PHPの重大な脆弱性「PHP2Shell」とは？WordPressサイトで今すぐ確認すべきことと対処法
2026年10月21日、Webサイトのプログラムを動かす言語「PHP」に、深刻度の高い脆弱性が2件見つかり、修正版が緊急公開されました。通称「PHP2Shell」と呼ばれ、国内ではIPA（情報処理推進機構）が、海外では米国のCISAが速やかな対応を呼びかけています。
WordPressはPHPで動いているため、WordPressでホームページを運営している方は、ほぼ全員が確認の対象です。この記事では、専門知識がない方にもわかるように、何が起きているのか、自分のサイトは大丈夫なのか、何をすればいいのかを整理します。
この記事は2026年10月25日時点の公開情報をもとに作成しています。状況は日々更新されているため、最新情報は記事末尾の参考情報（各公式発表）もあわせてご確認ください。
まず結論：WordPressサイトの運営者がやること
- サーバーで使っているPHPのバージョンを確認する（WordPressの「サイトヘルス」で確認できます）
- 修正版（8.5.12／8.4.27／8.3.36／8.2.35）以降になっているか確認する。レンタルサーバーの場合は、サーバー会社のお知らせもチェックする
- PHP 8.1以前を使っている場合は、PHP 8.3以降への移行を早急に検討する（公式の修正版が提供されないため）
「WordPress本体やプラグインは最新にしているから大丈夫」とは言えないのが今回のポイントです。詳しく見ていきましょう。
「自分のサイトが対象か分からない」「PHPの切り替えが不安」という方へ
C-TechLabでは、PHPのバージョン確認からバージョンアップ作業まで代行しています。初回のご相談は無料です。
PHP2Shellとは？何が起きたのか
PHP2Shellは、PHP本体に見つかった次の2件の脆弱性の通称です。
| 識別番号 | 内容 | 深刻度 |
|---|---|---|
| CVE-2026-109618 | メモリ不足（OOM）エラーの処理に関する不具合 | CVSS v4.0：9.2 |
| CVE-2026-109619 | 致命的エラーの処理の後、解放済みのメモリを参照してしまう不具合 | CVSS v4.0：9.2 |
どちらも、ログインなどの認証なしに、外部から細工した通信を送るだけで、サーバー上で任意のプログラムを実行される（遠隔からサーバーを乗っ取られる）おそれがある、非常に危険な種類の脆弱性です。
経緯は次のとおりです。
- 10月20日：本来の公開予定より前に、脆弱性の詳細がSNS上に流出
- 10月21日：PHP公式が修正版を緊急公開（日本時間では21日23時ごろ）。IPAは同日に事前の注意喚起を公開
- 10月22日：IPAが正式な注意喚起「PHPの脆弱性対策について（PHP2shell）」を公開。国内の主要レンタルサーバー各社も順次、修正を適用
攻撃の状況については、海外のセキュリティ企業から「10月21日以降、実際の攻撃を観測している」との報告が出ています。また、インターネット上から見える範囲で、影響を受ける可能性のあるPHP環境が2,000万件以上あるという調査もあります。「そのうち対応しよう」ではなく、今すぐ確認すべき状況です。
WordPressサイトへの影響
今回の問題はWordPressそのものではなく、WordPressを動かしている「PHP」の問題です。そのため、次のような状態でも影響を受ける可能性があります。
- WordPress本体を最新版にしている
- プラグインやテーマもすべて最新にしている
- セキュリティ系のプラグインを入れている
逆に言えば、サーバー側のPHPが修正版になっていれば、WordPressのバージョンに関係なくこの脆弱性への対策はできていることになります。
CISAによると、Webのリクエストを処理するあらゆる形態のPHPが対象です。なかでも、Apacheに組み込まれた形（mod_php）で動いている環境は、WordPressの処理が始まる前に攻撃が成立しうるため、最もリスクが高いとされています。
影響を受けるバージョンと修正版
| 使っているPHP | 対応 |
|---|---|
| PHP 8.5 | 8.5.12以降に更新 |
| PHP 8.4 | 8.4.27以降に更新 |
| PHP 8.3 | 8.3.36以降に更新 |
| PHP 8.2 | 8.2.35以降に更新（※2026年12月31日でサポート終了） |
| PHP 8.1／8.0／7.4 | 公式の修正版リリースはなし。サーバー会社やOSが独自に修正を提供している場合あり。8.3以降への移行を推奨 |
| PHP 7.3以前 | 修正手段なし。早急に8.3以降への移行が必要 |
IPAは、少なくともPHP 5.4以降はいずれかの脆弱性の影響を受けるとしています。古いPHPのまま長年運用しているサイトほど、注意が必要です。
自分のサイトのPHPバージョンを確認する方法
WordPressの管理画面から、次の手順で確認できます。
- 管理画面にログインし、「ツール」→「サイトヘルス」を開く
- 上部の「情報」タブを開く
- 「サーバー」の項目を開き、次の2つを確認する
- PHPバージョン：上の表の修正版以降になっているか
- PHP SAPI：
apache2handlerと表示される場合は、最もリスクが高いとされるmod_phpで動いています
バージョン番号だけで判断できない場合もある
国内のレンタルサーバーの中には、バージョン番号を変えずに修正を当てているところがあります。たとえばサイトヘルスに「8.3.30」と表示されていても、サーバー会社側で修正済みというケースです。
レンタルサーバーをお使いの場合は、サーバー会社の公式サイトやお知らせメールで、PHP2Shell（CVE-2026-109618／CVE-2026-109619）への対応状況もあわせて確認してください。
今すぐやるべき対処法
レンタルサーバーを使っている場合
- サーバー会社のお知らせで、対応状況を確認する
- お使いのPHPバージョンが修正対象外（8.1以前など）の場合は、サーバーの管理画面からPHP 8.3以降に切り替える
- 切り替え後、サイトの表示や問い合わせフォームなどが正しく動くか確認する
VPSや自社サーバーで運用している場合
- PHPを修正版に更新する（OSのパッケージやコンテナイメージの更新を含む）
- 更新後、PHP-FPMやApacheなど、PHPを動かしているプロセスを必ず再起動する（再起動しないと古いプログラムのまま動き続けます）
- 8.1以前を使っている場合は、サポート中のバージョンへの移行を計画する
PHP公式は、設定変更だけで完全に防ぐ方法はなく、更新が唯一の確実な対策としています。WAF（Webアプリケーションファイアウォール）などは被害を減らす補助にはなりますが、更新の代わりにはなりません。
すぐに更新できない場合
IPAは、すぐに更新できない場合はアクセス制限などの暫定対策を行い、それも難しい場合は、被害と事業への影響を考えたうえで外部からのアクセス遮断やサービスの一時停止が必要か判断するよう呼びかけています。
ただし、サイトの一時停止はあくまで応急処置です。根本的な解決には、修正版への更新やバージョンアップが必要です。
PHP 8.2以前を使っている方は「バージョンアップ」の検討を
今回の件を機に、PHPのサポート期限も確認しておきましょう。PHPは公式のサポート期間が終わると、今回のような脆弱性が見つかっても修正版が提供されません。
| PHPのバージョン | セキュリティサポート期限 |
|---|---|
| 8.1以前 | 終了済み |
| 8.2 | 2026年12月31日 |
| 8.3 | 2027年12月31日 |
| 8.4 | 2028年12月31日 |
| 8.5 | 2029年12月31日 |
PHP 8.2も、あと2か月ほどでサポートが終了します。今回は修正版が出ましたが、来年以降に同じような問題が起きた場合、8.2には修正が提供されません。
WordPressとPHPの対応関係
PHPのバージョンを上げる前に、WordPress本体が新しいPHPに対応しているか確認が必要です。WordPress公式の対応表では、次のようになっています。
| PHPのバージョン | 対応するWordPress |
|---|---|
| PHP 8.3 | WordPress 6.4以降 |
| PHP 8.4 | WordPress 6.7以降 |
| PHP 8.5 | WordPress 6.9以降 |
WordPress本体が対応していても、古いプラグインやテーマが新しいPHPで動かないことはよくあります。バージョンアップは、次の順番で進めるのが安全です。
- サイト全体のバックアップを取る（ファイルとデータベースの両方）
- WordPress本体・テーマ・プラグインを最新にする
- 可能であればテスト環境で、新しいPHPでの表示・動作を確認する
- 本番環境のPHPを切り替える
- 表示崩れやエラー、問い合わせフォームなどの動作を確認する（問題があれば元のバージョンに戻す）
「何年も更新していないサイト」こそ要注意
今回のような脆弱性は、PHPに限らず、これからも定期的に見つかります。特に次のようなサイトは、気づかないうちにリスクが高まっていることがあります。
- 制作会社に作ってもらったあと、何年も更新していない
- 制作会社と連絡が取れなくなっている
- サーバーやWordPressのログイン情報がわからない
- 社内にWebやサーバーに詳しい担当者がいない
ホームページは公開して終わりではなく、WordPress本体・プラグイン・PHPを定期的に更新し続けることが、いちばんのセキュリティ対策です。
C-TechLabにできること
C-TechLabでは、WordPressサイトの運用保守やPHPのバージョンアップを、専門サービス「となりのWeb屋さん」としてお引き受けしています。
- PHPバージョンアップ対応：プラグイン・テーマの対応状況を事前に確認し、バックアップを取ったうえでPHPを切り替えます。問題があれば元のバージョンに戻します
- PHPパッチ適用・対応状況の確認：お使いのサーバーで修正が適用済みかどうかを確認します
- 月額の運用保守：WordPress本体・プラグインの更新やバックアップを継続して行い、今回のような問題にもすばやく対応します
「自分のサイトが対象かわからない」「制作会社と連絡が取れない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。詳しくはホームページ運用保守・バージョンアップのページもご覧ください。
参考情報
- IPA（情報処理推進機構）「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
- CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日、23日更新）
- PHP公式「Supported Versions」
- WordPress公式「PHP Compatibility and WordPress Versions」
- watchTowr「PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619」
- Unit 42（Palo Alto Networks）「Threat Brief: Critical Vulnerabilities in PHP」
