PHPに緊急脆弱性「PHP2Shell」　WordPressなどのサイト運営者が今すぐ確認すべきこと

2026年10月21日、WebサイトやWebサービスで広く利用されているプログラミング言語「PHP」に、極めて深刻な2件の脆弱性が見つかり、緊急のセキュリティアップデートが公開されました。

脆弱性は「CVE-2026-109618」「CVE-2026-109619」として登録され、まとめて「PHP2Shell」と呼ばれています。

PHP公式は、完全な緩和策はなく、更新が安全を確保するための選択肢だと強く案内しています。

WordPressをはじめ、PHPで動いているWebサイトを管理している人は、通常のアップデートよりも優先度を上げて確認したほうがよい問題です。

まず結論：サイト運営者はPHPのバージョンを確認

今回、PHP公式が公開した修正版は次の4系統です。

• PHP 8.5 → 8.5.12
• PHP 8.4 → 8.4.27
• PHP 8.3 → 8.3.36
• PHP 8.2 → 8.2.35

これらより前のバージョンを使っている場合は、サーバー会社や管理担当者の案内を確認し、可能な限り早く更新する必要があります。

特に注意したいのは、WordPress本体やプラグインを最新版にするだけでは今回の問題は解決しないことです。

今回問題になっているのはWordPressではなく、その下でWordPressなどを動かしている「PHP」という実行環境だからです。

レンタルサーバーを利用している場合は、サーバー会社側で修正が適用されることがあります。一方、PHPのバージョンを利用者が選択するサービスや、VPS・クラウドサーバーを自分で管理している場合は、自分で対応が必要になる場合があります。

PHP2Shellでは何ができてしまうのか

今回の2件は、外部から認証なしで「Remote Code Execution（RCE）」、つまりサーバー上で命令を実行される可能性がある重大な脆弱性です。

PHP公式は、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境を対象として注意を呼びかけています。

被害が成立した場合、環境や権限によっては、Webサイトの改ざん、不正なプログラムの設置、サーバー内ファイルやデータベースへの不正アクセスなどにつながる可能性があります。

米国NSAも2026年10月21日付で即時対応を呼びかけ、すぐに更新できない場合には、完全に緩和できるまでシステムをオフラインにすることも推奨しています。

「WordPressの脆弱性」ではない点に注意

WordPressがPHPで動いているため影響を受ける可能性はありますが、正確にはWordPress固有の脆弱性ではありません。

PHPを使っているWebシステム全体の問題です。

WordPress以外にも、LaravelなどPHP製のWebアプリ、ECサイト、会員サイト、企業の業務システム、独自開発されたWebサービスなどが対象になり得ます。

そのため「WordPressを最新版にしたから大丈夫」と判断するのではなく、Webサーバーで実際に動いているPHPのバージョンを確認することが重要です。

レンタルサーバー利用者はどうすればいい？

一般的なレンタルサーバーを利用している場合、まず次の3点を確認してください。

1. 現在使っているPHPのバージョン

サーバーの管理画面などからPHPのバージョンを確認します。修正版は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。

ただし、レンタルサーバーではPHP本体の表示バージョンを変えずに、脆弱性の修正部分だけを適用する「バックポート」が行われることもあります。数字だけで判断せず、サーバー会社のセキュリティ情報も確認してください。

2. サーバー会社から案内が出ていないか

「PHP2Shell」「CVE-2026-109618」「CVE-2026-109619」などに関する案内が出ていないか確認します。

3. 自分でPHPを管理しているなら早めに更新

VPSやクラウド、専用サーバーなどでPHPを自分で管理している場合は、アプリケーションのバックアップや互換性確認を行ったうえで、対応済みPHPへ更新してください。

今回は「あとでまとめて更新する」より、優先して状況を確認すべき脆弱性です。

PHP 8.2を使っている場合も注意

PHP 8.2向けには今回、8.2.35が提供されています。

ただしPHP公式によると、PHP 8.2は2026年12月31日でサポート終了予定です。

今回8.2.35へ更新したとしても、それで長期間安心できるわけではありません。PHP 8.2を使用しているサイトでは、今回の緊急アップデートとは別に、サポート中の新しい系列への移行も検討する必要があります。

AIが発見した脆弱性でもある

今回の出来事でもう一つ注目されているのが、脆弱性の発見にAIが使われていたことです。

OpenAIによると、セキュリティ企業CalifがGPT-5.6 Solを利用して重大な脆弱性の一つを発見しました。Wizも独立して両方の脆弱性を発見・報告しており、PHPの開発チームを中心にOpenAI、Wiz、Cloudflareなどが連携して、公開前から修正と防御策の準備が進められていました。

生成AIというと文章や画像を作る用途が注目されがちですが、プログラムを読み、大量のコードの中から問題を探す用途でも使われ始めています。

一方、修正版が公開された後には、変更点の解析が進むことで攻撃手法の研究も加速し得ます。重要なセキュリティ更新では、従来以上に早い対応が求められる場面が増えていきそうです。

普通にWebサイトを見るだけの人は何かする必要がある？

Webサイトを見る側の一般利用者については、今回のPHPアップデートを自分で行う必要はありません。PHPはWebサイトを提供しているサーバー側で動いているためです。

ただし、脆弱性を悪用してWebサイトそのものが侵害された場合には、偽のログイン画面への誘導や、保存されていた情報の流出など、利用者側へ影響が及ぶ可能性があります。

普段から次の基本対策は続けておきましょう。

• 同じパスワードを複数サービスで使い回さない
• 可能なサービスではパスキーや2段階認証を利用する
• 突然ログインを要求されたらURLを確認する
• 不審なメールやSMSから直接ログインしない

まとめ

2026年10月21日、PHPの重大な脆弱性「PHP2Shell」への緊急セキュリティアップデートが公開されました。

特に重要なのは、PHP公式が完全な緩和策はなく、更新が必要と案内している点です。

サイト管理者は、8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 のいずれか、または利用しているサーバー会社が提供する修正済み環境になっているかを確認してください。

WordPressを利用している場合も、WordPress本体の更新だけではなく、サーバー側のPHPまで確認する必要があります。

今回はAIによる脆弱性発見の実用化が進んでいることも示しました。今後は、重要な脆弱性が公表された際に「できるだけ早く状況を確認し、必要な更新を適用する」ことが、これまで以上に重要なセキュリティ対策になりそうです。