2026年10月21日、PHPに「緊急」レベルの脆弱性2件（通称「php2shell」）が見つかり、日本時間の同日午後11時ごろに修正版が公開されました。それに先立つ午後10時前、高市早苗首相が自身のXで、修正パッチをすぐに適用できるよう準備することを呼びかけました。
どんな脆弱性なのか
今回見つかったのは、CVE-2026-109618 と CVE-2026-109619 の2件です。いずれも、認証なしで外部から任意のコードを実行されるおそれがあります。窓の杜によると、2件とも危険度は「Critical（致命的）」で、CVSS 4.0の基本値は9.2です。WordPressやLaravelなど、さまざまな構成で攻撃が再現するとされています。
ITmedia NEWSによると、修正版の公開前に脆弱性の情報がネット上に流出し、攻撃の試みもすでに観測されていました。
首相と政府の呼びかけ
高市首相は10月21日午後10時前、自身のXアカウントで次のように投稿しました。
今夜に対応して頂きたい大至急のお願い
――高市早苗首相（Xへの投稿より）
投稿では、修正パッチを「可及的速やかに適用できる準備」をするよう求めたうえで、すぐに適用できない場合の対策にも触れています。
例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ
――高市早苗首相（Xへの投稿より）
国家サイバー統括室も、Xで同じ内容を呼びかけました。
国内のサービスにも影響
ITmedia NEWSによると、ネットショップ作成サービスの「BASE」や、保育園向けサービスの「コドモン」などが、対応のために緊急メンテナンスを行いました。大手から中小まで、幅広いサービスが影響を受けています。
さくらインターネットは、修正版の公開に先立つ21日午後10時30分から、予防のための緊急メンテナンスを行いました。23日午後5時時点の調査では、この脆弱性を悪用した不正アクセスや情報漏えいは報告されていないとしています（同社の発表）。
自社で確かめたいこと
修正版は、PHP 8.5.12／8.4.27／8.3.36／8.2.35 です（Help Net Security）。
- 自社のWebサイトやシステムでPHPを使っているか、制作会社や運用会社にも確認する
- 使っている場合は、修正版にすぐ更新する
- サポートが終わったPHP 8.1以前を使っている場合は、修正の提供元を確認するか、サポート中の版へ移行する
- すぐに更新できない場合は、サイトの一時停止も検討する
KAROYAイージスからひとこと
今回の脆弱性は、修正版が出る前から攻撃が始まっていたように、自社のサイトがどんな仕組みで動き、どこに弱点があるのかを日ごろから把握しておくことの大切さを示しました。制作会社に任せきりで、PHPを使っているかどうかも分からないという会社も少なくありません。KAROYA イージスの脆弱性診断は、技術開発・監修パートナーである株式会社フォアーゼットの監修のもと、専用のツールでWebサイトや社内ネットワークを調べ、狙われそうな弱点を洗い出して対策レポートにまとめます。自社のサイトが心配な方は、お気軽にご相談ください。
出典
ITmedia NEWS「高市総理「大至急、PHPパッチ適用を」Xで異例の要請 エンジニアは評価「経営層に伝わる」」（2026年10月22日） 記事を見る