PHPの重大な脆弱性「PHP2shell」とは？　企業サイトが今すぐ確認すべきことと取るべき対策

2026年10月21日、「PHP2shell」と呼ばれるPHPの2件の重大な脆弱性を修正する更新が公開され、IPAも注意喚起しました。「自社のサイトも関係するのか」「何をすればよいのか」と不安に感じている経営者やウェブ担当者もいらっしゃるのではないでしょうか。今回の事象と確認すべきこと、日常のサイト管理との関係を整理します。

要点

• 関係する企業：PHPで動くサイトを持つ企業です。WordPressを使っている場合も含みます。
• 確認すること：自社サイトのPHPに今回の修正が適用されているかをサーバー会社や管理会社に確認します。
• 対応の時期：修正版は公開済みです。PHP公式は直ちに更新するよう呼びかけています。

PHPは、サイトの裏側で何をしているのか

PHPは、サーバー側でプログラムを動かすためのソフトウェアです。WordPressなどのCMSは、PHPを使ってページの表示やさまざまな処理を行います。ページの文章やデザインを変更していなくても、裏側で動くソフトウェアには更新や管理が必要です。

 今回、何が問題になったのか

対象はCVE-2026-109618とCVE-2026-109619の2件です。PHPがメモリー不足に対応する処理と、前の処理の内部状態が残ることに関係する不具合で、認証を受けていない外部の攻撃者が不正なコードを実行できるおそれがあります。

つまり、ログインに必要なIDやパスワードを知らない外部の人でも、サイトを動かしているサーバーに不正な命令を実行できる可能性があるということです。

不正なコードが実行されれば、実行権限やサイトの構成によって、改ざんや情報への不正アクセスなどにつながる可能性があります。ただし、いずれも想定される影響です。今回の公表によって、個々の企業サイトの被害が確認されたという意味ではありません。

参照：PHP公式・2026年10月21日のセキュリティ勧

自社サイトへの影響をどう確認するか

まず、サイトがPHPを利用しているかを確認します。WordPressを使っている場合はPHPも利用していますが、今回の脆弱性はWordPress固有のものではありません。WordPress本体やプラグインの更新と、PHPの修正適用は分けて確認する必要があります。

WordPressでは「ツール → サイトヘルス → 情報 → サーバー」でPHPのバージョンを確認できます。管理画面を扱わない方は、サーバー会社や管理会社に確認してください。サイトが普段どおり表示されることだけでは、修正済みかどうかは判断できません。

参照：WordPress公式「Critical PHP Security Release」
https://wordpress.org/news/2026/10/critical-php-security-release/

今回の修正版と、確認するときの注意点

2026年10月23日時点で確認した、今回の修正が入ったPHPの公式リリースは次のとおりです。

利用系列	今回の修正版
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

提供会社が既存のパッケージへ修正を適用する場合もあるため、番号だけで未対応と決めつけず、提供会社の案内と自社の環境を照合してください。PHP 8.1以前はPHPプロジェクトの通常のセキュリティサポートが終了しています。利用中の場合は提供会社による修正の有無を確認し、サポートされる環境への移行も相談しましょう。

参照：IPA「PHPの脆弱性対策について」
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

企業の担当者が今、確認したいこと

• 対応状況：自社サイトのPHPに今回の修正が適用されているか。未対応なら、誰がいつ対応するのか。
• 作業と確認：バックアップ、必要な互換性確認、更新後のページ表示・フォーム送受信の確認を誰が行うのか。
• すぐに対応できない場合：当面の公開範囲や運用をどうするか。技術的な助言を受け、誰が判断するのか。

WAFなどによる防御や一時的な対処は、今回の修正適用を完全に代替するものではありません。管理会社と対応を進め、完了時には作業内容と確認結果を残してください。

今回の問題から考える、メンテナンスの重要性

修正版が公開されても、自社の環境に反映されなければ問題は残ります。また、更新の方法が分かっていても作業できる担当者や契約がなければ、着手に時間がかかります。今回の事象は、ソフトウェアの管理と、管理を実行できる体制の両方が必要であると示しています。

例えば制作会社への依頼が納品までなら、公開後のPHP更新は契約に含まれていないかもしれません。バックアップがあっても戻す手順や担当者が決まっていなければ、すぐに復旧できるとは限りません。日常のメンテナンスでは、制作契約と保守契約の間にある空白を見つけて埋めておく必要があります。

少なくとも、更新情報を確認する人と作業する人、バックアップの保存先と復旧手順、異常時の連絡先を明確にしておきましょう。外部に任せる場合も、対象となる作業と対応時間、追加費用が発生する条件を共有し、作業記録を確認できるようにすることが大切です。

WACAは、セキュリティ管理をウェブサイト運営を支える日常業務と考えます。アクセスや問い合わせを増やす取り組みを続けるためにも、サイトを安定して利用でき、顧客の信頼を保てる状態を維持する必要があります。今回の修正対応とあわせて、自社サイトを誰がどのように管理しているかを見直してみてください。

無料説明会を開催します（11月4日）

2026年11月4日（水）20：00から、中小企業の経営者・ウェブ担当者向けにウェブサイト基本点検に関する無料説明会を開きます。更新、バックアップ、管理会社との役割分担などを扱います。内容の詳細は決まり次第お知らせします。今回必要な修正対応は、説明会の開催を待たずに進めてください。