2026年10月21日、PHPの開発元は、緊急レベルの脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正した PHP 8.5.12、8.4.27、8.3.36、8.2.35 を公開しました。IPA（情報処理推進機構）も公開前から事前準備を呼びかけており、国内でも多くのサービスが緊急メンテナンスを行いました。
何が起きたのか
今回の2件は「php2shell」とも呼ばれ、悪用されると、ログインしていない外部の攻撃者にサーバー上でプログラムを実行される（リモートコード実行）おそれがあります。PHPの開発元は、すべての利用者にすぐ更新するよう強く推奨しています。
修正版の公開前後から、悪用の試みも報告されています。
- Amazonは、公表の4日前にあたる10月17日に、自社のおとり用サーバー（ハニーポット）で攻撃の試みを観測したとしています。
- CloudflareのCEOは、攻撃の試みが公表後に急増し、10月22日午前の時点で数百万件にのぼるとしています。
- 一方、米国のCISAは、注意喚起を出した時点では悪用を観測していないとしています。
国内では、コドモン、BASE、pixivなどがサービスを一時停止したり緊急メンテナンスを行ったりしました。さくらインターネット、エックスサーバー、GMOペパボといったレンタルサーバー事業者も、緊急メンテナンスを実施しています。
ステップ1：自社サイトのPHPのバージョンを確かめる
まず、自社のWebサイトがどのバージョンのPHPで動いているかを確かめましょう。
- WordPressを使っている場合：管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。
- レンタルサーバーを使っている場合：管理画面や事業者からのお知らせで確認できます。
- サーバーを自社で管理している場合：`php -v` で確認できます。ただし、コマンドで表示されるPHPと、Webサイトで実際に動いているPHPが別のこともあるので注意が必要です。
なお、今回の問題はPHP本体の脆弱性です。WordPress.orgは、WordPress本体の更新は不要だと説明しています。WordPressやプラグインを最新にしても、この脆弱性は解消されません。
ステップ2：修正版が当たっているかを確かめる
次の一覧で、使っているバージョンが修正版より前かどうかを確かめます。
- 8.5系：8.5.12 より前なら対象 → 8.5.12 へ
- 8.4系：8.4.27 より前なら対象 → 8.4.27 へ
- 8.3系：8.3.36 より前なら対象 → 8.3.36 へ
- 8.2系：8.2.35 より前なら対象 → 8.2.35 へ
- 8.1以前：PHPの通常のサポートが終わっています。提供元に修正があるかを確認し、サポートが続いているバージョンへの移行を検討しましょう。
レンタルサーバーによっては、修正を当てても表示されるバージョン番号が変わらない場合があります。番号だけで判断せず、事業者の「対応完了」のお知らせを確認しましょう。制作会社や保守会社に任せている場合は、「PHPのバージョンと、修正を当てたかどうか」を問い合わせるのが確実です。
すぐに更新できない場合のために、設定の変更による暫定的な対策も案内されています。ただしPHPの開発元は、これらは被害の可能性を減らすだけで、更新が唯一の完全な解決策だとしています。
ステップ3：攻撃の痕跡がないかを確かめる
更新が済んでも、それより前に攻撃を受けていた可能性は残ります。JPCERT/CCは、次のような点を確認するよう案内しています。
- 異常に長い、または形式のおかしい `PHPSESSID` Cookie が設定されていないか
- 不審なファイルアップロード形式のリクエストがないか、その前後にメモリ不足のエラーやHTTP 500のエラーが出ていないか
- PHPの処理プロセスが予期せず止まったり、頻繁に再起動したりしていないか
ただし、こうした痕跡が見つからなくても、攻撃を受けていないとは言い切れないとされています。気になる点があれば、保守会社や専門家に相談しましょう。
最新の情報を確認し続けましょう
今回の脆弱性は、悪用の状況や各社の対応が日ごとに変わっています。この記事は2026年10月22日時点の情報をもとにしているため、対応を進める際は、その都度新しい情報を確認してください。
- IPA（情報処理推進機構）やJPCERT/CCの注意喚起
- 利用しているレンタルサーバー事業者や制作会社・保守会社からのお知らせ
- WordPressなど、利用しているCMSの公式情報
一度確認して終わりにせず、続報が出ていないかを定期的に見直すことが大切です。脆弱性への対応は、公表されてから時間との勝負になります。「自社サイトがどこで、どのバージョンで動いているか」「誰に聞けば更新状況が分かるか」を、普段から把握しておきましょう。
参考リンク
KAROYAイージスからひとこと
今回のPHPの脆弱性では、修正版の公開と前後して攻撃の試みが報告されました。ソフトウェアを最新に保つことが基本ですが、更新までのすき間を埋めるために、不正な通信を入口で止める仕組みも重ねておきたいところです。KAROYA イージスのUTMは、オフィスの出入口で不正侵入を自動でブロックします。技術開発・監修パートナーである株式会社フォアーゼットの監修で、リースもご利用いただけます（※審査あり）。自社の対策に不安があれば、お気軽にご相談ください。
出典
ITmedia NEWS「PHPの『緊急』レベルの脆弱性、開発元が修正バージョン公開 『直ちにアップデートを』」（2026年10月22日）／IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）／piyolog「PHPの2件の深刻な脆弱性（CVE-2026-109618、CVE-2026-109619）についてまとめてみた」／セキュリティ対策Lab「PHPの重大な脆弱性『php2shell』…修正版と国内サービスの対応状況」／SmartScope「PHP 緊急の脆弱性 CVE-2026-109618/109619 の修正版公開：自分は対象？版の確かめ方と更新」 記事を見る