PHPの脆弱性php2shellとは？利用者と運営者がやること

「PHPに重大な脆弱性」というニュースが流れ、ネットショップやアプリが次々に緊急メンテナンスに入りました。首相までがXで対応を呼びかけたため、「自分のスマホも危ないの？」「パスワードは変えたほうがいい？」と不安になった方も多いのではないでしょうか。

この記事では、脆弱性「php2shell」の中身と騒ぎになった理由を整理し、ネットを使うだけの人とサイトを持つ人に分けて、やることをまとめました。内容は2026年10月22日時点の情報です。

ネットを使うだけの人は、自分のスマホやパソコンでPHPを更新する必要はありません。ブログやネットショップを持っている人は、サーバー会社のお知らせと、使っているPHPのバージョンを確かめてください。

PHPの脆弱性「php2shell」とは？まず結論から

php2shellは、Webサイトを動かすプログラミング言語「PHP」の本体に見つかった、2件の重大な欠陥の呼び名です。識別番号はCVE-2026-109618とCVE-2026-109619で、どちらも悪用されると、外部からサーバー上で好きなプログラムを動かされるおそれがあります。PHPの開発チームは日本時間2026年10月21日23時に修正版を公開しました。

ここでは、何が起きたのか、PHPとはそもそも何なのか、なぜ「重大」とされるのかの3点を順に見ていきます。押さえておきたい前提は、狙われるのはサイトを動かしているサーバーで、閲覧する人の端末ではないという点です。

何が起きたのか（予告・情報の流出・修正版の公開）

脆弱性は通常、修正版の準備が整ってから内容を公表します。今回は公表の予定日より前に、脆弱性の情報が外部に漏れてしまいました。PHPの開発チームは現地時間の10月20日に事前告知を出し、修正版の公開を前倒しして日本時間21日23時に公開しています。

修正版のバージョンは、PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つです。PHP公式は、Webからのリクエストを処理しているすべてのPHP環境をリスクの対象に挙げ、更新だけが完全な解決策だとしています。設定の変更で攻撃の一部を防ぐ回避策も紹介されていますが、それだけではすべての攻撃を防げないと説明されています。

PHPとは？Webサイトの裏側で動く言語

PHPは、Webサイトの画面をその場で組み立てるためのプログラミング言語です。たとえば、ネットショップで商品一覧を表示したり、ログインした人ごとに違うページを見せたりする処理を、サーバーの中で受け持っています。ビジネス+ITの報道によると、世界のWebサイトの約7割で使われています。

ブログを作るソフトとして有名なWordPressもPHPで動いています。つまり、個人のブログから大企業のサービスまで、とても幅広いサイトが影響を受ける可能性があるわけです。PHPを使っているかどうかは、サイトを見ている側からはほとんど分かりません。

なぜ「重大」なのか（認証なし・遠隔でのコード実行・CVSS 9.2）

今回の脆弱性が重く見られている理由は、次の3つが重なっているからです。

• ログインなどの認証を必要とせず、外から攻撃できる
• 成功すると、サーバー上で任意のプログラムを動かされる（遠隔でのコード実行）
• PHPという土台そのものの欠陥なので、使っているサイトの数が非常に多い

深刻度を表す共通の物差し「CVSS」（バージョン4.0）では、2件とも10点満点中9.2と評価されました。9.0以上は最も重い「緊急（Critical）」の区分です。サーバーを乗っ取られると、サイトの改ざんや、保存されている会員情報の流出につながるおそれがあります。

10月20日〜22日の経緯を時系列で整理

今回の騒ぎは、情報の流出から修正版の公開まで、わずか1日あまりの間に一気に進みました。日本では修正版の公開を待たずに、多くのサービスが前もって止まりました。下の表で流れをつかんだうえで、日本で特に異例だった点と、止まった主なサービスを見ていきます。日時は特に断りがない限り日本時間です。

日時	出来事
10月20日（現地時間）	脆弱性の情報が予定より早く外部に流出。PHP開発チームが事前告知を出し、修正版の公開日を前倒し
10月21日 日中〜夜	国家サイバー統括室と高市首相がXで注意喚起。国内の各サービスが緊急メンテナンスに入る
10月21日 23時	修正版（8.5.12／8.4.27／8.3.36／8.2.35）を公開
10月21日〜22日	複数のセキュリティ企業が攻撃の試みを観測したと報告。各社が修正版の適用を進め、順次サービスを再開

攻撃の状況については、情報源によって見方が分かれています。セキュリティ企業のwatchTowrなどは、攻撃の試みを観測したと報告しました。一方で米国のCISA（サイバーセキュリティ・社会基盤安全保障庁）は、公表の時点で悪用を確認していないとしています。別のセキュリティ企業のHuntressも、侵入の成功は確認していないと発表しました。

国内で異例だった点（首相のX投稿・国家サイバー統括室の注意喚起）

ソフトウェアの脆弱性について、首相が直接呼びかけるのはとても珍しいことです。高市首相は10月21日、自身のXで修正パッチの適用を急ぐよう求め、すぐに適用できない場合はWebサイトを一時的に止めることもリスクを下げる有効な手段の一つだと投稿しました。

同じ日には、政府のサイバーセキュリティの司令塔である国家サイバー統括室も、Xで速やかな対応を呼びかけています。共同通信などが報じました。ITmedia NEWSは、首相の投稿について「経営層に伝わる」と評価するエンジニアの声を伝えています。

緊急メンテナンスに入った主なサービス

報道で名前が挙がったのは、ネットショップ作成サービスのBASE、保育施設向けの業務サービスのコドモン、動画サービスのニコニコ、イラスト投稿のpixiv、さくらインターネットなどです。ゲームでも緊急メンテナンスが相次ぎました。レンタルサーバー各社も、緊急メンテナンスや管理画面の一時停止などで対応しています。

ただし、止めた理由の説明は各社で異なり、すべてのメンテナンスがこの脆弱性への対応だと告知されたわけではありません。また、メンテナンスで止まったことは「被害を受けた」という意味ではなく、多くは修正版を入れるまで攻撃を受けないための予防措置です。再開の時刻や影響は、それぞれの公式のお知らせで確かめてください。

ネットを使うだけの人がやること・やらなくていいこと

サイトやアプリを使うだけの人は、今回の件のために特別な作業をする必要はほとんどありません。PHPはサービス側のサーバーで動いているので、修正するのは運営会社です。ただ、大きなニュースに便乗した詐欺は毎回のように出てくるため、そこへの備えは役に立ちます。以下では、自分の端末、パスワード、偽メール、メンテナンス中のサービスの4つに分けて、やることとやらなくていいことを整理しました。

自分のスマホやパソコンに入れるものはない

今回の修正版は、Webサイトを動かすサーバーに入れるものです。iPhoneやAndroid、Windowsのパソコンに「PHPの修正プログラム」を入れる必要はありません。むしろ「PHPの脆弱性対策アプリ」などと称して何かをインストールさせようとするページがあれば、詐欺を疑ってください。

なお、スマホのOSやアプリの更新は、今回の件とは関係なく普段から欠かさないのが基本です。セキュリティの修正はPHPに限らず毎月のように出ています。自動更新をオンにしておけば、手間をかけずに最新の状態を保てます。

パスワードは一律に変えなくてよい（使い回しは分ける）

脆弱性があったことと、パスワードが漏れたことは別の話です。すべてのサービスのパスワードを今すぐ変える必要はありません。変えるべきなのは、利用しているサービスから「情報が流出した可能性がある」「パスワードを変更してください」と正式に通知があったときや、身に覚えのないログインの知らせが届いたときです。

一方で、同じパスワードを複数のサービスで使い回している人は、この機会に分けておくと安心です。どこか1か所から漏れても、ほかのサービスまで芋づる式に入られるのを防げます。メンテナンス中のサービスでは、再開のお知らせが出てから変更しましょう。流出した個人情報がその後どう扱われるのかは、次の記事で詳しく解説しています。

便乗の偽メール・偽SMSに注意

大きなセキュリティのニュースが出ると、それに便乗して「セキュリティ対策のため再ログインしてください」「本人確認が必要です」と誘う偽メールや偽SMSが出回りがちです。今回の件に便乗した具体的な事例は、10月22日時点では公的な発表で確認されていませんが、次の点を習慣にしておくと安全です。

• メールやSMSのリンクからログインせず、公式アプリやブックマークから開く
• 「至急」「アカウント停止」など急がせる文面ほど、いったん手を止める
• カード番号や暗証番号を入力させる画面が出たら、そこで閉じる

メンテナンス中のサービスとの付き合い方

使いたいサービスが止まっているときは、公式サイトのお知らせや公式SNSで再開の予定を確かめましょう。再開を待つ間に、検索で出てきた非公式の「ログインはこちら」といったページを使うのは避けてください。偽サイトに入力させる手口と区別がつきにくいからです。

ネットショップで注文の途中だった場合や、保育園の連絡アプリが使えない場合は、再開後に注文履歴や連絡の履歴を確かめれば十分です。急ぎの連絡が必要なら、電話など別の手段に切り替えましょう。再開のお知らせに「パスワードの変更をお願いします」と書かれていたら、そのときに変更すれば間に合います。

ブログやネットショップを持っている人がやること

WordPressのブログや、自分でサーバーを借りて作ったサイトを持っている人は、今回は「運営する側」です。とはいえ、レンタルサーバーを使っている個人であれば、PHP本体の更新はサーバー会社が行うのが一般的です。自分でやるべきことは、サーバー会社の対応状況を確かめることと、自分が選んでいるPHPのバージョンを確かめることの2つです。以下で、確認の手順と、修正版が出ない古いバージョンの扱い、よくある勘違いを順に説明します。

レンタルサーバーはサーバー会社のお知らせを確認

まずは、契約しているレンタルサーバーの公式サイトにある「お知らせ」「障害・メンテナンス情報」のページを開きましょう。修正版の適用が終わったかどうかと、利用者側で作業が必要かどうかが書かれているはずです。管理画面のログインが一時的に止められている場合もあるので、そのときは再開を待ちます。

VPSや専用サーバーなど、サーバーを自分で管理している場合は話が別で、PHPの更新も自分（または委託先）の仕事になります。ホームページ制作会社に管理を任せている場合は、「今回のPHPの脆弱性に対応済みか」を問い合わせておくと確実です。

PHPのバージョンを確かめる（修正版の番号表）

PHPのバージョンは、レンタルサーバーの管理画面にある「PHPバージョン設定」などのメニューで確認できます。WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」の欄にも表示されます。表示された番号を、次の表と見比べてください。

使っている系列	修正済みのバージョン
PHP 8.5	8.5.12 以上
PHP 8.4	8.4.27 以上
PHP 8.3	8.3.36 以上
PHP 8.2	8.2.35 以上
PHP 8.1 以前	修正版は出ない（8.2以上へ切り替えが必要）

管理画面に「8.3」のように系列だけが表示され、細かい番号まで分からない場合もあります。その場合は、サーバー会社のお知らせで「適用済み」と書かれているかどうかで判断しましょう。

8.1以前は修正版が出ない（サポート終了）

PHPには系列ごとにサポート期間があり、PHP 8.1は2025年12月31日でセキュリティ修正の提供が終わっています。今回の修正版が8.2以降にしか出ていないのはそのためです。報道では、今回の欠陥はかなり古いバージョンにまでさかのぼって含まれているとされています。

レンタルサーバーによっては、管理画面で古いバージョンを自分で選べるようになっています。もし8.1以前や7系を選んだままなら、8.2以上へ切り替えましょう。その際は、WordPress本体・テーマ・プラグインを先に最新にしておくと、表示崩れなどのトラブルを減らせます。なお8.2もサポート期限が2026年12月31日に迫っているので、切り替えるなら8.3以上が無難です。

WordPressのメンテナンスモードでは防げない

「サイトを止めればいい」と考えて、WordPressのメンテナンスモードやプラグインで「準備中」の画面に切り替える方法を思いつくかもしれません。しかし、この方法では今回の攻撃は防げないと指摘されています。メンテナンス画面を表示する処理そのものがPHPで動いているため、攻撃のリクエストはその前にPHPに届いてしまうからです。

サーバー会社の対応がまだで、どうしても心配な場合は、管理画面からサイトの公開を止める機能があるかを確かめるか、サーバー会社に止め方を問い合わせるのが確実です。設定ファイルを書き換える方法もありますが、慣れていない人が触るとサイトが表示されなくなることがあります。迷ったらサーバー会社の案内に従いましょう。

「脆弱性」の基本：CVE・CVSSの読み方と、修正前に騒ぎになった理由

ニュースには「脆弱性」「CVE」「CVSS」といった専門用語が並びます。意味が分かると、次に同じようなニュースが出たときに、どれくらい急ぐべき話なのかを自分で判断しやすくなります。目安は、CVSSが9.0以上で、しかも「認証なしで」「遠隔から」攻撃できると書かれていたら、運営側にとって最優先の案件だということです。ここでは用語の意味、修正版の前に予告が出る理由と今回の特殊さ、過去の大きな脆弱性との比べ方の3つを説明します。

脆弱性・CVE・CVSSとは

脆弱性（ぜいじゃくせい）は、ソフトウェアの設計や作りの欠陥のうち、攻撃に悪用できてしまうものを指します。セキュリティホール（安全の穴）と呼ばれることもあります。

• CVE：世界共通の脆弱性の識別番号。「CVE-年-連番」の形で、同じ脆弱性を指していることが一目で分かる
• CVSS：深刻度を0.0〜10.0の点数で表す共通の物差し。9.0以上が「緊急」、7.0〜8.9が「重要」にあたる
• 修正版（パッチ）：欠陥を直した新しいバージョン。適用して初めて安全になる

修正版の前に予告する理由と、今回情報が先に漏れた意味

重大な脆弱性では、修正版を出す数日前に「いつ、どのくらい重大な修正を出すか」だけを予告することがあります。サーバーを管理する人が、作業する人員や時間を前もって確保できるようにするためです。欠陥の中身は修正版と同時に公開するのが原則で、直す前に攻撃方法が広まらないようにしています。

今回はその順番が崩れ、修正版より先に情報が漏れてしまいました。攻撃する側が手がかりを先に得たおそれがあるため、運営各社は修正版を待たずにサービスを止める判断を迫られたのです。また一般に、修正版が出た後は、直した箇所を手がかりに攻撃方法を調べる動きも出てきます。修正版の公開で騒ぎが終わりではなく、適用を急ぐ必要があるのはそのためです。

過去の大きな脆弱性との比較（Log4Shell など）

「〇〇Shell」という呼び名は、サーバーの操作画面（シェル）を外から奪えることを表す、近年の重大な脆弱性によく使われる名前です。2021年12月に見つかったLog4Shellは、Javaの部品「Log4j」の欠陥で、CVSSは最高の10.0でした。2025年12月には、Webサイト作りに使われるReactの欠陥がReact2Shellと呼ばれています。

Log4Shellのときも、修正版が出た後に世界中で攻撃が続き、対応は何か月にも及びました。今回のphp2shellも、使われている範囲の広さでは同じくらい大きな出来事だと受け止められています。古いサイトや更新されないまま放置されたサイトが残る限り、しばらくは注意が必要な状態が続くと考えておきましょう。インフラという言葉の意味は、次の記事で解説しています。

よくある質問

PHPで作られたサイトを見るだけで、スマホがウイルスに感染しますか？

今回の脆弱性で狙われるのはサイトを動かすサーバーで、見ている人のスマホに直接入り込むものではありません。ただし、乗っ取られたサイトが改ざんされ、偽のページへ誘導される可能性は一般論としてあります。見慣れない画面でアプリのインストールやログインを求められたら、応じずに閉じてください。

iPhoneやAndroidのアップデートは必要ですか？

今回の件のために必要なアップデートはありません。PHPはサーバー側で動くもので、スマホのOSとは別物です。OSやアプリの更新は、普段どおり通知が来たら行っておけば十分です。

パスワードはすぐに変えたほうがいいですか？

一律に変える必要はありません。サービスから流出の可能性やパスワード変更の依頼が正式に通知されたときに変更しましょう。複数のサービスで同じパスワードを使い回している場合は、この機会に分けておくと安心です。

WordPressでブログを書いています。何をすればいいですか？

契約しているレンタルサーバーのお知らせで、修正版の適用状況を確かめてください。あわせて、管理画面でPHPのバージョンを確認し、8.1以前を選んでいる場合は8.2以上（できれば8.3以上）へ切り替えます。WordPress本体・テーマ・プラグインも最新にしておきましょう。

いつまで注意が必要ですか？

修正版の公開後も、更新されていないサイトを狙う攻撃はしばらく続くと考えられます。利用者としては、各サービスから流出などのお知らせが届いていないかを数週間ほど気にかけておくとよいでしょう。この記事の内容は2026年10月22日時点の情報です。最新の状況は各サービスやPHP公式の発表で確認してください。

まとめ

php2shellは、Webサイトを動かす言語PHPの本体に見つかった2件の重大な欠陥です。情報が修正前に漏れたこと、世界のサイトの多くがPHPを使っていること、首相までが呼びかけたことが重なり、日本でも多くのサービスが一斉に止まる騒ぎになりました。修正版は10月21日23時に公開されています。

• 使うだけの人：端末でやることはなし。パスワードは通知があったら変更、便乗の偽メールに注意
• サイトを持つ人：サーバー会社のお知らせを確認し、PHPのバージョンを8.2以上（できれば8.3以上）に
• WordPressのメンテナンスモードは今回の防御にならない。止めるならサーバー会社の案内に従う

大切なのは、慌てて不要な操作をしないことと、公式の案内を基準に動くことです。サービスからのお知らせは公式アプリやサイトで確かめ、メールのリンクを経由しない習慣をつけておけば、今回のような騒ぎのたびに出てくる便乗の詐欺も避けやすくなります。