2026.10.25WEB制作

PHPの重大な脆弱性「PHP2Shell」。ホームページを持つ人が、今週確認すること

AIが調べてフルタが確認

2026年10月21日、プログラム言語「PHP」の公式チームが、重大な脆弱性（弱点）を修正した新しいバージョンを公開しました。通称「PHP2Shell」です。

PHPは、WordPressをはじめ、多くのホームページが使っている言語です。「自分のサイトはPHPなのかどうか、よく分からない」という方こそ、確認してほしい話です。

何が起きたのですか？

PHP公式が、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを公開しました。
深刻度は、評価の最高レベルにあたる「Critical（重大）」で、10点満点中、最大9.2点です。
悪用されると、ログインなしで、外から、サーバー上で好きなプログラムを動かされる可能性があります。これを「リモートコード実行」と呼びます。
発見したのは、セキュリティ企業Wizの研究チームです。同社の発表によると、PHPチーム、Calif、OpenAIとも協力して、調整してきたとのことです。研究には、AIのモデルも使ったと説明されています。
同社の検証では、WordPress、Drupal、Joomlaの最新の配布用の環境で、ログインなしでの実行が再現されています。
PHP公式は、すべてのPHPユーザーに、すぐにアップデートするよう、強く勧めています。

つまり、「ホームページを作ったソフトの問題」ではなく、ホームページを動かしているPHPそのものの問題です。

PHPで動いているホームページを、レンタルサーバーなどで運営している方です。WordPressも、PHPで動いています。

注意：WordPressの「更新」ボタンだけでは、直りません。 問題があるのは、WordPressではなくPHPだからです。PHPのバージョンを上げる必要があります。

レンタルサーバーの管理画面で、使っているPHPのバージョンを確認します。PHPのバージョンを確認・変更できる項目を探します（名前や場所は、サーバー会社によって違います）。

修正済みのバージョンは、次のとおりです。これ以降であれば、この問題は修正されています。

サーバー会社から、この件の案内が出ていないかを、お知らせやメールで確かめてください。会社によって、対応の方法や時期が違います。

PHP 8.1以前は、PHP公式の一覧で、すでに「サポート終了」のバージョンです。今回の修正版（8.2〜8.5系）の対象ではありません。サーバー会社の案内を、確認してください。

そのうえで、サポート中のバージョンへ上げることを、検討します。

更新するときのコツ

古いプラグインがあると、PHPを上げたときに動かなくなることがあります。不安なときは、お気軽にご相談ください。

PHP公式の脆弱性情報には、設定を変えて被害を減らす方法も書かれています。ただし、どれも完全な対策ではなく、根本的な解決は、修正版へのアップデートだけと、はっきり書かれています。

すぐに更新できないときは、サイトの手前に置く保護のサービス（Cloudflareなど）が、緩和策を用意していると、Wizは説明しています。ただし、これも更新の代わりにはなりません。

レンタルサーバーでは、自分で設定を変えにくいことも多いので、サーバー会社の対応と、PHPの更新を、基本に考えるのがよさそうです。

この点は、各社の報告で、見方が分かれています。ここでは断定しません。ただ、修正版が公開されると、弱点の中身が広く知られます。迷ったら、早めに更新するのが安全です。

---

※この記事は、AIで調べて、フルタが確認する記事です。2026年10月25日時点の内容です。状況は変わることがあるので、最新の情報は、下の公式の発表で確かめてください。