PHPの重大な脆弱性「PHP2Shell」とは？WordPressサイトへの影響と今すぐ確認したい対策
2026年10月、PHPに関する重大な脆弱性が公表され、世界的に大きな話題となりました。「PHP2Shell」とも呼ばれる今回の問題は、WordPressでホームページを運営している方にとっても無関係ではありません。
結論からお伝えすると、まず確認したいのは、サイトが動いているサーバーのPHPに修正が適用されているかどうかです。WordPressを最新版にしていても、サーバー側のPHPが未修正であれば、この問題への対応は完了しません。
私たちエフ・ファクトリーでも、WordPressを活用してホームページを構築することが多くあります。今回は、専門的な情報をできるだけかみ砕きながら、サイト運営者が確認したいポイントを整理します。
※この記事は2026年11月2日時点の公表情報をもとにしています。セキュリティ情報は更新されるため、対応の際はPHP公式やご利用中のサーバー会社の最新情報もご確認ください。
今回話題になったPHPの脆弱性とは？
2026年10月21日、PHPの開発チームは「CVE-2026-109618」と「CVE-2026-109619」という２件の重大な脆弱性について、緊急のセキュリティ更新を公開しました。両者をまとめて「PHP2Shell」と呼ぶこともあります。
脆弱性とは、ソフトウェアに存在するセキュリティ上の弱点のことです。今回の問題が悪用されると、条件によってはログインしていない攻撃者が、離れた場所からサーバー上で不正なプログラムを実行できる可能性があります。
PHP公式は、Webからのリクエストを処理するPHP環境が対象になると説明しています。PHP-FPMやApacheのmod_phpなど複数の動作方式が含まれ、特にmod_phpではアプリケーションの処理が始まる前に攻撃が成立する実証例があるため、リスクが高いとしています。２件はいずれも米国CISAの「悪用が確認された脆弱性」のカタログに追加されています。 PHP公式のセキュリティ情報（外部サイト）／NHS Englandの注意喚起（外部サイト）
悪用された場合には、サイトの改ざんや情報の漏えい、サービスの停止などにつながるおそれがあります。ただし、脆弱性が公表されたことと、自分のサイトがすでに被害を受けたことは別です。慌てて決めつけず、対応状況と異常の有無を確認しましょう。
WordPressとPHPはどのような関係があるのか
PHPは、WordPressを動かすために使われているプログラミング言語です。WordPressの画面表示や管理画面の処理などを、サーバー上のPHPが支えています。PHPのバージョンや修正状況は、通常、利用しているサーバー側で管理されます。 WordPress公式：PHPの更新（外部サイト）
そのため、WordPressサイトの安全性を考えるときは、次のそれぞれを確認する必要があります。
- サーバー上のPHP
- WordPress本体
- テーマとプラグイン
- 管理画面のアカウントやパスワード
- バックアップやサーバーの設定
今回の問題は、WordPress固有の脆弱性ではなく、土台にあたるPHPの問題です。WordPressを使っていないサイトでもPHPを利用していれば確認が必要です。一方、WordPressを使っているすべてのサイトが被害を受けた、という意味でもありません。研究者によるWordPressを含む環境での攻撃実証は報告されています。 NHS Englandの注意喚起（外部サイト）
エックスサーバーの今回の対応について
エフ・ファクトリーでは、ホームページを構築する際にエックスサーバーを利用するケースが多くあります。今回のニュースを受け、私たちもその対応状況に注目しました。
エックスサーバーの発表によると、対象のレンタルサーバーサービスでは、修正版の公開前である10月21日正午までに、サーバーを稼働させながら予防的な緩和策を実施しました。同日夜の修正版公開後はPHP 8.2〜8.5から順次修正を適用し、公式サポートが終了した旧バージョンにも対応を拡大。10月26日午前6時20分までに、PHP 5.1〜8.5の対象サーバーへの対応を完了したとしています。 エックスサーバー公式のお知らせ（外部サイト）
修正版の公開前から対策を進め、公開後も順次対応を広げたことは、私たちにとって心強く、迅速な対応だったと感じています。サイト運営において、サーバー会社がこのような緊急事態にどう対応するかは、サービスを選ぶうえで大切なポイントの一つです。
なお、この対応状況は同社が案内する対象レンタルサーバーサービスについてのものです。XServer VPSなどは利用者自身によるOSやPHPの管理が必要とされています。また、古いPHPに今回の修正が適用されていても、今後のサポートや別の脆弱性への備えは別途必要です。ご自身の契約サービスと最新のお知らせをご確認ください。
エックスサーバーは、今回の２件に関する対応状況とよくある質問（外部サイト）も公開しています。別のPHP脆弱性の対応状況は、各案内で個別に確認してください。
エックスサーバーのサービスについては、公式サイトで詳しくご覧いただけます。 ※エフ・ファクトリーはエックスサーバーのビジネスパートナーです。以下は紹介リンクです。
WordPressサイトの運営者が今すぐ確認したいこと
1. サーバー会社のお知らせを確認する
まずは、ご利用中のレンタルサーバー会社やホスティング事業者のお知らせで、「PHP2Shell」または２つのCVE番号についての対応状況を確認してください。管理会社に運用を任せている場合は、そちらへの問い合わせでも構いません。
確認したいのは、対象のサイトを動かすPHPに修正が適用済みか、未対応ならいつ対応されるかです。複数のサーバーやサイトを契約している場合は、それぞれ確認します。
PHP公式が10月21日に公開した修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。ただし、サーバー会社やOSの提供元が、表示されるバージョン番号を変えずに修正だけを適用する場合もあります。表示上の番号だけで安全・危険を断定せず、提供元の案内を確認してください。 PHP 8.1以前はPHPプロジェクトの公式サポートが終了しているため、提供元の修正の有無と、サポート対象のバージョンへの移行を相談しましょう。PHP 8.2も2026年12月31日にサポート終了予定です。 PHP公式の案内（外部サイト）
2. PHPの更新は、バックアップと互換性を確認して進める
PHPのバージョンを変更すると、古いテーマやプラグインが新しい環境に対応しておらず、表示や機能に不具合が出ることがあります。サイトのファイルとデータベースのバックアップを確保し、復元方法も確認したうえで、可能であれば検証環境で動作を確かめましょう。
更新後は、トップページだけでなく、管理画面、問い合わせフォーム、予約・決済などの重要な機能も確認します。不安がある場合は、制作会社やサーバー管理者に依頼してください。
ただし、今回の２件は重大で、実際の悪用も報告されています。互換性の確認を理由に長期間放置せず、すぐに対応できない場合も管理者やサーバー会社へ至急相談しましょう。PHP公式は、暫定的な設定変更では一部の攻撃経路しか軽減できず、修正の適用が必要だとしています。
3. WordPress本体・テーマ・プラグインも点検する
PHPを修正した後も、WordPress本体、テーマ、プラグインの更新は欠かせません。不要なプラグインや使っていないテーマは整理し、更新が長期間止まっているものは代替も検討します。
それぞれに別の脆弱性が存在することがあるためです。ただし、これらの更新やセキュリティプラグイン、WAFの導入だけで、今回のPHP本体の修正を代替することはできません。
4. 更新後も、サイトに異常がないか確認する
修正は、今後の攻撃リスクを下げるために必要です。一方、更新前に侵入されていた場合、更新だけで不正なファイルや設定が自動的に消えるとは限りません。
身に覚えのない管理者アカウント、見慣れないファイル、意図しないページの表示、サーバー会社からの警告などがないか確認しましょう。疑わしい点があれば、証拠を安易に消さず、サーバー会社や専門家に相談してください。状況に応じてログの調査、認証情報の変更、復旧作業が必要になります。
脆弱性のニュースに便乗した不審な営業にもご注意ください
重大な脆弱性が話題になると、その不安に便乗して、高額な契約を急がせるような営業や、不審な連絡が来る可能性があります。今回の件に関する連絡も、内容をよく確認してから対応しましょう。
例えば、サイトの状況を具体的に確認していないのに「今すぐ契約しないと危険です」と強く迫る、根拠を示さず「すでに被害に遭っています」と断定する、その場で高額な作業や長期契約を決めさせようとする、といった場合は注意が必要です。
電話やメールを受けても、その場で契約を決めたり、WordPressやサーバーのパスワード、二段階認証のコードを伝えたりせず、まずは契約中のサーバー会社や制作・保守の担当者に、公式サイトなどで確認した連絡先から相談してください。作業を依頼する場合は、何を確認し、どの作業を、いくらで行うのか、見積もりや説明を確認しましょう。
もちろん、脆弱性への正当な注意喚起や保守のご案内もあります。大切なのは、連絡があったことだけで判断せず、内容や根拠を確かめることです。
よくある質問
気になるポイントをまとめました。
WordPressを最新版にしていれば安心ですか？
WordPress本体の更新は大切ですが、今回の２件についてはサーバー側のPHPにも修正が必要です。WordPressとPHPの両方を確認してください。
PHPのバージョンはどこで確認できますか？
WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」や、サーバー会社の管理画面で確認できる場合があります。ただし、表示された番号だけでは個別の修正適用状況を判断できないことがあるため、サーバー会社の案内も確認しましょう。
自分でPHPを更新するのが不安です。どうすればよいですか？
契約中のサーバー会社、サイトの制作会社、または保守担当者に確認を依頼してください。「CVE-2026-109618とCVE-2026-109619の修正は、対象サイトのPHPに適用されていますか」と伝えると、確認がスムーズです。
修正を適用したら、過去に侵入されていないと判断できますか？
いいえ。修正の適用状況と、過去の侵入の有無は別の確認です。異常や警告がある場合は、ログやファイルなどを調査してください。
ホームページは「作って終わり」ではなく、運用も大切です
WordPressは、更新しやすく、多くの機能を追加できる便利な仕組みです。その一方で、WordPress本体だけでなく、PHPやプラグイン、サーバーを含めた継続的な管理が欠かせません。
ホームページは、会社の情報を届けるだけでなく、お客様からの問い合わせを受け付ける大切な窓口でもあります。今回のニュースを、普段は見えにくいサーバーの管理やバックアップ体制を見直すきっかけにしていただければと思います。
ご自身のサイトの状況が分からない場合や、営業を受けて対応に迷っている場合も、エフ・ファクトリーへお気軽にご相談ください。他社で制作したホームページについても、無料でご相談を受け付けています。
参考情報
- PHP公式：重大なリモートコード実行の脆弱性に関するセキュリティ情報（外部サイト）
- Canadian Centre for Cyber Security：PHPの重大な脆弱性に関する注意喚起（外部サイト）
- NHS England：PHP2Shellに関する注意喚起（外部サイト）
- WordPress公式：PHPの更新（外部サイト）
- エックスサーバー：PHPの脆弱性への安全対策（外部サイト）
この記事の監修者
青山 忠司 あおやま ただし
WordPressを活用したホームページ制作から、公開後の運用・集客改善まで幅広く携わる。Google AnalyticsやSearch Consoleなどのデータをもとに、企業や店舗のWeb活用を支援している。 詳しいプロフィールはこちら
