2026年10月21日、PHPの開発チームが重大な脆弱性2件の修正版を公開し、翌22日にIPA（情報処理推進機構）が注意を呼びかけました。通称は「php2shell」です。WordPressはPHPで動いているので、WordPressで作ったホームページも対象になり得ます。
この記事では、レンタルサーバーなどでWordPressのホームページを持っている会社が、今やることに絞って整理します。
何が起きたのか
| 項目 | 内容 |
|---|---|
| 名前 | php2shell（CVE-2026-109618、CVE-2026-109619） |
| 深刻度 | 2件ともCVSS v4.0で9.2（緊急） |
| 起きうること | ログインなしで、外からサーバー上のプログラムを動かされるおそれ |
| 影響を受ける版 | 8.2.35より前の8.2系、8.3.36より前の8.3系、8.4.27より前の8.4系、8.5.12より前の8.5系 |
| 修正版 | 8.2.35／8.3.36／8.4.27／8.5.12 |
| 8.1以前 | サポートが終わっていて、通常の修正版は出ない |
修正版の公開より前の10月17日から、悪用を試みる通信が観測されていると報じられています。PHP開発チームは公開時点で「実際に動く攻撃コードは確認していない」としていますが、すでに試されている段階と考えて動くのが安全です。
まずサイトのPHPの版を確かめる
確かめる場所は2つあります。
- WordPressの管理画面：「ツール」→「サイトヘルス」→「情報」→「サーバー」に、PHPのバージョンが出ています
- レンタルサーバーの管理画面：「PHPバージョン設定」などの項目で、ドメインごとに選んでいる版が分かります
版ごとにやること
| 今の版 | やること |
|---|---|
| 8.2〜8.5 | サーバー会社のお知らせで、修正版が入ったかを確かめる。共用のレンタルサーバーなら、PHP本体はサーバー会社が更新する |
| 8.1以前 | 通常の修正版は出ない。8.3以上へ切り替える（手順は下の記事） |
| 分からない・管理画面に入れない | 制作会社かサーバー会社に、版と修正の状況を問い合わせる |
8.2も、PHPの公式サポートは2026年12月31日で終わります。WordPressの推奨も「PHP 8.3以上」なので、切り替えるなら8.3以上が目安です。切り替えの順番と、表示が崩れたときの戻し方はWordPressのPHPバージョン確認と上げ方にまとめています。
共用レンタルサーバーと、自社で持つサーバーの違い
共用のレンタルサーバーでは、PHP本体の更新はサーバー会社の仕事です。今回も、主なサーバー会社が緊急のメンテナンスを行いました。利用者がやるのは、PHPの版の選択と、お知らせの確認です。ただし、修正の対象を「8.2以降」とする会社もあります。古い版を選んだままにしないことが大切です。
VPSや自社のサーバーでは、更新も自分の仕事です。注意したいのは、OS自体のサポートが切れている場合です。OSのサポートが切れていると、PHPの修正版が配られません。当社でも自社のサーバーを点検し、PHPで動いていた小さなフォームを別の仕組みに移しました。
すぐに更新できないときの一時しのぎ
PHPの公式発表では、更新までのあいだ、次の設定で攻撃の通り道を減らせるとしています。
memory_limit=-1（アプリ側から上書きできない形で設定する）session.upload_progress.enabled=0（PHP 8.5では、あわせてfatal_error_backtraces=0）- 設定を変えたら、PHPの処理をすべて再起動する
ただし、どれも完全な対策ではありません。IPAは、有効な一時しのぎが難しい場合、外からのアクセスを止めることや、サイトを一時的に止めることも判断するよう求めています。共用のレンタルサーバーでは、利用者がこれらを設定できないことが多いため、サーバー会社の対応を待つことになります。
落ち着いたら考えること
今回のような脆弱性は、PHPで動くサイトであれば、本体・テーマ・プラグインのどこにでも出てきます。WordPressを使い続けるなら、「誰が、どのくらいの頻度で更新を確かめるか」を決めておく必要があります。
もう1つの選択肢は、ページを表示するのにPHPを使わない作り（静的サイト）です。ページを配るときにプログラムが動かないので、今回の脆弱性の対象になりません。違いは静的サイトとは｜WordPressとの違いにまとめています。
当社のアストロホームページも、WordPressもPHPも使わない作りです。初期費用0円・月額1,650円（税別）から、いまのホームページの乗り換えもお受けしています。
よくある質問
Q. WordPressを最新版にすれば、php2shellは防げますか？
A. 防げません。今回の脆弱性はWordPressではなく、その下で動くPHP本体にあります。WordPressの更新とは別に、PHPを修正版にする必要があります。
Q. 改ざんされていないか心配です。何を見ればいいですか？
A. 見知らぬページが検索結果に出ていないか、管理者のユーザーが増えていないか、などを確かめます。確認の手順はWordPressが改ざん・乗っ取りされたらにまとめています。
Q. ホームページを持っているだけの会社も対象ですか？
A. PHPで動いていれば対象になり得ます。更新をしていないサイトほど、古い版のPHPやプラグインが残っていることが多いので、まず版の確認から始めてください。
