PHP2ShellはWordPressだけの問題ではない。EC-CUBE・Movable Type・Drupalなど、PHPで動くサイトで確認すべきこと

2026年10月21日に修正版が公開されたPHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618／CVE-2026-109619）。WordPressサイトへの影響が大きく報じられていますが、実際にはPHPで動いているWebサイトやシステムのほぼすべてが確認の対象です。

ネットショップのEC-CUBE、企業サイトで使われるMovable Type、自治体や大学で多いDrupal、国産CMSのa-blog cms、そして制作会社が独自に作ったPHPのシステムも例外ではありません。

この記事では、WordPress以外のPHP製品について、各公式がどのような発表をしているか、運営者が何を確認すべきかを整理します。WordPressサイトについては「PHPの重大な脆弱性「PHP2Shell」とは？WordPressサイトで今すぐ確認すべきことと対処法」をご覧ください。

この記事は2026年10月28日時点の公開情報をもとに作成しています。最新情報は記事末尾の参考情報（各公式発表）もあわせてご確認ください。

まず結論：WordPress以外のPHPサイトの運営者がやること

1. 自分のサイトがPHPで動いているかを確認する（EC-CUBE、Drupal、a-blog cms、Joomla、Laravelなどで作ったシステムはPHPで動いています）
2. サーバーのPHPが修正版（8.5.12／8.4.27／8.3.36／8.2.35）以降か、サーバー会社やOSによる修正が当たっているかを確認する
3. CMS本体やプラグインの更新では直らないことを理解し、サーバー側のPHPの更新を優先する
4. PHP 8.1以前で動いている場合は、移行や延命の方法を早めに決める

なぜWordPress以外も対象になるのか

PHP2Shellは、WordPressやEC-CUBEといったCMSの不具合ではなく、それらを動かしている「PHP」そのものの不具合です。

家にたとえると、CMSは「家」、PHPは家が建っている「土台」です。今回は土台にひびが見つかったため、家がWordPressでもEC-CUBEでも、同じ土台の上に建っていれば影響を受けます。そのため、各CMSの公式発表も「本体の問題ではなく、PHPの問題。サーバーのPHPを更新してください」という内容になっています。

さらに、今回の脆弱性には次のような特徴があります。

• ログイン画面や会員認証では防げない：攻撃は、CMSのプログラムが動き出す前の、PHPがリクエストを受け取る段階で成立します。管理画面にパスワードをかけていても関係ありません
• メンテナンスモードでは防げない：EC-CUBEやDrupalの「メンテナンスモード」も、PHPが動いたうえで「メンテナンス中」の画面を表示する仕組みです。止めるなら、PHPより手前（サーバーやCDNの設定）でアクセスを遮断する必要があります
• 同じサーバーのほかのサイトにも影響しうる：アクセスの少ない小さなサイトでも、乗っ取られると同じサーバー上の別のサイトに被害が広がるおそれがあります

脆弱性を報告したセキュリティ企業のWizは、WordPressのほか、DrupalとJoomlaでも、ログインなしでサーバーを乗っ取れることを実証したとしています。

製品別：公式の発表と対応のポイント

EC-CUBE（ネットショップ）

EC-CUBEを提供するイーシーキューブは、10月21日に修正版の公開予定を告知し、22日に「PHPのセキュリティリリース公開について」として、PHPの公式情報やサーバー提供元の情報を確認のうえ、至急対応するよう呼びかけています。EC-CUBE本体やプラグインを更新しても、今回の脆弱性は直りません。

EC-CUBEで特に注意が必要なのは、バージョンによって対応しているPHPが古いことです。EC-CUBE公式の動作環境は次のとおりです。

EC-CUBE 4.2以前のショップは、PHPを修正版（8.2以上）に上げると、EC-CUBEの公式の対応範囲から外れてしまいます。 この場合の選択肢は、次のようになります。

• サーバー会社やOSが、古いPHPに独自の修正を当てているか確認する
• EC-CUBE 4.3系への移行を進める
• 移行までの間、暫定的な設定変更やアクセス制限を行う

古いPHPのまま動かしているサイトの選択肢は、「PHP 7.4／8.1のまま更新できないサイトはどうする？PHP2Shellで考える4つの選択肢」で詳しく解説しています。

EC-CUBEの管理画面では、「設定」→「システム設定」→「システム情報」で、EC-CUBEとPHPのバージョンを確認できます。PHPを切り替えた場合は、商品の購入から決済、注文完了メールの受信まで、一通りの動作を必ず確認してください。

Movable Type（企業サイト・オウンドメディア）

Movable TypeはPerlというプログラミング言語で作られたCMSですが、ダイナミック・パブリッシング（ページをアクセスのたびに生成する機能）と一部のプラグインでPHPを使っています。

シックス・アパートの発表によると、対応状況は次のとおりです。

• Movable Type クラウド版：10月22日にPHPを8.3.36に更新し、すべての環境で対応完了。利用者の作業は不要です。10月23日に公表された関連する脆弱性（CVE-2026-115560）も、同じメンテナンスで対応済みとしています
• ソフトウェア版（Advanced、Premium含む）・AMI版：Movable Type本体の更新は不要ですが、サーバーで動いているPHPを修正版に早急に更新するよう強く推奨しています

ソフトウェア版を使っていて、サーバーの管理を制作会社や保守会社に任せている場合は、PHPの更新が済んでいるか確認しましょう。

Drupal（自治体・大学・大規模サイト）

Drupalのセキュリティチームは、PHPの修正版公開に先立って告知（PSA-2026-10-20）を出し、修正版のPHPに更新することが唯一の完全な対策だとしています。PHPを自分で管理している場合は自分で更新し、サーバー会社が管理している場合はその案内に従うよう求めています。

また、Drupalでは10月14日に、本体の別の重大な脆弱性（SA-CORE-2026-014）の修正も出ています。まだ適用していない場合は、PHPの更新とあわせて対応してください。

a-blog cms

a-blog cmsは10月21日に「【重要】PHPの深刻な脆弱性について（対応のお願い）」を公開し、a-blog cms本体の問題ではなく、動作環境であるPHPの問題だと説明しています。共有サーバーを使っている場合は、まずサーバー会社のお知らせを確認し、案内がなければ問い合わせるよう呼びかけています。

Joomla、baserCMS、Concrete CMSなど

本記事の執筆時点では、Joomla、baserCMS、Concrete CMSなどからPHP2Shellに関する公式の告知は確認できませんでした。ただし、いずれもPHPで動くCMSのため、サーバーのPHPを修正版にする必要がある点は同じです。

自社開発のPHPシステム・業務システム

制作会社に作ってもらった予約システムや会員サイト、Laravelなどのフレームワークで作った業務システムも、PHPで動いていれば対象です。パッケージ製品と違って公式の告知が出ないため、開発会社や保守会社に、自分から確認する必要があります。

phpMyAdmin（データベースの管理ツール）などの管理ツールもPHPで動いています。国内のレンタルサーバーの中には、phpMyAdminを一時停止して対応したところもあります。使っていない管理ツールは、この機会に外部から見えないようにしておきましょう。

自分のサイトのPHPを確認するときの注意点

管理画面のバージョン表示を確認する

多くのCMSでは、管理画面からPHPのバージョンを確認できます。

バージョン番号だけで判断しない

国内のレンタルサーバーやLinuxのディストリビューションには、バージョン番号を変えずに修正を当てているところがあります。表示されているPHPのバージョンが修正版より古くても、実際には修正済みの場合があります。逆に、修正版の番号であっても、PHPを動かしているプロセスを再起動していなければ古いプログラムのまま動き続けます。

サーバー会社のお知らせや、OSのセキュリティ情報もあわせて確認してください。

コマンドで確認したPHPと、サイトを動かしているPHPは別のことがある

サーバーにログインして php -v などのコマンドで確認したPHPと、実際にWebサイトを動かしているPHPは、別のバージョンであることがあります。必ず、管理画面のシステム情報など、Webサイト側で使われているPHPのバージョンを確認してください。

すぐに更新できない場合

PHP公式は、すぐに更新できない場合の緩和策として、session.upload_progress.enabled=0（ファイルアップロードの進捗を記録する機能の無効化）や、受け付けるデータの大きさの制限などを案内しています。ただし、いずれも特定の攻撃経路をふさぐだけで、完全な対策ではありません。設定の詳細は「PHPの重大な脆弱性「PHP2Shell」とは？」の「すぐに更新できない場合」をご覧ください。

前述のとおり、メンテナンスモードでは攻撃を防げません。どうしても対応が間に合わない場合は、サーバーやCDNの設定でPHPに届く前にアクセスを遮断することも検討してください。

また、更新の前にすでに攻撃を受けていた場合、PHPを更新しても入り込んだ不正なプログラムは残ります。侵入の痕跡の確認方法は「PHP2Shellは「更新して終わり」ではない」で解説しています。

C-TechLabにできること

C-TechLabでは、WordPressに限らず、PHPで動くWebサイトやシステムの保守・バージョンアップをお引き受けしています。

• 対応状況の確認：サイトが何で動いているか、サーバーのPHPに修正が当たっているかを確認します
• PHPバージョンアップ対応：CMSやプラグインの対応状況を事前に確認し、バックアップを取ったうえでPHPを切り替えます
• 古いシステムの移行のご相談：EC-CUBE 4.2以前など、PHPを上げられないシステムの移行計画を一緒に考えます
• 自社開発のPHPシステムの保守：制作会社と連絡が取れなくなったシステムの調査や保守も、ご相談ください

「何で作られたサイトか分からない」「制作会社と連絡が取れない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。詳しくはホームページ運用保守・バージョンアップのページもご覧ください。

よくある質問

PHP2ShellはWordPress以外のサイトにも影響しますか？

はい、影響します。PHP2ShellはWordPressではなくPHPそのものの脆弱性のため、EC-CUBE、Movable Type（ダイナミック・パブリッシングなどPHPを使う機能）、Drupal、a-blog cms、Joomla、自社開発のPHPシステムなど、PHPで動くWebサイトやシステムのほぼすべてが確認の対象です。

EC-CUBEやDrupal本体を最新版にすれば対策になりますか？

いいえ、なりません。CMS本体やプラグインを更新しても、PHP2Shellは直りません。サーバーのPHPを修正版（8.5.12、8.4.27、8.3.36、8.2.35）以降にするか、サーバー会社やOSによる修正が当たっていることを確認する必要があります。

EC-CUBE 4.2を使っています。どうすればいいですか？

EC-CUBE 4.2が公式に対応しているPHPは7.4〜8.1で、いずれもPHP公式の修正版がありません。サーバー会社やOSが古いPHPに独自の修正を当てているかを確認し、あわせてEC-CUBE 4.3系への移行を検討してください。移行までの間は、暫定的な設定変更やアクセス制限も検討が必要です。

メンテナンスモードにしておけば安全ですか？

いいえ、安全ではありません。CMSのメンテナンスモードも、PHPが動いたうえで「メンテナンス中」の画面を表示する仕組みのため、攻撃はその前の段階で成立します。サイトを止めて守る場合は、サーバーやCDNの設定で、PHPに届く前にアクセスを遮断する必要があります。

Movable Typeのクラウド版を使っています。対応は必要ですか？

シックス・アパートによると、Movable Type クラウド版は2026年10月22日にPHPを8.3.36に更新し、すべての環境で対応が完了しているため、利用者の作業は不要です。ソフトウェア版やAMI版を使っている場合は、サーバーのPHPを修正版に更新する必要があります。

参考情報

• PHP公式「News Archive - 2026」（2026年10月21日のセキュリティアドバイザリ）
• IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」
• JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」
• EC-CUBE「PHPのセキュリティリリース公開について」（2026年10月22日）
• EC-CUBE 4 開発者向けドキュメント「システム要件」
• シックス・アパート「[注意喚起] PHP の脆弱性による Movable Type への影響と対応について」（2026年10月21日）
• シックス・アパート「[重要] PHP における脆弱性への対応について」（2026年10月22日、26日追記）
• Drupal「Critical PHP update on Wednesday, October 21, 2026 - PSA-2026-10-20」
• a-blog cms「【重要】PHPの深刻な脆弱性について（対応のお願い）」（2026年10月21日）
• Wiz「PHP2Shell」