トレンド

PHP2Shellとは|PHPの重大な脆弱性(CVE-2026-109618・109619)で何が起き、何をすべきか

公開日:2026-10-29

結論:まずここだけ読めばOK

1.通称「PHP2Shell」は、PHP本体の2つの脆弱性(CVE-2026-109618・109619)のこと。ともにCVSS v4.0で9.2(Critical)で、認証なしで遠隔からコードを実行されるおそれがある
2.修正版は、PHP 8.5.12・8.4.27・8.3.36・8.2.35(10月21日公開)。8.1以前は、公式の修正版がなく、最小限の修正ソースの提供や、事業者による独自対応が中心
3.根本的な対策は、PHP本体を修正版にして、再起動すること。設定の変更は、攻撃の一部を減らせても、完全な対策にはならない
4.WordPressなどを最新にしても、PHP本体が古ければ、直らない。レンタルサーバーの場合は、事業者の対応状況を確認する
5.利用者は、サービスの一時停止=情報漏えい、とは限らない。公式のお知らせを確認し、便乗した偽メールに注意する

詳しい手順・原因は、この下で解説しています。

トレンドのイラスト

結論: **「PHP2Shell」は、PHP本体で見つかった、2つの重大な脆弱性(CVE-2026-109618・CVE-2026-109619)の通称です。認証なしで、遠隔からコードを実行されるおそれがあり、深刻度は、ともにCVSS v4.0で9.2(Critical)**です。2026年10月21日に、修正版(PHP 8.5.12・8.4.27・8.3.36・8.2.35)が公開され、国内でも、多くのサービスが、緊急メンテナンスや一時停止を行いました。根本的な対策は、PHP本体を修正版にして、再起動することです。

この記事は、2026年10月29日時点の、公開されている情報に基づいています。続報で内容が変わる可能性があるため、最新は、PHPの公式情報と、お使いのサービスのお知らせを確認してください。攻撃の具体的な手順は、ここでは扱いません。

何が起きたのか

日付	出来事
10月20日ごろ	重大な脆弱性の修正が予告された。この時点では、技術的な詳細や、修正版の番号は、未公開だった
10月21日	PHP開発チームが、2件の脆弱性と、修正版を公開(日本時間の夜)
10月21〜22日	国内のレンタルサーバー、ECサービスなどが、緊急メンテナンスや、一部サービスの一時停止を実施
10月22日	ロリポップが、PHP 5.3〜8.5の全系列に、修正を適用し、サイトの表示を再開したと報じられた
10月26日以降	米当局が、この脆弱性の悪用を確認したとして、注意を呼びかけたと報じられた

さくらインターネット、KUSANAGI、BASE、カラーミーショップなどからも、パッチの適用や、緊急メンテナンスが公表されました。

「2つの脆弱性」を、やさしく言うと

**CVE-2026-109618:**メモリが足りなくなって、処理が途中で止まった時に、内部のデータが、中途半端な状態で残り、後片付けの処理が、それを正しいデータとして扱ってしまう不具合
**CVE-2026-109619:**あるリクエストが使っていた内部の状態が、メモリを解放したあとも残ってしまい、次の処理に影響する不具合

どちらも、組み合わせると、**サーバー上で、外部から指示したプログラムを動かされる(RCE)**可能性がある、とされています。ログインなどの認証が、必要ないため、深刻度が、高く評価されました。深刻度の見方は、CVSSとはで解説しています。

影響を受けるバージョンと、修正版

PHPの系列	修正版	補足
8.5系	8.5.12	8.5.11以前が対象
8.4系	8.4.27	8.4.26以前が対象
8.3系	8.3.36	8.3.35以前が対象
8.2系	8.2.35	8.2.34以前が対象
8.1以前	公式の修正版なし	7.4・8.0・8.1向けには、最小限の修正ソースが提供された。サポート対象への移行が必要

セキュリティ企業の調査では、問題の根は古く、PHP 5.x、7.x、8.xに広く影響すると考えるべきだと報じられています。Linuxの配布元(Ubuntuなど)は、バージョン番号が古く見えても、修正を取り込んだパッケージを提供している場合があります。番号だけで判断せず、配布元の案内を確認してください。

誰が、何をすればいいのか

PHP開発チーム、サーバー事業者、サイト運営者、利用者が、それぞれやることの図解

なぜ、多くのサービスが止まったのか

**PHPが、広く使われているため:**ブログ、ECサイト、会員サイト、大学や自治体のサイトなど、多くのWebサイトの裏側で、動いています(PHPについては、PHPとはを参照)
**認証なしで、遠隔から攻撃できるおそれがあるため:**攻撃の前に、修正を適用するほうが、安全だと判断された
**修正の適用に、再起動が必要なため:**メンテナンスのために、一時的に停止する必要があった

**サービスの停止は、被害を受けた、という意味とは限りません。**予防的な措置として、停止した例もあります(たとえば、ツイキャスは、10月21日に、不正アクセスに伴う措置ではないと明記して、予防的に停止しました。10月28日の停止は、別の件として報じられています)。

サイト運営者が、やること

自分のサイトが対象かを確認する流れの図解

PHPのバージョンを確認する(コントロールパネル、WordPressのサイトヘルス、php -v)
レンタルサーバーなら、事業者の対応状況を確認する(対応済みか、再開済みか)
自分で管理するサーバーなら、修正版へ更新し、Apache・PHP-FPMなどを再起動する
PHP 8.1以前は、サポートされる系列へ移行する(移行後は、動作確認を行う)
WordPress・プラグイン・テーマも、最新にする(別の脆弱性の悪用を防ぐ)
不審な点がないか、確認する(見覚えのないファイル、アクセスログ、公開されているファイルの確認)

**設定の変更だけでは、完全な対策になりません。**更新を、最優先にしてください。

サービスを使う側(利用者)が、やること

**公式のお知らせを確認する:**一時停止や、再開、必要な対応(パスワード変更など)は、各サービスの案内に従う
便乗した偽メールに、注意する:「緊急のパスワード変更」「アカウント停止」などを装う、フィッシングメールが出やすい時期(フィッシングメールの見分け方)
パスワードの使い回しを避け、二段階認証を設定する
個人情報の漏えいが公表された場合は、案内に従う(個人情報流出 2026年10月の主な事案)

よくある誤解

誤解	実際
WordPressを更新したから、大丈夫	脆弱性は、PHP本体にある。PHPの修正版が必要
画面にPHP 7.4と出ているから、危険だと決まっている	事業者が独自に修正を適用している場合がある。案内を確認
サービスが止まった=個人情報が漏れた	予防的な停止の場合もある。公式発表を確認
設定を変えれば、更新しなくていい	設定変更は、一部の攻撃を減らすだけで、完全ではない
古いPHPのままでも、サイトが動いているから、問題ない	8.1以前は、公式の修正版がない。移行が必要

出典

まとめ

PHP2Shellは、PHP本体の2つの重大な脆弱性(CVSS 9.2)。認証なしで、遠隔からコードを実行されるおそれがある
修正版は、8.5.12・8.4.27・8.3.36・8.2.35。8.1以前は、サポート対象へ移行する
根本的な対策は、PHP本体の更新と再起動。WordPressの更新だけでは、直らない
利用者は、公式のお知らせを確認し、便乗フィッシングに注意する

SHAREX LINE はてブ

よくある質問

Q.WordPressを最新にしていれば、大丈夫ですか?

A.いいえ。この脆弱性は、WordPressではなく、PHP本体にあります。WordPressの更新だけでは直りません。PHP本体を、修正版にする必要があります。レンタルサーバーの場合は、事業者が対応していることが多いため、お知らせを確認してください。

Q.管理画面に「PHP 7.4」と表示されています。危険ですか?

A.表示だけでは、判断できない場合があります。たとえば、ロリポップは、「PHP 7.4.33」と表示されても、同社の修正を適用済みの環境では、今回の2件への対策が反映されている、と案内しています。ただし、PHP 8.1以前を使い続けることは推奨されず、サポートされる系列への移行と、動作確認が必要です。事業者の案内を確認してください。

Q.自分のサイトのPHPのバージョンは、どこで確認できますか?

A.レンタルサーバーなら、コントロールパネルのPHPの設定画面です。WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」に、PHPのバージョンが表示されます。自分で管理しているサーバーなら、コマンドで「php -v」を実行します。

Q.設定を変えるだけで、対策できませんか?

A.PHP公式は、設定の変更で、特定の攻撃経路を減らせても、更新に代わる完全な対策にはならない、と説明していると報じられています。まず、修正版の適用を優先し、更新が難しい場合だけ、暫定的な軽減策を検討してください。

Q.サービスを使っている側(利用者)は、パスワードを変える必要がありますか?

A.一時停止や、緊急メンテナンスは、予防的な措置の場合もあります。必要な対応は、各サービスの公式のお知らせに従ってください。一般的な備えとして、パスワードの使い回しを避け、二段階認証を設定しておくと安心です。