PHPの緊急脆弱性「php2shell」とは？自社サイトの確認手順

「PHPに危ない弱点が見つかった」というニュースを見て、うちのホームページは大丈夫だろうか…と不安になった方もいらっしゃるのではないでしょうか。2026年10月21日に公表された「php2shell」と呼ばれる問題は、何もしなくても外部から勝手に操作されてしまう恐れのある、かなり深刻なものです。とはいえ、レンタルサーバーをお使いの場合はすでに対応済みというケースも多く、まずは落ち着いて「今の状態を確かめる」ことが大切です。この記事では、専門用語をできるだけ使わずに、何が起きているのか・自社サイトをどう確認すればいいのか・誰に聞けばいいのかを順番に整理しました。瀬戸市周辺でホームページやネットショップを運営されている方が、今日中にできることが分かる内容にしています。

そもそもPHPって何？なぜホームページに関係があるの

PHP(ピー・エイチ・ピー)は、ホームページを表示するために、インターネット上のコンピューター(サーバー)の中で動いている「仕組みの部品」です。普段まったく意識することがなくても、多くのホームページはこのPHPの力を借りて動いています。だからこそ、PHPに問題が見つかるとサイト全体に関わってくるわけです。

PHPは「ページを組み立てる裏方」

イメージとしては、注文を受けてから料理を作る飲食店の厨房に近い存在です。訪問者が「このページを見せてください」と頼むと、サーバーの中でPHPが文章や画像、お知らせの一覧などを呼び出して1枚のページに組み立て、できあがったものを画面に届けています。つまりPHPは表には出ないけれど、ページを毎回作っている裏方ということです。この裏方に弱点があると、料理ではなく別のものを作らされてしまう恐れがある、というのが今回の話の出発点になります。

WordPressを使っているサイトはほぼ全部が対象

ホームページの土台としてよく使われるWordPress(ワードプレス)は、このPHPで作られています。ほかにも、ネットショップの買い物かご、お問い合わせフォーム、予約の受付ページなど、動きのあるページの多くがPHPで動いています。「うちは難しい設定はしていないから関係ないのでは」と思われるかもしれませんが、設定をしていなくてもサーバー側でPHPは使われています。制作をどこかにお願いしてそのまま運用している場合も同じです。まずは「自分のサイトもPHPの上で動いているかもしれない」という前提で確認していきましょう。

「php2shell」とは何か。何が起きるとまずいのか

「php2shell」は、2026年10月21日に公表されたPHP本体の弱点(脆弱性)につけられた呼び名です。管理番号はCVE-2026-109618とCVE-2026-109619の2件で、危険度を表す国際的な指標CVSS v4.0では9.2という、きわめて深刻な部類に位置づけられています。内容をひとことで言うと、ログインしていない第三者でも、遠くからサーバー上で勝手にプログラムを動かせてしまう恐れがあるというものです。

ログインしていない相手でも入り込めてしまう点が怖い

普段のトラブルは「パスワードが推測されて入られた」というケースが多く、その場合はパスワードを強くすれば防げます。ところが今回は、IDもパスワードも知らない相手が操作できてしまう可能性があります。鍵をかけているかどうかに関係なく、建物の構造そのものに通り道があるようなイメージです。だからこそ、普段きちんと管理されているサイトでも確認が必要になります。

すでに攻撃の試みが確認されている

この問題については、すでに実際の攻撃の試みが確認されています。米国のセキュリティ機関であるCISAは「悪用が確認された脆弱性」のリストにこの件を登録し、緊急での修正適用を呼びかけています。「理論上は危ない」という段階ではなく、現実に狙われている段階だという点が、今回いつもより急いで確認したほうがよい理由です。

サイトが乗っ取られると何が困るのか

万が一サーバーを操作されてしまうと、事業者としては次のような困りごとが起こり得ます。

• トップページや会社案内の内容が書き換えられ、見覚えのない文章や広告が表示される
• お問い合わせフォームなど、お客様の情報に関わるページに影響が出る
• サイトを見た方のパソコンに被害が広がり、取引先や地域の方に迷惑がかかる
• 検索結果で警告が表示され、復旧までの間お問い合わせが止まってしまう

どれも、積み重ねてきた信用に関わる話です。だからこそ、落ち着いて、けれど早めに状況を確かめておきたいところです。

影響を受けるバージョンと、修正されたバージョン

今回の問題で影響を受ける範囲は非常に広く、PHP 5.4から8.5.11までが対象とされています。一方、すでに修正されたバージョンも公開されており、そちらに切り替われば、この問題については解消されたと考えられます。数字が並んで分かりにくいので、表に整理しました。

対象はPHP 5.4〜8.5.11という広い範囲

PHP 5.4は10年以上前から使われてきたバージョンです。つまり、長く運用してきたサイトから最近作ったサイトまで、ほぼすべてが対象に入り得るということになります。とくに、作ったときのまま手を入れずに動かしているサイトは、古いバージョンのまま止まっていることが少なくありません。「うちは最近リニューアルしたから平気」とは言い切れないので、一度は数字を見ておくと安心です。

修正版は8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

判断の仕方はシンプルです。自社サイトのPHPの数字が、同じ系列(8.5系なら8.5.12、8.3系なら8.3.36というように)の修正版と同じか、それより新しければ対応済みと考えられます。逆に、それより小さい数字、あるいは7系や5系といった古い数字が表示されている場合は、サーバー会社や制作先に確認をお願いしましょう。

自社サイトが影響を受けるか確認する方法

最初にやることは「今のPHPのバージョンを確認する」、それだけです。難しい操作は必要ありませんし、数字を見るだけなら何も壊れません。ここでは、やさしい順に4つの方法を紹介します。

レンタルサーバーの管理画面で見る

エックスサーバーやさくらのレンタルサーバなど、契約しているサーバー会社には必ず管理画面(コントロールパネル)があります。そこに「PHPバージョン設定」「PHP設定」といった項目があり、今どの数字で動いているかが表示されていることがほとんどです。見つけたらメモかスクリーンショットを残しておくと、あとで誰かに相談するときに話がとても早くなります。切り替えボタンがあっても、この段階では押さずに見るだけで構いません。

WordPressの管理画面から確認する

WordPressをお使いなら、管理画面の「ツール」の中にある「サイトヘルス」という画面からも確認できます。ここの「情報」タブを開き、サーバーに関する項目を見ると、動いているPHPのバージョンが書かれています。サーバーの管理画面のログイン情報が分からないときは、こちらのほうが早いかもしれません。

サーバー会社からのお知らせメールをチェックする

今回のように大きな問題が起きたときは、サーバー会社から「対応しました」「切り替えをお願いします」といったお知らせが届いていることが多いです。普段あまり開かないメールアドレスに届いていたり、迷惑メールフォルダに入り込んでいたりすることもあるので、「PHP」「セキュリティ」などで検索してみてください。すでに対応済みと書かれていれば、それだけで安心材料になります。

分からないときの「聞き方」テンプレート

自分で見るのが不安なら、遠慮なく聞いてしまうのがいちばん確実です。次の文章をそのままコピーして使っていただけます。

• 「お世話になっております。2026年10月に公表されたPHPの脆弱性(php2shell / CVE-2026-109618・109619)について伺います。弊社サイト(URLを記入)で使用中のPHPバージョンと、修正版への対応状況を教えてください。」

サイトのURL、サーバー会社名、分かればPHPの数字を添えると、やり取りが一往復で済むことが多いです。

確認したあとに、実際にやること

確認した結果によって、やることは変わります。ポイントは、レンタルサーバーか、自社で用意したサーバーかで対応が分かれるという点です。多くの事業者さんは前者ですので、まずは落ち着いて対応状況を見にいきましょう。

レンタルサーバーを使っている場合

レンタルサーバーでは、サーバー会社側が修正版へ入れ替えてくれるケースが多くあります。まずはお知らせページやメールで対応状況を確認するのが先決です。もし「利用者側でバージョンを切り替えてください」という案内が出ている場合は、管理画面から新しいバージョンを選ぶことになります。ただし切り替えは表示に影響する可能性があるため、次に説明するバックアップを先に済ませてから進めてください。

自社で用意したサーバーの場合

自社や取引先の事務所にサーバーを置いている場合、クラウド上のサーバーを自分たちで借りている場合などは、自動では直りません。管理している担当者や業者に連絡し、手動でPHPを修正版へ更新してもらう必要があります。「php2shellの件で、PHPを修正版へ更新してほしい」と伝えれば話は通じます。

更新のまえにバックアップを取っておく

PHPのバージョンを上げると、古いプラグイン(機能を追加する部品)やテーマ(見た目の設定)が対応しきれず、表示が崩れたりフォームが動かなくなったりすることがあります。そこで大事なのが、元に戻せる状態をつくっておくことです。サーバー会社のバックアップ機能や、WordPressのバックアップ用プラグインで、サイト全体を保存してから作業しましょう。更新後は、トップページ・お問い合わせフォーム・買い物かごなど、お客様が使う画面を一通り開いて確認しておくと安心です。

今回をきっかけに見直したい日頃の備え

せっかくの機会なので、無理のない範囲で次のことも整えておくと、今後こうしたニュースが出ても慌てずに済みます。

• PHP・WordPress本体・プラグインを古いまま放置せず、月に一度は更新の有無を見る
• 自動バックアップが有効になっているか確認しておく
• 管理画面のパスワードを使い回していないか見直す
• サーバー会社からのお知らせが届くメールアドレスを、今見ているアドレスに変えておく

「もう乗っ取られているかも」と不安なときのチェックポイント

「もしかしてすでに何かされているのでは」と心配な方のために、気づきやすいサインをまとめます。結論から言うと、心当たりがある場合は、自分で消したり直したりする前に相談するのが安全です。慌てて削除すると、原因を調べる手がかりまで消えてしまうことがあるためです。

次のような変化がないか、落ち着いて見てみてください。

• 作った覚えのないページや記事が増えている、見覚えのない外国語の文章がある
• 検索エンジンで自社名を調べると、関係のない商品名やリンクが一緒に表示される
• WordPressの「ユーザー」一覧に、知らない名前の管理者が追加されている
• サイトの表示が急に重くなった、画面が真っ白になる時間帯がある
• サーバー会社から「不審な通信が確認されました」といった連絡が届いている

ひとつでも当てはまるなら、まずはサーバー会社のサポート窓口に状況を伝えましょう。サイトを一時的に非公開にするかどうかも含めて、専門の窓口と相談しながら進めるのが結果的にいちばん早く片づきます。心当たりがなければ、ひとまずバージョンの確認だけで大丈夫です。

よくある質問

レンタルサーバーを使っていれば、自分では何もしなくて大丈夫ですか？

サーバー会社側で対応されることが多い一方、バージョンを利用者自身が選べる設定になっている場合もあります。管理画面で今の数字を確認し、修正版(8.5.12 / 8.4.27 / 8.3.36 / 8.2.35)より古ければ、対応が必要かサーバー会社に聞いておくと安心です。

PHPのバージョンを上げたら、ホームページが崩れたりしませんか？

古いプラグインやテーマをお使いの場合、表示や機能に影響が出ることがあります。事前にバックアップを取り、更新後はトップページ・問い合わせフォーム・買い物かごなど主要な画面を確認してください。不安なら制作先に立ち会ってもらう方法もあります。

うちのサイトはアクセスが多くないから狙われないのでは？

今回のような問題は、規模や業種に関係なく、機械的にサイトを探して回る形で攻撃が試みられます。閲覧数の多い少ないは関係ありませんので、公開しているサイトであれば一度は確認しておくことをおすすめします。

どのバージョンになっていれば安心と考えていいですか？

PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35、またはそれ以降であれば、この問題については修正済みです。影響範囲はPHP 5.4〜8.5.11と広いため、それより古い数字が表示されていれば確認が必要になります。

自分で確認する自信がありません。誰に聞けばいいですか？

まずは契約しているレンタルサーバー会社のサポート窓口へ。制作や運用をお願いしている会社があればそちらでも確認できます。問い合わせの際は、サイトのURL・サーバー会社名・分かればPHPのバージョンを伝えると話が早く進みます。

まとめ

• php2shell(CVE-2026-109618 / CVE-2026-109619)は、ログインしていない第三者でも遠くからサーバー上のプログラムを動かせてしまう恐れのある、きわめて深刻な問題(CVSS v4.0で9.2)
• 影響範囲はPHP 5.4〜8.5.11と非常に広く、修正版はPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
• すでに攻撃の試みが確認されており、米国のセキュリティ機関CISAが緊急の修正適用を呼びかけている
• まずやることは「今のPHPのバージョンを確認する」こと。レンタルサーバーの管理画面やWordPressの管理画面から見るだけなら安全
• レンタルサーバーなら対応済みのことも多いが、自社で用意したサーバーは手動での更新が必要
• バージョンを上げる前にはバックアップを取り、更新後は主要なページの表示を確認しておくと安心

「管理画面のどこを見ればいいのか分からない」「数字は確認できたけれど、これで大丈夫なのか判断がつかない」といった段階でも大丈夫です。瀬戸市周辺でホームページを運営されている方からのご相談もいただいておりますので、気になることがあればお気軽に声をかけてください。一緒に状況を確認するところから始めましょう。