【2026年10月】PHPの重大な脆弱性「php2shell」とは？ホームページを持つ事業者が今日確認すべき3つのこと

トップお役立ち記事【2026年10月】PHPの重大な脆弱性「php2shell」とは？ホームページを持つ事業者が今日確認すべき3つのこと

2026年10月21日、ホームページの多くを動かしている「PHP（ピーエイチピー）」というプログラムに、深刻な欠陥（脆弱性）が見つかったとして修正版が公開されました。通称は「php2shell（ピーエイチピー・トゥ・シェル）」です。

「WordPressで作ったホームページがあるけれど、うちは関係あるの？」と不安に感じている方も多いはずです。

結論からお伝えします。

この記事は2026年10月23日時点の情報をもとに書いています。

php2shellで何が起きたのか

ポイントは次の4つです。

項目	内容
公表・修正	2026年10月21日（日本時間の夜）にPHPの修正版が公開
深刻度	10点満点中9.2（最も高い「緊急」レベル）
何をされるおそれがあるか	ログインなしで、外部からサーバー上で勝手にプログラムを動かされる／サーバー内の情報を盗み見られる
対象	修正版より前の、ほぼすべてのPHP（PHP 5.4以降）

本来は10月22日に公表される予定でしたが、20日に情報が外部に漏れたため、予定を前倒しして修正版が出されました。セキュリティ会社からは、修正版が出る前の段階から、この欠陥を狙ったとみられる通信が観測されていると報告されています。

海外では、念のためにWebサイトを一時停止した公的機関もあるほど、注目度の高い問題です。

この種の攻撃は、人が一件ずつ狙うのではなく、プログラムが世界中のサイトを自動で探し回って行います。会社の大きさやアクセス数にかかわらず、対象になる可能性があります。

乗っ取られると、次のような被害につながるおそれがあります。

すでにおかしな症状がないか気になる方は、乗っ取りのサインと安全チェックリスト10項目もあわせてご確認ください。

次のどれかに当てはまれば、PHPで動いている可能性が高いです。

わからない場合は、制作を頼んだ会社に「うちのサイトはPHPで動いていますか？」と聞けば、すぐに答えてもらえます。

今回の修正版は次のとおりです。

PHPのバージョンは、レンタルサーバーの管理画面で確認できることがほとんどです。

特に注意したいのは、古いPHP（8.1以前）のまま何年も放置されているサイトです。この場合、単にボタンを押して更新すれば終わりとは限らず、PHPを新しくした途端にWordPressのテーマやプラグインが動かなくなり、表示が崩れることもあります。

意外と多いのが、「制作会社が見てくれていると思っていた」「サーバー会社がやってくれると思っていた」という思い込みです。

サーバーの種類	一般的な更新担当
一般的なレンタルサーバー（共用サーバー）	サーバー会社が対応していることが多い。ただし、サイトごとに古いPHPを選んだままになっている場合は自分での切り替えが必要
VPS・専用サーバー	契約者（自社または委託先）が更新する
制作会社の保守契約あり	契約内容しだい。「PHPの更新」が含まれているか要確認

今回、国内の大手レンタルサーバーやサーバー関連サービスでも、相次いで対応が行われています。ご自身の契約先のお知らせページやメールを、一度確認しておきましょう。

「WAF（攻撃を防ぐ仕組み）が入っているから大丈夫」は要注意です。 セキュリティ会社も、WAFはあくまで一時的な対策で、PHPの更新が唯一の確実な対策だと案内しています。

「管理画面の場所がわからない」「制作会社と連絡がつかない」「PHPのバージョンが古いと言われた」という方は、まる製作所にご相談ください。

現役のWebエンジニアが、あなたのサイトのURLを拝見し、

を、わかる範囲で率直にお伝えします。直して使い続けられそうな場合は、作り直しはおすすめしません。

今回のような問題が起きるたびに、PHPを更新し、WordPressを更新し、プラグインを更新し……と追いかけ続けるのは、本業が忙しい事業者にとって大きな負担です。

そこで選択肢になるのが、サーバー上でPHPを動かさない作りのホームページです。

WordPressは、お客様がページを開くたびにサーバー上でPHPが動き、その場でページを組み立てています。一方、PHPを動かさない作りでは、完成したページをそのまま届けるだけです。サーバー上でPHPを動かしていないため、今回のphp2shellのようなPHPの欠陥による影響を受けにくい作りです。