ゲームやWebサービスの緊急メンテナンスが続き、自社のサイトは大丈夫かと不安になった方も多いでしょう。
PHPで見つかった脆弱性php2shellは、WordPressサイトのほぼすべてに関係します。レンタルサーバー契約なら運営会社の対応を待つだけで済みます。
今回は2026年10月に起きたPHPの脆弱性について、対処法などを含めて解説します。
PHPの脆弱性が見つかる
2026年10月20日、PHPの開発チームは、重大な脆弱性2件（通称php2shell、CVE-2026-109618／109619）を修正する更新を予告しました。
翌21日には、IPA（情報処理推進機構）が事前準備を求める注意喚起を出しました。高市首相もXで修正プログラムの速やかな適用を呼びかけ、適用が難しい場合はウェブサイトの一時停止も有効だとしています。
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X— 高市早苗 (@takaichi_sanae) October 21, 2026
国内でも、ゲームや動画・イラストのサービス、レンタルサーバーなど、多くのWebサービスが緊急メンテナンスに入りました。公開予定より前に脆弱性の詳細が流出したため、修正版は前倒しされ、21日の夜に公開されています。
出典：IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
PHPの脆弱性を放置するとどうなる？
php2shellを放置すると、ログインしていない第三者が通信を1回送るだけで、サーバーを乗っ取れる状態が続きます。欧州のセキュリティ機関CERT-EUの注意喚起によると、2件とも認証なしで任意のプログラムを実行できるとされています。
攻撃の手順を示すコードは、すでに出回っています。CERT-EUは、悪用が始まっている可能性も指摘しています。
WordPress本体やプラグインを更新しても、この脆弱性は直りません。問題があるのはWordPressを動かしているPHP本体で、攻撃はWordPressが動き出す前に成立するためです。直すには、サーバーのPHPを修正版に更新する必要があります。
出典：CERT-EU「Critical Vulnerabilities in PHP」
WordPressサイトは何をすればいい？
やることは、PHPを誰が更新するか、つまりサーバーの契約の形で変わります。
レンタルサーバー契約の場合
エックスサーバーやさくらのレンタルサーバーのように、PHPを運営会社が管理している契約なら、サイトの運営者は何もしなくて構いません。修正版のPHPは運営会社が適用します。
対応の間は、運営会社がメンテナンスに入り、WordPressの管理画面やphpMyAdminに入れなくなることがあります。これは障害ではなく、対応が進んでいる状態です。運営会社のお知らせでメンテナンスの終了を待ってください。
一つだけ確認しておきたいのは、サーバーの管理画面でサイトのPHPに8.1以前を選んでいないかです。8.1以前はPHPの開発チームによるサポートが終わっており、公式の修正版が出ていません。選んでいる場合は、運営会社のお知らせで扱いを確かめてください。
AWSなどで自社運用の場合
AWSのEC2やVPSなど、OSから自分たちで管理しているサーバーでは、PHPの更新も自分たちで行います。修正版に更新するまでは、PHPへのアクセスを止めておきます。止め方は、使っている環境に合わせて選びます。
- Cloudflare：WAFでブロック
- Nginx：503を返す
- Apache：Require all denied
- Basic認証：Webサーバー側でサイト全体を保護
止めるときは、オリジンIP（CDNを通さないサーバー本体のアドレス）への直接アクセスや、別のサブドメインで動いているPHPを塞ぎ忘れないようにしてください。Cloudflareで止めても、サーバーのIPアドレスに直接届く通信は止まりません。
修正版（8.5.12、8.4.27、8.3.36、8.2.35）に更新したら、PHP-FPMなどPHPのプロセスをすべて再起動してから、サイトを再開します。
PHP 8.1以前で動かしているサイトには公式の修正版がないため、8.2以降への移行が必要です。テーマやプラグインが新しいPHPで動くかの確認も伴うため、時間がかかります。8.2も2026年12月31日でサポートが終わるので、移行するなら8.3以降を選んでおくと、次の更新まで余裕ができます。
出典：PHP「Security advisory: Critical remote code execution vulnerabilities, update now」
サイトには保守運用が欠かせない
今回、レンタルサーバーのサイトが「待つだけ」で済んだのは、運営会社がPHPの保守を引き受けているからです。自社運用のサイトでは、同じ作業を自分たちで行わなければなりません。注意喚起に気づき、自社のサイトが対象かを判断し、止めて、更新して、再開する。夜中に予告が出ても、この作業を担う人が必要です。
古いPHPを使い続けているサイトほど、こうした事態で打てる手が減ります。公式の修正版が出ない8.1以前のサイトは、止めたまま時間をかけて移行するしかありません。PHPやWordPressを日ごろから更新しておけば、緊急時にも「修正版に更新する」だけで済みます。
サーバーの管理を自社で抱えるかどうかは、この作業を担える人がいるかで決めてください。担当者がいない、または一人しかいないなら、PHPの保守まで含めて外部に任せたほうが安全です。
WordPressサイトの制作と保守を月額で任せるなら「ひとまずWeb」
ひとまずWebは、WordPressサイトの制作から公開後の保守管理までを、月額で引き受けるサービスです。
- 初期費用0円、月額1.5万円（税別）から
- サイト制作、サーバー・ドメイン・SSL、保守管理、軽微な修正が月額に含まれる
- 公開前にWordPressに詳しいエンジニアがコードを確認し、セキュリティや表示崩れをチェック
- 最低契約期間は6ヶ月。その後は1ヶ月前の連絡で解約でき、違約金なし
- 解約後もドメインとサイトのデータはお客様のものとして移管
月額の目安は、連絡先を入力せずに、サイト上の見積もりツールで確認できます。
まとめ：PHPの脆弱性への対応は、サーバーの管理者で決まる
php2shellは、ログインなしでサーバーを乗っ取られるおそれがある脆弱性で、WordPressサイトのほぼすべてが対象です。
レンタルサーバー契約なら運営会社の対応を待てばよく、メンテナンス中に管理画面へ入れなくても慌てる必要はありません。AWSなどで自社運用しているなら、修正版のPHPに更新するまで、PHPへのアクセスを止めておきます。
まずは、自社のサイトがどのサーバーで動いていて、PHPを誰が更新しているのかを確認してください。