PHPの重大な脆弱性「PHP2Shell」。ホームページを持つ会社として、確かめておきたいこと

こんにちは。Web集客担当の梅原です。

10月も後半に入って、朝晩はすっかり冷えこみ、サンダル素足で通勤するのがつらくなってきました。

先日は、Webに関わる人にとって、気の抜けない日々が続きました。

PHPというプログラムに、とても深刻な脆弱性が見つかったんです。

リセラでも、管理しているお客様のサイトの確認や対応に忙しくなる日々でした。

ホームページを持っている会社さんの中には、「自社のサイトは大丈夫だったのかな」と気になっている方もいらっしゃると思います。

ということで今回は、何が起きたのかと、ホームページを持つ会社として、今あらためて確かめておきたいことを書いてみます。

※この記事の内容は、2026年10月26日時点で公式に発表されている情報をもとにしています。

PHP2Shellって、何が起きたの？

PHPは、WordPressをはじめ、多くのホームページの裏側で動いているプログラムの言語です。

お問い合わせフォームや予約、ブログの更新など、ページを開いたときに動く仕組みの多くが、PHPで作られています。

そのPHPに、2つの脆弱性（CVE-2026-109618、CVE-2026-109619）が見つかりました。

あわせて「PHP2Shell」と呼ばれています。

どちらも、ログインなどをしなくても、外からサーバーの上でプログラムを実行されてしまうおそれがあるものです。

サイトの改ざんや、データの持ち出しにつながりかねません。

深刻度は、10点満点で9.2とされています。

PHPの開発元は、10月21日の夜（日本時間）に修正版を公開しました。

IPA（情報処理推進機構）やJPCERT/CCも注意を呼びかけていて、JPCERT/CCは「アップデートのみが本脆弱性に対する対策」としています。

サポートが終わったPHPにも、異例の修正が出されました

公式の修正版（新しいバージョン）として公開されたのは、PHP 8.2以降です。

PHP 8.1より古いバージョンは、すでに開発元のサポートが終わっていて、本来は修正が出されません。

ただ今回は、脆弱性の深刻さを踏まえて、PHPのセキュリティチームが、サポートの終わったPHP 7.4・8.0・8.1向けにも、最小限の修正をソースコードの形で公開しました。

新しいバージョンとして配られるものではなく、サーバーを自分で組み立てている人や、サーバー会社が自分たちで修正を当てるための手がかりになるものです。

サポートの終わったバージョンにまで修正が出されるのは、それだけ深刻な問題だったということなんですよね。

なお、PHP 7.3以前については、開発元からの修正は出ていません。

一方で、PHP 7.4などのサポートが終わったバージョンで動いているサイトは、世の中に今もたくさんあります。

だからこそ、多くのサーバー会社が、古いバージョンにも対応してくださいました。

レンタルサーバーの場合、PHPの動く環境はサーバー会社が用意しているので、利用者が自分で修正を当てることは、なかなかできないんです。

古いバージョンのPHPにどのように対応していただけるかは、それぞれのサーバー会社の判断にかかっていました。

※サーバーに精通した専門技術者がいる場合は、自分たちで修正を当てることができます。

この数日、世界中のエンジニアの方たちが動いてくださっていました

発見に関わった研究者の記事によると、この脆弱性は、セキュリティ企業のCalif、Wiz、そしてOpenAIによって見つけられたそうです。

今年の8月にPHPの開発チームへ報告され、それから公開までの間、外には出さない形で修正が進められていました。

調査の中では、AIも活用されていたと紹介されています。

そうして作られた修正が10月21日に公開されると、今度は国内外のサーバー会社のエンジニアの方たちが、昼夜を問わず修正を確かめ、たくさんのサーバーに当ててくださいました。

公式の修正が出ていない古いバージョンにも、修正を適用してくださったサーバー会社もあります。

私たちがふだん、何気なくホームページを見たり、更新したりできているのは、こうした方たちのおかげです。

日本中、世界中のサイトの安全を守ってくださったエンジニアの皆さんに、感謝です。

リセラでも、急ぎ全スタッフで対応しました

リセラでは、ふだんから管理しているお客様のサイトについて、どのサーバーで、どのPHPのバージョンで動いているかを把握するようにしています。

今回はそれをもとに、バックアップや、必要なサイトの対応、お客様へのご連絡などを、急ぎ全スタッフで進めました。

サーバーによって、とれる手段が限られていたサイトもありました。

そうしたサイトは、お客様とご相談のうえ、安全を優先して、別のサーバーへ移転しています。

今後は、より安全にホームページを運用いただけるように、保守の内容を強化していく予定です。

サーバー会社の対応は、さまざまでした

今回、レンタルサーバー各社がどう対応されたかも、ずっと追いかけていました。

対応の形は、会社によってさまざまでした。

• サイトの表示は止めずに、修正を当てる
• 修正が終わるまで、サイトの表示を一時的に止めて、安全を確保する
• 新しいバージョンのPHPへ切り替える
• 利用者に、設定による緩和策をご案内する

表示を止めずに直すのは、サイトを使っている人にとって、いちばんありがたい形です。

一時的に表示を止めたのは、修正が終わるまでの間に攻撃を受けないよう、利用者のサイトとデータを守ることを最優先にした判断でした。

どの形も、それぞれのサーバー会社が、限られた時間の中で利用者のことを考えて選ばれたものだと思います。

ご自身のサイトのサーバーがどのように対応されたかは、サーバー会社のお知らせのページで確かめることができます。

緩和策のご案内を受けている場合

サーバーによっては、PHPの設定を変える「緩和策」をご案内されている場合もあると思います。

PHPの開発元が示している緩和策は、たとえば次のような設定です。

• memory_limit = -1（PHPのメモリの上限をなくす設定。そのかわり、サーバー側でメモリの使いすぎを抑える仕組みが別に必要です）
• post_max_size を小さい値にし、upload_max_filesize をそれより小さくする
• session.upload_progress.enabled = Off（0）

ただし、開発元自身が、これらは特定の攻撃の経路を減らすもので「インストールを安全にするものではない」としています。

完全な解決策は、アップデートだけとされています。

緩和策は、あくまで危険を和らげるもので、なくすものではないんですよね。

また、共用のレンタルサーバーでは、こうした設定を利用者が自由に変えられないことも多いです。

設定を変える前に、サーバー会社や制作会社に相談されるのがいいと思います。

ホームページを持つ会社として、確かめておきたいこと

今回のことをきっかけに、一度確かめておくと安心なことをまとめてみました。

• サーバー会社のお知らせ：今回の脆弱性に、どのように対応されたか
• PHPのバージョン：サポートの終わったバージョンのままになっていないか
• WordPressやプラグインの更新：古いままになっていないか、使っていないものが残っていないか
• バックアップ：万一のときに、元に戻せる状態になっているか
• 管理画面のパスワード：使い回していないか、二段階認証は使えるか

PHPのバージョンは、サーバーの管理画面などで確かめられることが多いです。

ちなみに、今回修正版が出たPHP 8.2も、2026年12月31日でセキュリティのサポートが終わる予定です。

古いPHPでしか動かないサイトは、今回のことに限らず、これからも同じような心配がついて回ります。

サイトの作りを見直して、新しいPHPで動くようにしておくことも、あわせて考えておきたいところです。

サーバーを選ぶときにも、少しだけ

レンタルサーバーは、料金や容量、表示の速さで選ばれることが多いと思います。

でも、こういうときにどのように対応していただけるかも、ホームページの安全に関わってきます。

• 古いバージョンのPHPにも、対応いただけるか
• 状況を、こまめに把握できるか
• 止まってしまうと困るサイトなら、稼働率を優先できるか、専用サーバーという選択肢もあるか

リセラでは、専用サーバーがいいか、共用サーバーがいいかといったご希望をお伺いしたうえで、稼働率やパフォーマンス、スペック、安定性、root権限が必要かどうかなどを見て、サイトに合ったサーバーをご提案しています。

最後に

今回のPHP2Shellは、ふだんはあまり意識することのない、ホームページの土台の大切さを、あらためて感じた出来事でした。

そして、今回もたくさんのエンジニアの方たちが、私たちのホームページを守ってくださいました。

その安心の上で、私たちはお客様のサイトの集客や運営に向き合えています。

「自社のサイトは、どのサーバーで、どのPHPで動いているんだろう」

「今回の件、自社のサイトは大丈夫だったのかな」

そんなところから、気軽にお声がけください。

最後まで読んでいただき、ありがとうございました。

参照した資料

• Security advisory: Critical remote code execution vulnerabilities, update now（php.net、2026年10月21日）
• Supported Versions（php.net）
• Informational advisory: Session upload progress（php.net、2026年10月23日）
• CVE-2026-109618 Security Advisory（php/php-src）
• CVE-2026-109619 Security Advisory（php/php-src）
• php2shell: A tale of two PHP remote vulnerabilities（Calif）
• PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（JPCERT/CC、2026年10月22日）
• PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)（IPA、2026年10月22日）

• # PHP
• # PHP2Shell
• # セキュリティ
• # レンタルサーバー
• # 保守
• # 脆弱性