【PHP2Shell】PHPの重大な脆弱性を素人向けに説明 ― 一般の方がやることは3つ、ブログ運営者が確認することも3つ（2026年10月23日時点）

※本記事にはプロモーションを含みます

ニュースで「PHPに重大な脆弱性」「緊急メンテナンス」と見かけて、何のことかよく分からないまま不安になった。そんな方は、多いのではないでしょうか。

わたしもその一人です。ブログを動かしているWordPressは、実はPHPというものの上で動いています。使っているA8.netの管理画面にも、「PHPの脆弱性対応に伴う広告主サイトのメンテナンス」というお知らせが出ていました。

そこで、公式の発表やセキュリティ会社の解説を読んで、何が起きたのか・何が危ないのか・いま何をすればいいのかを、できるだけやさしい言葉でまとめました。専門家ではないので、確認できたことと、まだ分からないことを分けて書きます。

同じように不安な方の参考になればと思い、まとめておきます。

この記事でわかること

• PHPの脆弱性「PHP2Shell」とは何か（用語を4つだけ説明します）
• 何がそんなに危ないのか、公式の情報で確かめた3つの理由
• 一般の方がやること3つと、ブログ・サイト運営者が確認すること3つ

まず結論から：一般の方は「あわてない・だまされない・使い回さない」。運営者は「お知らせ・番号・バックアップ」を確認

先に結論です。今回の問題は、主にWebサイトを動かす側（サーバー）で直すものです。サイトを見ているだけの方が、スマホやパソコンに何かを入れて直す話ではありません。

わたしのブログのサーバーはConoHa WINGです。ConoHaは、2026年10月22日の公式のお知らせで、サーバーへの修正の適用を完了したと発表していました。後ほど、その内容を詳しく書きます。

PHP・脆弱性・パッチ・サーバー ― 用語を4つだけ説明します

専門用語が多くて読む気がなくなる、という声をよく聞きます。必要な言葉は4つだけです。

PHPは、世界中のたくさんのサイトで使われています。セキュリティ会社のWizは、今回の問題の解説ページで「インターネットの70%に影響する」という表現を使っています。これは同社の見出しの表現で、わたしが確かめた数字ではありません。

何が起きた？ 2026年10月21日の夜、PHPの開発元が緊急の修正版を出しました

PHPの公式サイトの告知によると、2026年10月21日（日本時間23時）に、重大な脆弱性2件を直した修正版が公開されました。

• 脆弱性の番号：CVE-2026-109618とCVE-2026-109619（2件）。まとめて「PHP2Shell」と呼ばれています
• 深刻度：どちらもCVSS v4.0で9.2（最大は10）。公式の評価で、いちばん重い区分の「Critical（重大）」です
• 修正版：PHP 8.5.12、8.4.27、8.3.36、8.2.35
• どうなる可能性があるか：ログインしていない人が、外からサーバーの上でプログラムを動かせてしまう可能性があります（専門用語で「リモートコード実行」）

カスペルスキーの解説では、仕組みは次のように説明されていました。Webのリクエスト（見に来た人からの要求）が、メモリ不足などで途中で止まったとき、PHPが中途半端なデータを残してしまい、そのあとで読み込んでしまう、というものです。

わたしなりのたとえでいうと、作業の途中で片付けが中断され、散らかった書類が残ったまま、次の人がそれを正しい書類だと思って使ってしまうようなイメージです。これは、仕組みを理解しやすくするためのたとえで、公式の説明そのものではありません。

何がそんなに危険？ 公式の情報で確かめた3つの理由

① ログインしていない人が、外から仕掛けられる可能性がある

パスワードを破る必要がありません。公式の告知でも、いずれの脆弱性も「未認証（ログインなし）でリモートコード実行につながる可能性がある」と書かれていました。

② 乗っ取られると、サイトの中身を操作される可能性がある

カスペルスキーによると、動かされたプログラムは「Webサーバーの権限」で実行されます。一般に、サイトの改ざんや、サイトに保存されたデータの閲覧・持ち出しにつながるおそれがあります。具体的にどこまでできるかは、サーバーの設定しだいで、ここは一概には言えません。

③ 範囲が広く、修正版が出る前から悪用の試みが報告された

PHPの公式は、Webのリクエストを処理するすべての環境（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど）が対象で、なかでもmod_phpのリスクがいちばん高いと説明しています。

BleepingComputerの記事によると、Cloudflareは、修正版が出る前から、この2件を狙った攻撃を確認したと報告しています。また、VirusTotalは、510万台を超えるPHPのホストがインターネットに公開された状態にあると推定している、と伝えています。

ただし、報道は食い違っています。米国の医療機関向け情報共有組織（Health-ISAC）は、早い時期の情報で「悪用は確認されていない」としていました。時間がたつと状況が変わるため、最新の情報は公式の発表で確認してください。

実際に、身近なところで何が起きた？ 緊急メンテナンスが相次ぎました

GIGAZINEの記事によると、2026年10月21日から22日にかけて、BASE、pixiv、ニコニコ、メロンブックス、BOOK☆WALKERなど、多くのサービスが緊急メンテナンスに入ったと伝えられています。

わたしの身近なところでも、A8.netが「PHPの脆弱性対応に伴う広告主サイトのメンテナンス」を案内していました。

これは、サービス側が、修正版を入れるためにいったん止めたり、予防として機能を止めたりしたものです。「止まった＝被害が出た」とは限りません。むしろ、被害を防ぐための作業であることが多いと考えられます。

一般の方がやること3つ ― サイトを見る・サービスを使うだけの方へ

先に書いたとおり、カスペルスキーの解説は企業やサーバー管理者向けで、一般の方向けの具体的な手順は書かれていませんでした。以下は、公式情報とわたしの調べをもとにした、一般的な心がまえです。

① あわてない。メンテナンス中のサービスは、待つ

サービスが止まっていたら、復旧を待ちます。この問題を理由に、新しいソフトを慌てて買ったり、知らないアプリを入れたりする必要は、今のところ確認できていません。

② メールやSMSのリンクは踏まない。公式サイトかアプリで確認する

大きな話題が出ると、「緊急メンテナンスのため再ログインしてください」のような偽のメールが出回りやすくなります。心配なときは、メールのリンクではなく、普段使っている公式のアプリやブックマークからサービスを開いて、お知らせを確認します。くわしくは、フィッシング詐欺から守る7つの習慣にまとめています。

③ パスワードを使い回さない。サービスから案内があったら変える

サービス側から「パスワードを変更してください」という案内が、公式の画面やアプリに出たときは、その指示に従います。日ごろから、同じパスワードをいくつものサービスで使い回さないことが、いちばんの備えです。

ブログ・サイト運営者が確認すること3つ

レンタルサーバーでブログを運営している方向けです。先に言うと、多くの場合、サーバー会社が対応してくれます。

① レンタルサーバーのお知らせを読む

ConoHa WINGの公式のお知らせによると、2026年10月22日20時45分に、サーバーへのセキュリティパッチの適用が完了しました。提供中のすべてのPHPバージョンに修正を入れていて、利用者がPHPのバージョンを変える必要はないとされています。ほかのサーバー会社も、自分の契約先のお知らせを確認してください。

② PHPのバージョン番号を確認する。ただし、番号が古くても修正済みのことがある

ConoHaのお知らせには、重要な注意がありました。今回の方法は、PHPのバージョンを上げるのではなく、今のバージョンのまま修正プログラムだけを入れるというものです。そのため、WordPressの「サイトヘルス」などで確認すると、公式の修正版の番号（例：8.5.12）ではなく、これまでと同じ番号（例：8.5.11）が出ることがあります。ConoHaは、表示される番号にかかわらず、修正は適用済みと説明しています。

つまり、番号だけを見て「まだ直っていない」と慌てなくてよい場合があります。ほかのサーバー会社は、やり方が違うことがあるので、お知らせで確認してください。

③ バックアップを取ってから。PHPの番号はむやみに変えない

PHPのバージョンを自分で変えると、テーマやプラグインが動かなくなることがあります。変える前に、サイトとデータベースのバックアップを取ってください。また、PHP 8.1以前はPHPの公式の更新が終わっています。8.2も2026年12月31日にサポート終了の予定です。急がなくてよいですが、年内から、移行の予定を立てておくと安心です。

なお、VPSなどで自分でPHPを入れている場合は、サーバー会社が自動で直してくれません。自分で修正版に更新する必要があります。

（参考）更新まで自分で気にしたくない方へ

ここまで読んで、「PHPの更新まで自分で見るのは大変そう」と感じた方もいるかもしれません。わたしは、このブログのサーバーにConoHa WINGを使っています。今回ConoHaは、利用者がPHPのバージョンを変えなくてよい形で、提供中のすべてのPHPバージョンに修正を適用したと、公式のお知らせで発表していました（上で紹介したものです）。

ただし、対応のしかたや速さはサーバー会社ごとに違います。どこを選んでも同じとは言えないので、契約を考えるときは、各社の公式のお知らせや仕様を見比べてください。ConoHa WINGは、公式サイトで2026年11月5日までのキャンペーンが案内されていました（2026年10月23日時点・最新の条件は公式サイトで確認してください）。

【受付停止のお知らせ（2026年10月27日時点）】ConoHaは、2026年10月24日（土）13:40から、緊急メンテナンスのため、新規のお申し込みの受付を一時停止しています。再開の日時は未定です（A8の広告主のお知らせと、ConoHa公式のお知らせの見出しで確認しました）。申し込む前に、ConoHa公式のお知らせでご確認ください。

ConoHa WING の公式サイトで料金プランを見る

まだ分かっていないこと ― 正直に書きます

• 実際の被害の広がり：悪用の試みの報告はありますが、どれだけ被害が出たかは、わたしには確認できていません
• 報道の食い違い：深刻度を10.0とする報道と、公式の9.2とで差があります。この記事では、公式の9.2を使いました
• 一般の方への影響の範囲：利用中のサービスの情報が漏れたかどうかは、各サービスの発表を待つしかありません
• ほかのサーバー会社の最新状況：お知らせは更新されます。契約先の最新のお知らせを確認してください

さいごに：一般の方はあわてず公式で確認、運営者はお知らせ・番号・バックアップの3つ

• PHP2Shellは、PHP本体の重大な脆弱性2件（CVSS 9.2）。2026年10月21日に修正版が出ました
• ログインなしで、外からサーバー上でプログラムを動かされる可能性があり、修正版が出る前から悪用の試みが報告されました
• 一般の方は、あわてない・メールのリンクを踏まない・パスワードを使い回さない
• 運営者は、サーバーのお知らせを読み、PHPの番号を確認し、変更前にバックアップを取る

ニュースの見出しを見ると、不安になるのは当然です。でも、今回は、サーバー会社や開発元が、修正版の公開から1日ほどで対応を進めていました。公式のお知らせを確認して、落ち着いて順番に確かめれば大丈夫だと考えています。

同じように悩んでいる方の参考になればうれしいです。

※本記事は2026年10月23日時点で調べた内容です。PHPの修正版の公開は2026年10月21日（日本時間23時）、ConoHa WINGの対応完了の発表は2026年10月22日20時45分時点のものです。状況は変わるため、最新の情報はPHPの公式サイトと、ご利用のサーバー会社の公式のお知らせでご確認ください。本記事は個人が調べた内容をまとめたもので、特定の商品の推奨や、個別の状況に応じた助言を目的としたものではありません。最終的な判断はご自身の状況に合わせて行ってください。