2026年10月に公表されたPHPの重大な脆弱性「PHP2Shell」について、PHP公式は10月21日に緊急修正版を公開しました。WordPressを運営している場合は、PHPのバージョンと修正パッチの適用状況を確認することが最優先です。
今回のPHP脆弱性2026では、CVE-2026-109618とCVE-2026-109619の2件が確認されています。条件によっては、攻撃者が認証なしでサーバー上のコードを実行する可能性があり、WordPressが最新版でも、PHPが未修正なら影響を受けるおそれがあります。
一方、Webサイトを見るだけの一般利用者は、通常、自分のスマートフォンやパソコンでPHPを更新する必要はありません。 対応が必要なのは、主にPHPを実行しているサーバーの管理者やサイト運営者です。
この記事では、PHP2Shellの対象バージョンと修正版、WordPressへの影響、PHPアップデート方法、レンタルサーバーの確認方法、緊急時の対策を公式情報に基づいて整理します。
※情報確認日：2026年10月22日。各サーバーへのパッチ適用状況は随時変更される可能性があります。
※この記事はプロモーションを含みます。
目次[閉じる]
PHP脆弱性2026「PHP2Shell」とは？対象バージョンと危険性
PHP2Shellは、Webサイトの動作に広く利用されているプログラミング言語「PHP」で発見された重大なセキュリティ問題です。
PHPはWordPressをはじめ、多くのWebサービスのサーバー側で使用されています。そのため、脆弱なPHPが稼働している環境では、Webサイト本体のプログラムに問題がなくても影響を受ける可能性があります。
PHP2Shellとは？CVE-2026-109618・109619の内容と危険性
PHP2Shellとは、2026年10月に公開されたPHP本体の2件の重大な脆弱性を指す名称です。
対象となるCVE番号は「CVE-2026-109618」と「CVE-2026-109619」です。いずれもCVSS v4.0で9.2と評価されており、深刻度は「Critical（緊急）」に分類されています。
CVSSとは、ソフトウェアの脆弱性がどの程度深刻なのかを共通の基準で評価する仕組みです。9.2というスコアは、早急な対処が必要な重大な問題であることを示しています。
今回の問題は、PHPが内部のメモリを処理する仕組みに関係しています。
| CVE番号 | 脆弱性の内容 | 想定される影響 |
|---|---|---|
| CVE-2026-109618 | メモリ不足時の不適切な状態処理 | リモートコード実行 |
| CVE-2026-109619 | 以前のリクエストで使用した内部状態の不適切な再利用 | リモートコード実行やメモリ内情報へのアクセス |
リモートコード実行（RCE）とは、攻撃者が離れた場所から対象のサーバーに不正なプログラムを実行させることです。
攻撃が成立すると、サーバー内の情報が不正に読み取られたり、Webサイトの動作が妨害されたりするおそれがあります。ただし、どのような被害が発生するかはサーバーの構成やPHPプロセスの権限などによって異なります。
今回の脆弱性については、セキュリティ研究者による攻撃の実証が報告されています。ただし、攻撃可能性が確認されたことと、すべてのWebサイトで実際に侵害が発生したことは別です。
詳しい技術情報は、PHP公式のCVE-2026-109618セキュリティアドバイザリとCVE-2026-109619セキュリティアドバイザリで公開されています。
PHP脆弱性2026の対象バージョンは？修正版一覧
2026年10月21日、PHP開発チームはPHP2Shellに対応する緊急セキュリティリリースを公開しました。
PHP公式で修正が提供されたバージョンは、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。
自分が利用しているPHP系列と、修正版の番号を比較してください。
| PHP系列 | 影響する上流バージョン | 修正版 |
|---|---|---|
| PHP 8.5 | 8.5.11以前 | 8.5.12 |
| PHP 8.4 | 8.4.26以前 | 8.4.27 |
| PHP 8.3 | 8.3.35以前 | 8.3.36 |
| PHP 8.2 | 8.2.34以前 | 8.2.35 |
| PHP 8.1以前 | 旧バージョンも影響対象 | 上流サポート終了。提供元の修正状況を確認 |
例えば、PHP 8.4.26を利用している場合、PHP公式が今回の問題を修正したバージョンは8.4.27です。
ただし、上の表はPHP公式が配布するバージョンに基づいています。
UbuntuなどのLinuxディストリビューションでは、新しいPHPに変更せず、古いバージョンにセキュリティ修正を取り込む「バックポート」が行われる場合があります。
そのため、画面に表示されるバージョン番号が古いからといって、必ず未修正であるとは限りません。
反対に、修正版がPHP公式から公開されていても、利用中のレンタルサーバーやクラウド環境に適用されていなければ、対処は完了していません。
PHPの公開履歴についてはPHP公式リリース情報を参照してください。
Linuxのパッケージを利用している管理者は、PHP公式の番号だけでなく、OS提供元のセキュリティ情報も確認する必要があります。
PHP脆弱性2026は一般人にも影響する？何をすればよい？
今回のPHP脆弱性について、一般的なWebサイト閲覧者が自分のスマートフォンやパソコンのPHPを更新する必要は通常ありません。
PHP2Shellで主に問題になるのは、Webサイトを提供しているサーバー側のPHPです。
ただし、利用している通販サイトや会員サービスが侵害された場合は、一般利用者の情報にも間接的な影響が及ぶ可能性があります。
立場によって必要な行動は異なります。
| 利用者 | 確認すること | 必要な対応 |
|---|---|---|
| 一般のWeb閲覧者 | 利用サービスの公式告知 | 通常はPHP更新不要。不審な連絡に注意 |
| WordPressブログ運営者 | PHPバージョンとサーバー会社の対応 | 必要に応じて更新 |
| ECサイト運営者 | 修正適用、重要機能、侵害の兆候 | 運用担当者と緊急対応 |
| 企業のシステム管理者 | PHPを実行するサーバー・アプリ | 対象環境の調査とパッチ適用 |
WordPressで個人ブログを運営している場合は、レンタルサーバーを契約しているだけでも確認が必要です。
一方、ニュースサイトを読む、通販サイトで買い物をする、検索サイトを利用するといった通常の行動だけで、利用者がPHPの設定を変更する必要はありません。
一般利用者は、利用中のサービスから正式なセキュリティ通知が届いていないかを確認し、パスワード変更を装う不審なメールや偽サイトへの誘導に注意してください。
WordPressのPHP脆弱性はどう確認する？更新方法と注意点
WordPressはPHPを利用して動作するため、PHP2Shellの影響を受ける可能性があります。
ただし、今回の脆弱性はWordPress本体ではなくPHPの実行環境に存在します。
WordPressのバージョンとPHPのバージョンを別々に確認することが重要です。
WordPressはPHP2Shellの影響を受ける？最新版でも危険？
WordPressが最新版でも、サーバー側で脆弱なPHPを使用していればPHP2Shellの影響を受ける可能性があります。
WordPress.org日本語版は2026年10月21日、今回のPHP脆弱性について公式に注意喚起しました。
その中では、今回の問題はWordPress固有の脆弱性ではなく、PHPを利用するWebアプリケーション全般に関係すると説明されています。
また、PHP2Shellへの対応を目的としたWordPress本体のアップデートは不要と案内されています。
つまり、WordPressを更新しただけではPHP2Shellへの対策は完了しません。
一方、PHPを更新したからといって、WordPress本体やプラグイン、テーマの通常のセキュリティ更新を省略してよいわけでもありません。
それぞれ異なるソフトウェアであり、更新する目的も異なるためです。
- WordPress本体：WordPressコアに関する問題への対応
- PHP本体：PHP2ShellなどPHPランタイムの脆弱性への対応
- プラグイン：各拡張機能の不具合・脆弱性への対応
- テーマ：デザインやテーマ機能に関する問題への対応
WordPress利用者は、まずPHPの修正状況を確認してください。
出典：WordPress.org日本語「PHP の重大なセキュリティリリース」（2026年10月21日）
WordPressのPHPバージョンを確認する方法【サイトヘルス】
WordPressのPHPバージョンは、管理画面にある「サイトヘルス」から確認できます。
専門的なプログラムやサーバー操作は必要ありません。
確認手順は次のとおりです。
- WordPressの管理画面にログインする
- 左側メニューから「ツール」を選ぶ
- 「サイトヘルス」をクリックする
- 画面上部の「情報」タブを選ぶ
- 「サーバー」の項目を開く
- 表示された「PHPバージョン」を確認する
例えば「PHP 8.3.35」と表示された場合、PHP公式の今回の修正版は8.3.36です。
ただし、実際に修正が適用されているかは、利用しているサーバーの提供方式によって判断が変わる場合があります。
特にレンタルサーバーでは、独自に修正を適用している場合もあるため、バージョン表示だけで最終判断しないでください。
確認後は、次の項目をチェックします。
- 現在のPHPバージョンを確認した
- PHP公式の修正版番号と比較した
- サーバー会社のセキュリティ告知を確認した
- 修正済みか不明な場合はサポートに問い合わせた
なお、PHPの設定情報を確認するために、詳細なサーバー情報を表示するファイルを安易に公開することは避けてください。
サーバーの設定情報が第三者に見える状態になると、別のセキュリティリスクにつながる可能性があります。
PHPアップデートの方法は？レンタルサーバー別の確認手順
PHPのアップデート方法は、契約しているレンタルサーバーによって異なります。
国内の共用レンタルサーバーでは、PHPの更新をサーバー会社が実施する場合と、利用者が管理画面からバージョンを切り替える場合があります。
まずは、利用中のサーバー会社がPHP2Shellにどのように対応しているかを確認しましょう。
| サーバー会社 | 確認する場所 | 必要な確認 |
|---|---|---|
| エックスサーバー | 公式サイト | PHP設定とセキュリティ告知 |
| ConoHa WING | 公式サイト | PHP設定とメンテナンス情報 |
| ロリポップ！ | 公式サイト | PHPバージョンと対応状況 |
| さくらのレンタルサーバ | 公式サイト | PHP設定と運用情報 |
| mixhost | 公式サイト | PHPの切り替えと更新状況 |
2026年10月22日の調査時点では、上記すべての事業者について、全契約プランへのPHP2Shell修正適用完了を確認できていません。
このため、表に掲載していることが「対応完了」または「未対応」を意味するわけではありません。
サーバー会社の管理画面でPHPのバージョンを変更できる場合でも、すぐに切り替える前に公式の案内を確認してください。
特にPHP 8.1などの旧バージョンから新しい系列へ移行する場合、WordPressのプラグインやテーマが対応していないことがあります。
また、ホスティング会社が修正パッチを独自に適用している場合は、利用者がバージョンを変更しなくても対策が反映されている可能性があります。
対応状況が分からない場合は、サーバー会社に次の内容を問い合わせると確認しやすくなります。
- CVE-2026-109618とCVE-2026-109619の両方に対応済みですか？
- 現在契約しているサーバーに修正は適用されていますか？
- 利用者側でPHPバージョンを変更する必要がありますか？
- 旧バージョンにセキュリティ修正を適用している場合、その対象は何ですか？
個人でサーバーを管理している場合は、サーバーOSやパッケージ管理システムの公式情報を確認して修正を適用してください。
PHP更新前のバックアップとプラグイン互換性の注意点
PHPをアップデートする前には、WordPressのバックアップとプラグイン・テーマの互換性確認が重要です。
PHPの新しいバージョンでは、古いプログラムが正常に動作しなくなることがあります。
例えば、PHP更新後にWordPressの管理画面が表示されなくなったり、問い合わせフォームが正常に送信されなくなったりするケースが考えられます。
更新前には次の項目を確認してください。
- WordPressのファイルをバックアップする
- データベースをバックアップする
- バックアップから復元できる方法を確認する
- 使用中のプラグインが変更先のPHPに対応しているか確認する
- テーマの対応状況を確認する
- 可能であればステージング環境で動作確認する
- 問題が発生した場合の問い合わせ先を確認する
特にECサイトや会員制サイトなど、停止すると利用者に影響が出るサービスでは、更新の計画と検証が重要です。
ただし、今回のように重大な脆弱性が公表されている場合は、互換性への不安だけを理由に対策を長期間先延ばしにすることも危険です。
すぐに新しいPHPへ移行できない場合は、サーバー提供元や保守会社に相談し、修正パッチや一時的なリスク軽減策を確認しましょう。
PHP2Shellの緊急対策は？パッチ適用と更新後の確認
PHP2Shellへの根本的な対策は、脆弱性を修正したPHPを実際の稼働環境に適用することです。
WAFなどによる防御も役立ちますが、PHP本体の更新と同じものではありません。
ここでは、修正パッチの状況と更新できない場合の注意点、更新後の確認方法を整理します。
PHP2Shellの修正パッチは公開済み？今すぐ行う対策
PHP2Shellの修正パッチは、2026年10月21日に公開されています。
PHP開発チームは、CVE-2026-109618とCVE-2026-109619に対応するセキュリティリリースとして、PHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。
今回の2件について、PHP公式は完全な緩和策がないことを説明し、修正版への更新を求めています。
確認・対応の順番は次のとおりです。
- PHPを使用しているWebサイトやシステムを把握する
- 現在のPHPバージョンを確認する
- PHP公式またはOS・サーバー提供元の修正情報を確認する
- 必要なセキュリティ更新を適用する
- 実際に動作中のPHPにも更新が反映されたことを確認する
- Webサイトの主要機能を動作確認する
なお、修正パッチが公開されたことと、すべてのWebサイトで対策が完了したことは異なります。
レンタルサーバーの更新タイミングや、独自に構築したPHP環境によっては、対応までに時間がかかる場合があります。
公式情報：PHP開発チームの2026年10月21日セキュリティリリース
PHP2ShellはWAFだけで防げる？更新できない場合の対処
WAFを導入していても、PHP2Shellへの対策が完全に終わったとは判断できません。
WAF（Web Application Firewall）は、Webサイトに送られる不審な通信を検知・遮断するための仕組みです。
Cloudflareは2026年10月21日、PHP2Shellに対応するWAF保護を展開したと公表しています。
ただし、WAFは主に攻撃を受ける経路を制限するものであり、PHP本体の脆弱な処理を修正するものではありません。
PHP公式は、すぐに更新できない場合の暫定的な緩和策として、PHP設定やリクエスト処理に関する対策を公開しています。
例えば、セッションのアップロード進捗機能やメモリ制限に関連する設定の見直しなどが挙げられています。
しかし、これらの設定は利用環境によって必要性や副作用が異なります。設定変更によって既存のアプリケーションに影響が出る可能性もあるため、初心者が公式手順を確認せず変更することは避けてください。
更新できない場合の選択肢には、次のようなものがあります。
- サーバー会社が提供する修正パッチを確認する
- 公式案内に基づくWAF保護や緩和策を確認する
- 公開範囲を必要最小限に制限する
- 重大なリスクを緩和できない場合、専門家と相談してサイトの一時停止を検討する
PHP 8.1以前など、上流サポートが終了しているPHPを使用し、適切な修正を適用できない場合は、特に慎重な判断が必要です。
WordPress.orgも、直ちに対策できない自己管理サーバーでは、更新までの間にオフライン化を検討するよう案内しています。
出典：Cloudflare公式のPHP2Shell保護情報、WordPress.org公式注意喚起
PHPアップデート後は何を確認する？不具合と侵害のチェック
PHPをアップデートした後は、修正が実際のWebサイトに反映されているかと、WordPressが正常に動作しているかを確認します。
PHPのアップデート自体が成功しても、プラグインやテーマの互換性問題によってサイトの一部が正常に動作しなくなることがあります。
更新後は次の項目を確認してください。
- PHPの修正版または修正済みパッケージが適用されている
- WordPressの管理画面にログインできる
- トップページと主要記事が正常に表示される
- 問い合わせフォームが正常に動作する
- 画像のアップロードができる
- メール送信機能が正常に動作する
- ECサイトの場合は購入・決済などの重要機能が利用できる
- PHPエラーやサーバーログに異常がないか確認する
また、PHP-FPMやWebサーバーの稼働プロセスが古いPHPの状態を保持している場合があります。VPSなどを自分で運用している場合は、提供元の手順に従い、必要なサービス再起動も確認してください。
さらに注意したいのは、PHPを更新しても、過去に発生した不正アクセスの影響が自動的に解消されるわけではないことです。
例えば、既に不正なファイルを設置されていた場合、PHPの脆弱性を修正するだけではそのファイルが削除されるとは限りません。
不審な管理者アカウント、見覚えのないファイル、意図しないページの改ざんなどがある場合は、ログの保全と専門家による調査を検討してください。
侵害が疑われるときは、調査に必要な証拠を消してしまわないよう、むやみにファイルを削除せず、ホスティング会社やセキュリティ担当者に相談することが大切です。
よくある質問｜PHP2ShellとWordPressの対策で迷いやすい点
PHP 8.1を使っている場合は必ず危険ですか？
PHP 8.1はPHP開発チームによるセキュリティサポートが終了しています。今回の脆弱性についても、新しいサポート系列への移行が基本です。
ただし、Ubuntuなどの提供元が修正パッケージをバックポートしている場合があります。表示バージョンだけではなく、実際に適用されたパッケージの修正情報を確認してください。
レンタルサーバーが自動更新していれば何もしなくてよいですか？
サーバー会社が利用中のPHPに修正を適用済みであれば、利用者が追加のバージョン変更を行う必要がない場合があります。
ただし、契約しているサーバーやプランが対象かどうかは確認してください。更新が完了しているか分からない場合は、サポートへの問い合わせが確実です。
WordPress本体やプラグインの更新だけでPHP2Shellに対応できますか？
いいえ。PHP2ShellはPHP本体の脆弱性です。
WordPress本体やプラグインを更新しても、PHPランタイムの脆弱性が自動的に修正されるとは限りません。PHPのセキュリティ更新状況を別に確認する必要があります。
PHPを更新したのに古いバージョンが表示されるのはなぜですか？
サーバーが古いPHPバージョンに修正をバックポートしている場合や、更新したPHPとWebサイトで実際に使用しているPHPが異なる場合などが考えられます。
また、設定変更が反映されていない可能性もあります。サーバー会社の管理画面とWordPressのサイトヘルスを照合し、不明な場合は問い合わせてください。
PHP2Shellの攻撃を受けたかどうか確認できますか？
サーバーログ、不審なファイル、管理者アカウントの変更、意図しないページの改ざんなどを調べることで、侵害の兆候が見つかる場合があります。
ただし、Webサイトが正常に表示されることだけで安全とは判断できません。侵害が疑われる場合は、証拠を保全し、セキュリティ専門家やホスティング会社への相談を検討してください。
まとめ
2026年10月に公表されたPHP2Shellは、PHP本体に存在する2件の重大な脆弱性です。
PHP開発チームは10月21日に修正版を公開しており、対象となるPHPを利用しているサイトでは、実際に修正が適用されているか確認する必要があります。
特にWordPress利用者は、次の点を確認してください。
- WordPressのサイトヘルスでPHPバージョンを確認する
- PHP公式の修正版やサーバー会社の修正情報と照合する
- 必要に応じてPHPを更新する
- 更新前にバックアップと互換性を確認する
- 更新後は主要機能とエラーログを確認する
一般的なWebサイト閲覧者は、自分のスマートフォンやパソコンのPHPを更新する必要は通常ありません。一方、WordPressブログやECサイトを運営する人は、サーバー側の対応状況を確認することが重要です。
PHP2Shellの修正版は公開されていますが、個々のサーバーに適用されているかは環境によって異なります。現在のPHPバージョンと提供元の公式情報を確認し、必要な対応を進めてください。
この記事を書いた人
サク（九州出身・株式会社ponista運営）
家電サービスマンやスマートフォンの個人販売・店頭販売、携帯電話販売会社の運営に携わった経験を持ち、iモード時代からホームページ制作にも携わってきました。iPhone SE、iPhone 14、iPhone 15、iPhone 16 Pro、Androidスマートフォン、iPadなどを実際に使用し、機種ごとの使いやすさや設定方法を確認したうえで記事を執筆しています。
