2026年10月、PHPに深刻な脆弱性が公表されました。「PHP2Shell」と呼ばれるこの問題について、自社のWebサイトや業務システムにも影響があるのか、不安を感じている方もいらっしゃるのではないでしょうか。
まず確認したいのは、「自社でPHPを使用しているか」「利用中の環境に修正が適用されているか」「誰が対応を担当するか」の3点です。
この記事では、PHP2Shellの概要と、企業のWeb担当者が確認しておきたい事項、古いPHPで動くシステムへの対応について解説します。
※本記事は2026年10月27日時点の公開情報に基づいています。対応にあたっては、記事末尾の公式情報と、利用中のサービス提供元の最新案内をご確認ください。
PHP2Shellとは？
PHPは、WebサイトやWebシステムをサーバー上で動かすためのプログラミング言語です。WordPressをはじめ、問い合わせフォーム、会員サイト、独自開発の業務システムなど、さまざまな場所で使われています。
PHP2Shellは、PHP本体で報告された次の2つの脆弱性を指す呼称です。
- CVE-2026-109618：メモリ不足が発生した際のエラー処理に起因する問題
- CVE-2026-109619：リクエスト処理に関連する内部状態の管理の問題
条件がそろうと、ログインしていない外部の攻撃者が、サーバー上で不正なコードを実行できる可能性があります。
今回はPHP本体の問題であるため、Webサイトのプログラムに不備が見つかっていなくても、実行環境の確認が必要です。
実際の悪用も報告されています
IPAの2026年10月27日付の更新によると、両脆弱性は米国CISAの「悪用が確認された脆弱性」の一覧であるKEVカタログに掲載されました。
PHPを使っていれば必ず攻撃が成功するという意味ではありませんが、未対応の場合は、影響の確認と対策を急ぐ必要があります。
悪用されると、どのような被害につながるのか
サーバー上で不正なコードが実行された場合、実行権限や保存されている情報によっては、次のような被害につながるおそれがあります。
- Webページの改ざん
- 個人情報や業務データの漏えい
- データベースへの接続情報などの窃取
- 不正なプログラムの設置
- サービスの停止や、調査・復旧に伴う業務への影響
これらは想定される被害であり、すべての環境で同じ被害が発生するわけではありません。
また、Webサイトが普段どおり表示されていることだけでは、安全かどうかを判断できません。外から見える異常の有無とは別に、修正の適用状況を確認する必要があります。
自社のサイトへの影響を確認するには
1．PHPを使用しているかを確認する
まずは、サーバーの管理画面やシステムの仕様書、制作・保守会社への問い合わせなどで、PHPの利用状況を確認します。
会社のホームページだけでなく、別のサーバーで動いている予約システムや管理画面、以前制作したキャンペーンサイトなども、確認対象として洗い出しておくとよいでしょう。
2．Webサイトで動作しているPHPを確認する
次に、対象のWebサイトが使用しているPHPのバージョンを確認します。
一つのサーバーで複数のPHPを使い分けている場合もあります。サーバーにインストールされているPHPの情報だけで判断せず、対象サイトに割り当てられている実行環境を確認することが大切です。
PHPプロジェクトは、今回の2つの脆弱性を修正したバージョンとして、以下を公開しています。
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
これらは今回の脆弱性の修正版であり、今後の更新が不要になるという意味ではありません。導入時には、その時点の最新情報も確認してください。
3．提供元による修正の適用状況を確認する
OSやサーバーの提供元によっては、バージョン番号を大きく変えずに、必要な修正を取り込む場合があります。
※これを「バックポート」と呼びます。
そのため、表示されるバージョン番号だけでは、対策済みか判断できない場合があります。
利用中のサービスの告知やパッケージの更新情報を確認し、不明な場合は「この環境には、今回の2つの脆弱性への修正が適用されていますか」と具体的に問い合わせましょう。
レンタルサーバーとVPSでは、確認先が異なります
レンタルサーバーの場合
共用レンタルサーバーでは、PHPなどの実行環境をサーバー会社が管理していることが一般的です。
まずは提供元の障害・メンテナンス情報や、セキュリティに関する告知を確認してください。
「対応完了」と案内されていても、自分が利用しているプランやPHPのバージョンが対象に含まれているかまで確認すると確実です。古いPHPを選択している場合は、そのバージョンの扱いも確認しましょう。
※2026年10月27日現在、利用者の多いレンタルサーバーサービス（さくら、エックスサーバーなど）は、概ね対応が完了しているようです。
VPS・クラウドの場合
VPSやクラウド上に自社で構築したサーバーでは、契約内容によって、利用者側や保守会社がOS・PHPを更新する必要があります。
基盤サービスが稼働していることと、その上にインストールしたPHPが更新されていることは別です。
サーバー会社、制作会社、保守会社のそれぞれが、どこまで管理しているかを確認しましょう。
WordPressを更新すれば対策は完了する？
WordPress本体やプラグインの更新は大切ですが、それだけで今回のPHP本体の脆弱性が解消されるわけではありません。
WordPressはサーバー上のPHPを使って動いているため、WordPressの更新状況と、PHPの修正適用状況は、別々に確認する必要があります。
また、PHPのバージョンを変更すると、古いテーマやプラグイン、独自のカスタマイズが動作しなくなる可能性もあります。更新にあたっては、表示だけでなく、問い合わせフォームや会員機能などの動作も確認しましょう。
古いPHPで動くシステムは、どう対応すればよい？
PHP 8.1以前はPHPプロジェクトによるサポートが終了しています。古いバージョンを利用している場合は、提供元による修正の有無を確認したうえで、サポート中の環境への移行を検討する必要があります。
なお、IPAは、調査に関与したWiz社の情報として、PHP 5.4以降が今回の脆弱性の少なくとも一方の影響を受けると案内しています。ただし、これより古いバージョンについて、今回の記載だけを根拠に安全だと判断することはできません。
長年使っている独自CMSや業務システムでは、PHPを切り替えるだけでは動かず、大規模なプログラムの修正が必要になる可能性があります。
対応範囲を判断するためには、次のような確認が必要です。
- 現在のプログラムとデータベースの構成
- 使用しているライブラリや外部サービス
- 更新後も必要となる機能
- 動作確認に使える環境の有無
- バックアップと、問題発生時の復旧方法
現状を調査したうえで、既存システムの改修、別の製品への移行、不要な機能の整理などを比較することが大切です。
すぐに更新できない場合
更新が難しい場合も、脆弱な状態で公開を続けることは避ける必要があります。
公式の対策情報と実際の構成を踏まえ、アクセス元の制限や外部公開の停止など、暫定的な対応を検討します。WAFなどを利用している場合も、それだけで十分と判断せず、今回の問題に対する対応範囲を確認してください。
また、更新による脆弱性の解消と、過去に侵害されていないかの調査は別の作業です。不審なファイルや予期しない変更などが見つかった場合は、ログなどの記録を保全し、調査を進める必要があります。
今回をきっかけに、Webシステムの保守体制を確認しましょう
緊急の更新が必要になったとき、「何が動いているか分からない」「誰に連絡すればよいか分からない」という状態では、対応が遅れてしまいます。
平常時から、少なくとも次の情報を整理しておくことをおすすめします。
- サイトやシステムの一覧
- 使用中のPHP・CMSなどのバージョン
- サーバーの契約先と保守担当者
- セキュリティ更新の担当範囲
- バックアップと復旧の手順
- 緊急時の連絡先と判断する責任者
Webサイトや業務システムを長く使い続けるには、更新と動作確認を継続できる体制が必要です。今回の対応を機に、管理状況を一度整理してみてはいかがでしょうか。
PHPシステムの調査・更新について
田村技術研究所では、PHPを利用したWebシステムについて、現状調査や更新に伴う改修、検証環境の構築などのご相談を承っています。
「古いシステムを引き継いだものの、構成が分からない」「PHPを更新したいが、どの程度の修正が必要か分からない」といった場合も、まずは現在の状況を確認し、対応方法を検討するところからご相談ください。
