2026年10月21日（日本時間）、PHP（ピーエイチピー）に重大な脆弱性が2件見つかり、修正版が公開されました。PHPは、ホームページや予約システムを裏側で動かしているプログラムです。
脆弱性とは、プログラムの「弱点」のことです。今回の弱点を悪用されると、ログインしていない第三者が、インターネット越しにサーバーを操れるおそれがあります。
ご家庭のパソコンを使っているだけの方は、何かを更新する必要はありません。一方で、ホームページやWeb上の仕組みを持っている個人事業主・会社・自治体の方は、確認が必要です。この記事では、確認の手順と、ご自身で対応が難しいときの相談先をご説明します。
PHPに見つかった2件の脆弱性とは
PHPは、サーバー側のプログラムが分かっているWebサイトの約7割で使われています（W3Techsの調査）。WordPress（ワードプレス）も、PHPで動いています。
| 項目 | 内容 |
|---|---|
| 公開された日 | 2026年10月21日 23時ごろ（日本時間） |
| 深刻度 | 10点満点で9.2。最も深刻な「緊急（Critical）」 |
| 識別番号 | CVE-2026-109618、CVE-2026-109619（通称「php2shell」） |
| 起きること | ログイン不要で、外部からサーバー上のプログラムを動かされる |
| 対象 | ホームページを表示するために動いている、ほぼすべてのPHP |
| 修正版 | 8.5.12、8.4.27、8.3.36、8.2.35 |
本来は修正版と同時に公表される予定でしたが、情報が前もって外に漏れたため、公表が前倒しされました。予告を受けて、省庁や自治体、銀行、通販サイトなどが、21日の夜にサービスを一時停止しています。
悪用の状況については、発表によって見方が分かれています。IPA（情報処理推進機構）とアメリカのCISA（サイバー・インフラ安全保障庁）は、発表の時点で悪用を確認していないとしています。一方で、攻撃の試みを観測したという民間のセキュリティ企業の報告や、攻撃に使えるとするプログラムが出回り始めたという報告もあります。更新を後回しにしてよい状況ではありません。
ご家庭のパソコンで、何かする必要はありますか
ありません。PHPはサーバーの側で動くプログラムです。ホームページを公開していなければ、ご自宅のパソコンやスマートフォンで更新する必要はありません。
ただし、皆さんが使っている通販サイトや会員サービスが、PHPで動いていることはあります。次の点だけ気をつけてください。
- 使っているサービスから「情報が漏れた」と知らせがあったら、そのサービスのパスワードを変える
- 同じパスワードをほかのサービスでも使っている場合は、そちらも変える
- サービスからのお知らせは、メールのリンクではなく、公式サイトやアプリを開いて確かめる
ホームページや業務システムをお持ちの方が確認すること
確認は次の3つです。順に見ていきます。
- PHPを使っているか
- 使っているPHPのバージョンは何か
- 誰がPHPを更新するのか
PHPを使っているか
次のどれかに当てはまれば、PHPを使っている可能性が高いです。
- WordPressで作ったホームページ、ブログ
- EC-CUBEなどで作ったネットショップ
- ホームページの問い合わせフォーム、予約フォーム
- 会員ページ、申込システム、社内の業務システムで、ブラウザから使うもの
見た目はふつうのページでも、問い合わせフォームだけがPHPで動いていることがあります。分からない場合は、ホームページを作った会社に「PHPを使っていますか」と尋ねるのが確実です。
PHPのバージョンを確かめる
WordPressの場合は、管理画面から確かめられます。
- WordPressの管理画面にログインします
- 左の一覧から「ツール」、次に「サイトヘルス」を選びます
- 上の「情報」タブを押します
- 「サーバー」を開き、「PHPバージョン」の欄を見ます
レンタルサーバーをお使いの場合は、サーバー会社の管理画面の「PHPの設定」でも確かめられます。
「8.3」のような大きな番号だけでなく、「8.3.36」のように最後の数字まで見てください。
| 表示されたバージョン | 状態 | やること |
|---|---|---|
| 8.5.12以上、8.4.27以上、8.3.36以上 | 修正済み | 何もしなくて大丈夫です |
| 8.2.35以上 | 修正済み | 8.2は2026年12月31日で更新が終わります。年内に8.3以上へ切り替えてください |
| 8.2〜8.5で、上より小さい番号 | 未修正 | すぐに修正版へ更新してください |
| 8.1以前（7.4など） | 修正版が出ない | サポート中のバージョン（8.3以上）へ切り替えてください |
誰が更新するのか
PHPを更新するのは、ホームページの持ち主ではなく、サーバーを管理している人です。お使いの形で、やることが変わります。
| お使いの形 | 誰が更新するか | やること |
|---|---|---|
| 共用のレンタルサーバー | サーバー会社 | サーバー会社のお知らせで、更新が済んだか確かめる |
| レンタルサーバーで、古いPHP（8.1以前）を選んでいる | 持ち主 | 管理画面で8.3以上に切り替える。サーバー会社の更新が届かないため |
| VPS・クラウド・自社のサーバー | 持ち主（または保守の会社） | PHPを修正版に更新する |
| 制作会社に管理を任せている | 制作会社 | 対応が済んだか、制作会社に確かめる |
大手のレンタルサーバー会社の中には、22日の朝までに更新を済ませたと発表したところもあります。お使いの会社の「障害・メンテナンス情報」を確認してください。
WordPressやプラグインの更新では直りません
今回の弱点は、WordPressやプラグインではなく、その下で動いているPHPそのものにあります。WordPressを最新にしても、プラグインを更新しても直りません。
また、攻撃はWordPressが動き始める前の段階で起きることがあります。そのため、WordPressのセキュリティプラグインでは防げません。直す方法は、サーバーのPHPを修正版に入れ替えることだけです。PHPの開発元も「更新が唯一の安全な選択肢」としています。
すぐに更新できないときは
PHPを新しくすると、古いホームページや業務システムが動かなくなることがあります。すぐに切り替えられない場合は、アメリカのCISAが次の対応を挙げています。
- 修正版に更新するまで、そのシステムをインターネットから切り離す
- WAF（不正なアクセスを門前で止める仕組み）を使う。ただし一時しのぎで、更新の代わりにはなりません
PHPの開発元は、設定の変更で攻撃の道筋を減らす方法も公開しています。ただし、これも安全にするものではないと明記されています。
乗っ取られていないか気になるときは
次のような様子があれば、すでに入り込まれている可能性があります。
- WordPressに、見覚えのない管理者アカウントがある
- サーバーに、作った覚えのないファイルが増えている
- ホームページを開くと、別のサイトや見知らぬ通販ページに飛ばされる
このような場合は、ホームページを一時的に止めるなどしてインターネットから切り離し、サーバーの記録（ログ）を消さずに専門家に相談してください。記録を消してしまうと、何をされたのか調べられなくなります。
入り込まれると、ホームページの書き換え、問い合わせフォームの内容や会員情報の持ち出し、迷惑メールの送信元として使われる、といった被害につながります。
法人・自治体の方へ：確認していただきたいこと
IPAは、自分の組織でPHPを使っているシステムを洗い出すよう呼びかけています。公開しているホームページだけでなく、次のものも対象です。
- 申込、予約、施設予約、アンケートなど、住民や取引先が使うフォーム
- 社内や庁内で、ブラウザから使う業務システム
- 業者に作ってもらい、そのまま使い続けているシステム
- ネットワーク機器や業務用の製品で、内部でPHPが動いているもの
製品の内部で使われているPHPは、利用者からは見えません。製品の説明書や、提供元のセキュリティ情報を確かめてください。
保守を委託している会社には、次の3つを尋ねると状況がはっきりします。
- 当社（当庁）のシステムでPHPを使っているか
- 使っている場合、修正版（8.2.35・8.3.36・8.4.27・8.5.12以上）に更新したか
- 8.1以前を使っている場合、いつまでに切り替えるか
不安なときは、当店にご相談ください
「自分のホームページが当てはまるのか分からない」「作った会社と連絡がつかない」という方は、当店にご相談ください。自身でのWebサービス開発歴10年、大手Webシステムの開発・保守に3年間従事した技術担当が対応します。
当店では、次のようなご相談をお受けします。
- PHPを使っているか、バージョンはいくつか、の確認
- レンタルサーバーの管理画面での、PHPの切り替えと、切り替えた後の表示の確認
- 古いPHPでしか動かないホームページの改修や、新しい仕組みへの移行
- 他社で作ったホームページの確認
サーバーの種類によって、対応の方法が変わります。まずは状況をお聞かせください。ご相談とお見積りは無料です。
- 電話 072-799-0505（受付 10:00〜19:00、毎週月曜日定休）
- LINE・メールはお問い合わせから
ホームページの保守についてはホームページ制作・業務効率化、事業所や庁内のパソコンのご相談は法人・自治体のお客様のページもご覧ください。
参考にした発表
- PHP公式サイト（英語）：修正版の公開と、影響を受ける環境
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
- CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（英語）
この記事は2026年10月22日時点の情報です。新しい情報が出たら追記します。