目次
先に結論：WordPressサイトを運用しているなら、今すぐPHPのバージョンを確認してください
- 2026年10月21日、PHPに重大な脆弱性「php2shell」の修正版が公開されました
- 深刻度はCVSS v4.0で9.2（緊急）。認証なしで外部から不正なプログラムを実行される恐れがあります
- WordPressを最新にしていても、土台のPHPが古ければ対象です
- 修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降
- パッチ適用だけでは不十分な場合があります（後述する情報漏えいへの対応が必要です）
- 複数のセキュリティ企業が、この脆弱性を狙った攻撃の試行と無差別なスキャンを観測したと報告しています
- 現時点で「侵入に成功した」という確認報告は出ていませんが、状況は時間単位で変わり得ます
- 国内のレンタルサーバー各社が緊急メンテナンスや管理画面の一時停止に踏み切りました（詳細は後述）
- 出回っている一部の回避策について、PHP公式が完全な対策ではないと明言しています
宮古島・石垣島でも、自社ホームページや採用ページをWordPressで運用している事業者は少なくありません。今回の件は、プラグインやテーマの問題ではなくWordPressを動かしている土台そのものに関わる話です。
「制作会社に任せているから大丈夫」と考えたくなるところですが、放置された場合に被害を受けるのは自社です。本記事では、技術者でない事業者の方が判断できるように、何が起きていて何を確認すべきかを整理します。
何が起きたのか
2026年10月21日、PHPの開発チームが2件の脆弱性に対する修正版を公開しました。通称「php2shell」と呼ばれています。
| CVE番号 | 内容 |
|---|---|
| CVE-2026-109618 | メモリ不足が発生したときの異常処理に問題があり、不正な状態のメモリを扱ってしまう。メモリ内容の漏えいも発生し得る |
| CVE-2026-109619 | 前の処理の状態が残り、解放済みのメモリを後続の処理が参照してしまう |
いずれも条件がそろうと、攻撃者がログインすることなくサーバー上で任意のプログラムを実行できる状態になります。いわゆるリモートコード実行（RCE）です。
想定される被害は、サイトの改ざん、個人情報や問い合わせ内容の窃取、不正プログラムの設置、サーバーの踏み台利用、サービス停止などです。採用ページから応募者の個人情報を受け取っている場合、その情報も危険にさらされます。
今回の件で特に注意が必要なのは、脆弱性の詳細が公式の修正版が出る前日（10月20日）に流出していたと報じられている点です。通常は「パッチ公開 → 攻撃者が解析 → 攻撃開始」という順序ですが、今回は修正版が出る前から攻撃可能な情報が出回っていました。
そして修正版の公開（日本時間10月21日23時）直後から、複数のセキュリティ企業が実際の攻撃の試行と、脆弱なサーバーを探す無差別なスキャンを観測したと報告しています。
現時点では「侵入に成功した」という確認報告までは出ていません。ただし、これは「まだ大丈夫」という意味ではなく「まだ確認されていない」という意味です。攻撃インフラはすでに動いている前提で対応してください。
なぜWordPressユーザーに関係するのか
ここは誤解しやすい点です。今回の脆弱性はWordPress本体の問題ではありません。WordPressを動かしているPHPというプログラムの問題です。
WordPressはPHPで書かれたソフトウェアなので、PHPという土台の上で動いています。土台に穴が開いていれば、その上に載っているWordPressが最新版でも攻撃を受ける可能性があります。
家にたとえると
WordPressが「家」、PHPが「土地と基礎」にあたります。家をいくらリフォームしても、基礎に問題があれば安全とは言えません。今回は基礎側の問題なので、WordPressのセキュリティプラグインでは防ぎきれない可能性があります。
なお、Apacheの mod_php を使った構成では、WordPressが動き出す前の段階で攻撃が成立することが確認されています。PHP-FPMなど他の実行環境も影響対象とされており、構成によって成立条件が異なります。
影響を受けるバージョンと修正版
| PHPの系列 | 修正済みバージョン | 対応 |
|---|---|---|
| PHP 8.5系 | 8.5.12 以降 | 更新する |
| PHP 8.4系 | 8.4.27 以降 | 更新する |
| PHP 8.3系 | 8.3.36 以降 | 更新する |
| PHP 8.2系 | 8.2.35 以降 | 更新する（ただし8.2は2026年末でサポート終了予定） |
| PHP 8.1以前 | 公式の新しいリリースなし | PHP 8.2以降への移行が必要 |
PHP 8.1以前を使っている場合の注意
PHPのセキュリティチームは7.4から8.1向けに最小限のソースコードのバックポート（修正の移植）を公開しています。ただしこれは自分でPHPをビルドする人向けであり、レンタルサーバーの管理画面から適用できるものではありません。また、これによって古いバージョンのサポートが延長されたわけでもありません。8.2以降へ移行することが本質的な対応になります。
バージョン番号が古いままでも、修正済みの場合があります
LinuxのOS提供元（ディストリビューション）は、修正内容を既存のバージョンに組み込んで配布することがあります。この場合、php -v やサイトヘルスで表示される番号が古いままでも、実際には修正が適用されている状態になり得ます。番号だけを見て慌てる前に、サーバー事業者に「php2shellの修正が適用済みか」を確認するのが確実です。
パッチを当てただけでは終わらない場合があります
ここが、今回の件で最も見落とされやすい部分です。
CVE-2026-109618では、メモリの内容が外部に漏れるという性質が報告されています。かつて話題になったHeartbleedと似た挙動です。
何が漏れる可能性があるかというと、
- データベースの接続情報
- ログインセッションのトークン
- 管理画面のパスワード
- TLS（SSL証明書）の秘密鍵
- 問い合わせフォームを通過した個人情報
といったものです。つまり、修正版を適用した時点より前に、すでに情報が抜かれている可能性があります。パッチを当てれば今後の侵入は防げますが、すでに漏れた情報は無効になりません。
そのため、修正を適用したあとに以下の作業が推奨されます。影響の大きさは環境によりますが、問い合わせフォームや会員機能を持つサイトほど優先度が上がります。
すべての管理者アカウントが対象です。使い回しているパスワードがあれば他のサービスも変更してください。
wp-config.php に記載されている認証用のキーを新しいものに差し替えます。これにより、盗まれたログインセッションが無効化されます。制作会社に依頼する場合は「wp-config.phpのSALTを再生成してほしい」と伝えれば通じます。サーバーの管理画面から変更し、
wp-config.php の記述も合わせて更新します。管理画面のユーザー一覧に身に覚えのないアカウントがないか、最近更新された日時のおかしいファイルがないかを確認します。
自社サイトの状況を確認する手順
まずは現状把握です。WordPressの管理画面から確認できます。
確認方法
管理画面にログイン → 左メニューの「ツール」 → 「サイトヘルス」 → 上部タブの「情報」 → 「サーバー」を開く
ここに表示される「PHPバージョン」が、前述の修正済みバージョン以上かどうかを確認します。
確認したバージョンが修正版より古い場合は、次のいずれかの対応が必要です。
レンタルサーバーを使っている場合
多くのレンタルサーバーでは、管理画面からPHPのバージョンを切り替えられます。ただし今回は、サーバー事業者側が修正版を用意しているかどうかが前提になります。
事業者への問い合わせの際は、以下のように具体的に伝えると話が早く進みます。
「CVE-2026-109618 および CVE-2026-109619（php2shell）について、御社のサーバーで修正が適用済みか教えてください。また、適用済みのPHPバージョンに切り替えるにはどうすればよいか教えてください」
国内レンタルサーバー各社の動き
今回は、多くの事業者が通常のメンテナンスではなく緊急対応に踏み切りました。2026年10月22日時点で各社の告知・報道から確認できる状況は以下のとおりです。
| 事業者 | 確認できた動き |
|---|---|
| エックスサーバー | 管理画面等へのアクセスを一時停止したうえで、全対象サーバーへ修正パッチの適用を完了したと告知 |
| さくらのレンタルサーバ | 10月21日の日中から緊急メンテナンスを実施 |
| ConoHa WING | 10月21日夜から緊急メンテナンスを実施 |
| KAGOYA／ロリポップ | PHPの脆弱性への対応であると明記して告知 |
| ヘテムル／ムームーサーバー／WPホスティング | 修正適用までの攻撃リスクを理由に、一部サーバーのサイトを一時停止 |
| バリューサーバー | 10月22日未明に全サーバーの更新作業が完了したと記載 |
告知がない事業者の場合こそ、自分で確認が必要です
すべての事業者がPHPの脆弱性に言及した告知を出しているわけではありません。たとえばお名前.comでは、2026年10月22日時点で今回の脆弱性に触れたお知らせは公開されていません（同日にレンタルサーバーのメンテナンス告知はありますが、PHPへの言及はありません）。
告知がないことは「対応していない」とも「対応済み」とも判断できません。管理画面でPHPバージョンを確認し、修正版に達していなければ問い合わせるという手順を、利用者側から踏む必要があります。
サイトが一時停止された場合
事業者の判断でサイトが停止されることがあります。これは障害ではなく、攻撃を受ける前に守るための措置です。採用ページが見られない状態が続くと応募機会の損失につながるため、停止の告知が出ていないかを定期的に確認し、復旧後は応募フォームが正常に動くかをテストしてください。
制作会社に管理を任せている場合
同じCVE番号を伝えて、対応状況と対応予定日を確認してください。「様子を見ます」という回答の場合は、その理由と暫定対策の内容を聞いてください。互換性の検証に時間がかかるのは理解できますが、検証を理由に脆弱な状態を長期間公開し続けることは避けるべきです。
PHPを上げるとサイトが壊れることがあります
ここが実務上の難所です。セキュリティ対応としてPHPを新しくした結果、サイトが動かなくなるケースがあります。
実際に起こり得る症状です。
- サイトが真っ白になって表示されない
- 管理画面にログインできなくなる
- 問い合わせフォームが送信できなくなる
- 予約機能や決済機能が止まる
- 独自に作り込んだ部分でエラーが出る
原因は、テーマやプラグインが新しいPHPに対応していないことです。特に、長く更新されていないプラグインを使っている場合にリスクが高まります。
そのため、次の順序で進めることを推奨します。
ファイルとデータベースの両方です。これを飛ばすと、問題が起きたときに戻せません。
有効化していなくても、設置されているだけでリスクになります。不要なものを減らすこと自体がセキュリティ対策です。
PHPを上げる前に、載っているもの側を新しいPHPに対応させます。
テスト環境がない場合は、アクセスの少ない時間帯に実施し、問題があればすぐ元のバージョンに戻せる体制で行います。
トップページの表示だけでなく、問い合わせフォームの送信テストまで必ず行ってください。フォームが止まっていることに気づかず、数週間分の問い合わせを取りこぼす事故が実際に起きています。
どうしてもすぐに更新できない事情がある場合は、WAF（Webアプリケーションファイアウォール）の導入やアクセス制限といった暫定対策を検討し、状況によってはサイトの一時停止も含めて判断してください。
出回っている「設定変更で回避できる」という情報に注意してください
今回の脆弱性について、PHPの特定の設定（session.upload_progress の無効化）を変更すれば回避できるという情報が広まりました。しかしPHP公式は、これが完全な対策ではないと明言しています。一部の攻撃経路を塞ぐだけで、防ぎきれるものではありません。
設定変更で対応を済ませたつもりになるのが最も危険です。あくまで更新までの時間稼ぎと位置づけ、修正版への更新を必ず実施してください。
対応費用に使える支援制度
PHPの更新に伴ってテーマやプラグインの改修が必要になり、想定外の費用が発生することがあります。宮古島・石垣島の事業者が使える支援制度を組み合わせることで、負担を抑えられる場合があります。
| 制度 | 使える場面 |
|---|---|
| デジタル化・AI導入補助金 | サイト改修に伴うITツール導入・システム刷新 |
| 沖縄DX推進支援事業 | 補助率が高く、まとまった改修に向く |
| 小規模事業者等デジタル化支援事業 | IT専門家の無料派遣を受けられる |
特に3つ目の専門家派遣は、「何から手をつければよいかわからない」という段階で相談先を確保する手段として有効です。
よくある質問
Q. WordPressを最新の7.1.3にしていれば大丈夫ですか？
いいえ。今回の脆弱性はWordPress本体ではなくPHP側の問題です。WordPressが最新でも、動いているPHPが修正前のバージョンであれば影響を受ける可能性があります。両方を確認してください。
Q. セキュリティプラグインを入れていれば防げますか？
防げない可能性があります。構成によってはWordPressが動作を始める前の段階で攻撃が成立するため、WordPress上で動くプラグインでは対処できません。PHP自体の更新が必要です。
Q. 小規模なサイトなので狙われないのでは？
今回のような脆弱性では、攻撃者が手作業で標的を選ぶのではなく、脆弱なサーバーを自動的に探索して無差別に攻撃する仕組みが使われます。サイトの規模や知名度は関係ありません。むしろ管理が行き届いていない小規模サイトのほうが狙われやすい面があります。
Q. 更新したら本当に安全になりますか？
今後の侵入に対する防御にはなります。ただし前述のとおり、修正前にすでに情報が漏れていた可能性は残るため、パスワードと認証キーの再発行まで行って初めて対応が完了したと考えてください。
Q. 自社に技術者がいない場合はどうすればよいですか？
まずサーバー事業者に修正適用状況を確認するところから始めてください。これは問い合わせるだけで済みます。そのうえで、PHPバージョンの切り替えや動作確認に不安がある場合は、制作会社やIT専門家に依頼することをおすすめします。前述の専門家派遣制度も活用できます。
まとめ
- 2026年10月21日、PHPに緊急度の高い脆弱性「php2shell」の修正版が公開された
- WordPressが最新でも、PHPが古ければ対象になる
- 修正版は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降
- 詳細がパッチ公開前に流出しており、攻撃コードも出回っている
- 情報漏えいの可能性があるため、更新後にパスワードと認証キーの再発行が必要
- PHP更新でサイトが壊れることがあるため、バックアップと動作確認を必ず行う
- 技術的な判断が難しい場合は、まずサーバー事業者にCVE番号を伝えて確認する
採用ページや問い合わせフォームを持つサイトは、応募者や顧客の個人情報を預かっています。自社の問題にとどまらないという点で、早めの対応をおすすめします。
関連記事
自社サイトの対応状況の確認方法や、改修費用に使える補助金についてご相談いただけます
無料相談はこちら（LINE）※本記事は2026年10月22日時点で公開されている情報に基づいています。本件は状況の変化が速く、各社の対応状況も随時更新されています。最新かつ正確な情報は、PHP公式（php.net）、各CVEのセキュリティアドバイザリ、および契約中のレンタルサーバー事業者の公式告知を直接ご確認ください。各社の対応状況は報道・告知をもとにした記載であり、個別サイトの動作や対応完了を保証するものではありません。
