ニュース / PHP / セキュリティ
PHPに重大な脆弱性「PHP2Shell」｜影響するサイトと今すぐ確認したい対策
PHPを使ってWebサイトを動かしているなら、いま一度サーバーの設定を確認しておきたいニュースです。PHP開発チームは2026年10月21日、外部からの不正なコード実行につながるおそれがある2件の重大な脆弱性を修正しました。WordPressを使っている人も、サイト本体の更新だけで済ませず、PHPのバージョンを確認する必要があります。
30秒でわかるこの記事の要点
- 深刻度
- CVSS 9.2 / Critical
- 脆弱性
- CVE-2026-109618 / 109619
- 修正公開
- 2026年10月21日
- 必要な対応
- PHP本体を更新
PHPの重大な脆弱性「PHP2Shell」に対し、修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されました。サイトをPHPで動かしている場合は、まずサーバーのバージョンを確認し、修正が適用されているか確かめてください。
WordPressもPHPを使用しますが、今回直すべきなのはWordPress本体ではなく、その下で動くPHPです。WAF（Webアプリケーションファイアウォール）による防御だけでは修正の代わりになりません。
PHP2Shellとは？ ログインなしの攻撃が問題に
今回公表されたのは、CVE-2026-109618とCVE-2026-109619の2件。どちらも深刻度はCVSS v4.0で9.2です。PHPの内部でメモリの扱いに問題が生じ、攻撃者が認証を通らずにサーバー側でコードを実行できるおそれがあります。
難しい話に見えますが、ポイントは「WordPressのパスワードが漏れたら危険」という種類の問題ではないこと。PHPそのものに関わるため、サイトのログイン画面を守るだけでは十分とはいえません。
WordPressだけではない。どんなサイトが対象？
PHP公式は、Webリクエストを処理するPHP環境全般を対象としています。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどが挙げられ、とくにmod_phpではアプリケーションの処理前に攻撃を成立させる実証例があると説明しています。
WordPress、LaravelなどPHPで動くサイトを運営している人は要確認です。ただし、PHPを使用しているからといって、すべてのサイトが侵害されたという意味ではありません。まずは使っているPHPのバージョンと、提供元の修正状況を確認しましょう。
一方、Astroなどで作った静的HTMLだけを配信し、サーバーでPHPを実行していないサイトは、今回のPHP実行環境の脆弱性を直接受けません。別のPHP製APIや管理画面を併用している場合は、その部分を個別に調べる必要があります。
更新すべきPHPのバージョンは？
PHP 8.5系は「8.5.12」、PHP 8.4系は「8.4.27」、PHP 8.3系は「8.3.36」、PHP 8.2系は「8.2.35」が今回の修正版です。これらより古い同系列のバージョンを使っているなら、更新を優先してください。
PHP 8.1以前はPHP公式の通常サポートが終了しています。一部のLinuxディストリビューションや長期サポート事業者が修正をバックポートしている場合もあるため、数字だけで判断せず、契約先の案内とパッチ適用状況を確認することが大切です。
PHP 8.2も2026年12月31日に公式サポート終了予定です。今回の修正版に更新して終わりではなく、次のバージョンへの移行計画も立てておきたいところです。
WordPressでPHPのバージョンを確認する方法
WordPressの管理画面を開き、「ツール」→「サイトヘルス」→「情報」→「サーバー」と進むと、利用中のPHPバージョンを確認できます。WordPress公式も、この画面からの確認方法を案内しています。
レンタルサーバーを使っているなら、サーバー管理パネルの「PHP設定」「PHPバージョン」なども確認しましょう。項目名は事業者によって異なります。よく分からない場合は、契約しているホスティング会社に「PHP2Shellへの修正は適用済みですか」と問い合わせるのが確実です。
自分でサーバーを管理している場合、ターミナルの「php -v」でもバージョンを確認できます。ただし、コマンドライン用PHPとWebサイトを処理するPHP-FPMなどのバージョンが異なることがあるため、実際のWeb実行環境まで確認してください。
対策の優先順位。WAFだけに頼らない
まずサイトとデータベースのバックアップを確保し、利用中のプラグイン・テーマ・アプリとの互換性を確認したうえで、サーバー側のPHPを更新します。共有サーバーではホスティング会社が更新を担当する場合もあるので、パッチの適用状況を確認しましょう。
PHP公式は、設定変更やWAFで一部の攻撃経路を減らすことはできても、完全な対策にはならないと説明しています。「WAFがあるから後回しでいい」とは考えず、修正済みPHPへの更新を優先してください。
すぐに更新できない場合は、まずサーバー管理者や提供事業者に相談を。公的なセキュリティ機関は、十分な対策が取れないシステムの一時停止も選択肢として挙げています。公開を続けるかどうかは、サイトの役割と影響を考えて判断する必要があります。
AIが発見に関わった？ Gemini 4 Argonの役割
今回の話題では、脆弱性そのものに加えて、発見や修正作業にAIが使われたことも注目されています。Google Cloudは、Wiz Researchが複数のAIモデルを活用し、Gemini 4 Argonが脆弱性の特定、攻撃検証、検知、修正の確認に貢献したと説明しています。
ただ、サイト運営者にとって重要なのは発見に使われたAIの名前よりも、修正が適用されているかどうか。ニュースを見て不安になった人は、まずPHPの実行環境を確認するところから始めましょう。
購入・利用前に確認したいこと
WordPress本体やプラグインだけを更新しても、サーバー側のPHPが古いままなら今回の問題は解消しません。
PHP 8.1以前は公式の通常サポートが終了しています。事業者によるバックポートの有無を確認し、可能ならサポート中の系統へ移行してください。
更新後はサイトの表示、フォーム送信、ログイン、主要プラグインなどを確認しましょう。万一、侵害の兆候がある場合は管理者・専門家への相談が必要です。