窓口：専門用語がわからない場合でも、状況を整理してご相談いただける体制

対応範囲はサイト構成やご契約内容によって異なります。サーバー自体の修正パッチ適用はサーバー提供元が行う場合もあり、CIZRIAがすべての攻撃を防止・復旧できることを保証するものではありません。

セキュリティ保守の内容やご相談については、CIZRIAのホームページ安全対策・セキュリティ保守案内ページをご覧ください。

PHPの脆弱性についてよくある質問

PHP 8.3なら今回の脆弱性は問題ありませんか？

いいえ。PHP 8.3系では原則として8.3.36以降が修正版です。ただし、サーバー会社によるバックポート修正がある場合は、バージョン番号だけでは判断できません。

WordPressを使っていない場合も確認が必要ですか？

はい。メールフォームや予約システムなど、一部の機能だけPHPを利用しているサイトも確認が必要です。

PHPを最新版に変更すれば、それだけで安全ですか？

今回の脆弱性への対応として修正済みPHPの適用は重要ですが、すべてのセキュリティリスクがなくなるわけではありません。更新後の動作確認、ほかのソフトウェアの更新、アクセスログの点検なども必要です。

自分でPHPを更新しても大丈夫ですか？

サーバー管理画面から変更できる場合もありますが、古いシステムでは不具合が発生する可能性があります。バックアップを取得し、必要に応じて制作会社や保守担当者に相談してください。

まとめ：PHPの脆弱性をきっかけに、ホームページの安全性を見直しましょう

今回のPHP2Shellは、WordPressだけでなく、PHPを利用する幅広いWebサイトで確認が必要な重大な脆弱性です。まずは利用中のPHPとサーバー提供元の対応状況を確認し、修正済み環境への更新と侵害有無の確認を進めましょう。

そして、今回だけの緊急対応で終わらせず、バックアップ、定期的な更新、相談先の確保といった日常の備えを見直すことが、企業の大切なホームページを守る第一歩です。

CIZRIAでは、Webサイトの制作だけでなく、公開後の運用や保守についてもご相談を承っています。ホームページのセキュリティ保守について詳しくはこちら。

参考情報：IPA：PHPの脆弱性対策について ／ JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起 ／ PHP公式：2026年のリリース情報 ／ 関連記事（Yahoo!ニュース）