【緊急】PHPの重大な脆弱性「php2shell」について（WordPressをお使いの方へ）

昨晩、PHPに重大な問題が2件公表されました。

PHPは、WordPressをはじめ多くのWebサイトを動かしているプログラムです。

高市首相もXで注意喚起を呼びかけ、ご自身のサイトも一時停止されていました。

高市首相のXの投稿 https://x.com/takaichi_sanae/status/2112890642590564386

予想以上に影響が大きかったため、私のクライアントさんのサイトでは、昨晩中に緊急対応を行いました。

この記事では、公式の発表をもとに、何が起きていて、何をすればよいのかを整理します。

動画でも解説しています。

何が公表されたのか

公表されたのは、CVE-2026-109618 と CVE-2026-109619 の2件の脆弱性です。 「php2shell」という通称で呼ばれています。

PHPのセキュリティチームは、どちらも深刻度を CVSS v4.0 で 9.2（緊急）と評価しています。

• CVE-2026-109618：メモリが足りなくなったときの後片付けの処理に不備があるもの
• CVE-2026-109619：前のリクエストの情報が残り、解放済みのメモリが次のリクエストで使われてしまうもの

どちらも、ログインしていない外部の第三者が、サーバー上で任意のプログラムを動かせる（リモートコード実行）とされています。 CVE-2026-109619 では、メモリの中身が漏れることも確認されています。

PHPによると、Webのリクエストを処理しているPHPはすべて対象です。 PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed のどれで動かしていても当てはまります。 中でも mod_php は、アプリケーションのコードが動く前に攻撃が成立するとされ、最も危険度が高いとされています。

対象になる方

• WordPressでサイトを運営している方
• 独自にPHPでプログラムを組んでいるサービスをお持ちの方

調査したセキュリティ企業 Calif は、WordPress、Drupal、Joomla、Magento の特定のバージョンで、ログインなしにサーバー上でプログラムを動かせることを確かめたと発表しています。

対処しないままにしておくと、外部からサイトを書き換えられるおそれがあります。 顧客情報を扱っているサービスであれば、その情報が流出する可能性もあります。

特に個人情報を扱っているECサイトなどは要注意です。

WordPressを最新にしても解消しない

注意していただきたいのは、WordPressやプラグインを最新にしても、この問題は解消しないことです。 問題はWordPressではなく、その土台のPHPにあるためです。

直すには、サーバーのPHPそのものを修正版に更新する必要があります。

修正版と、対象のバージョン

PHPのセキュリティチームは、日本時間の10月21日23時に修正版を公開しました。

• PHP 8.5 系：8.5.12 で修正
• PHP 8.4 系：8.4.27 で修正
• PHP 8.3 系：8.3.36 で修正
• PHP 8.2 系：8.2.35 で修正
• PHP 7.4〜8.1 系：サポートが終了しているため正式な修正版は出ず、ソースコードの修正だけが公開されています
• PHP 5.4〜7.3 系：サポートが終了しており、PHPからの修正はありません

問題のある処理は、PHP 5.4.0 の時代からあったとされています。 古いバージョンのまま動いているサイトほど、手当てが難しくなります。

いま、攻撃は起きているのか

米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は、10月21日の発表の時点で、悪用は確認していないとしています。

一方で、Cloudflare は「初期の攻撃が出始めている」と述べ、セキュリティ企業の watchTowr も、2件の両方に対する攻撃の試みを観測していると発表しています。

また、正式な発表の前に脆弱性の番号がネット上に出回り、PHPは修正版の公開を予定より1日早めました。 「攻撃コード」と称するものも出回っていますが、動作が確かめられていないうえ、ウイルスが仕込まれている場合もあるので、手を出さないでください。

いますぐ確認すること

1. ご自身のサイトのPHPのバージョンを確かめる WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」に、PHPのバージョンが出ています。

2. 修正版より古ければ、PHPを更新する レンタルサーバーなら、サーバー会社の管理画面からPHPのバージョンを切り替えられる場合があります。 サーバー会社からのお知らせも確かめてください。 自社でサーバーを管理している場合は、Linuxの配布元（ディストリビューション）の修正パッケージを確かめてください。PHPによると、配布元には事前に修正が渡されています。

3. すぐに更新できない場合 CISA は、すぐに更新できない場合や、PHP 8.1 以前を使い続けている場合は、更新できるまでPHPで動いているシステムをネットから切り離すよう求めています。 WAF（Webアプリケーションファイアウォール）を通すことで、ある程度は防げる場合があります。Cloudflare は無料プランを含む全利用者に防御のルールを入れていますが、あくまで一時しのぎだとしています。 PHPは設定の変更による暫定策も示していますが、完全な対策にはならず、更新が唯一の完全な対策だとしています。

4. 不審な動きがないかを見る CISA は、PHPの処理からシェルが起動されていないか、外部からツールがダウンロードされていないかを監視するよう求めています。

国内でも、サービスの停止が相次いだ

国内では、10月21日の午後から、BASE、コドモン、pixiv、ニコニコ、さくらインターネットなどが、サービスの全部または一部を止めて緊急メンテナンスに入ったと報じられています。

一方で、根拠のない情報も出回っています。 こういう時こそ、信頼できる人に相談したいものです。

ご相談ください

私は22年間、@SOHOというサービスを運営し続けてきました。 その経験で何ができるかを考えました。

いま困っている方、ご自身のサイトが大丈夫か不安な方は、こちらのフォームからご相談ください。

ご自身のサイトではなく、知人やクライアントさんのサイトでも構いません。

困っている方は、ぜひご相談ください。

お問い合わせはこちら

いただいたご相談には、私がすべて目を通します。 内容を拝見したうえで、個別にご連絡します。

出典

• CISA「Critical Vulnerabilities in PHP Require Immediate Patching」

• Tenable「php2shell (CVE-2026-109618, CVE-2026-109619): Frequently asked questions」

• ビジネス+IT「【高市総理も注意喚起】インターネット崩壊危機？PHP重大脆弱性でWebサイト緊急停止」