2026年10月21日、ホームページを動かす裏方のプログラム言語「PHP」に、最高レベルの危険度をもつ欠陥が見つかったと公表されました。通称は「php2shell」。国内のレンタルサーバー各社が緊急メンテナンスに入り、海外では政府サイトが次々と止まるほどの騒ぎになっています。
WordPressは100％PHPで動いているため、個人ブログも決して他人事ではありません。この記事では、専門知識がなくても分かるように、何が起きたのか、そして私たちブログ運営者が今すぐ何をすればよいのかを整理します。
【結論】この記事のポイント
- 欠陥はWordPressではなく、その土台であるPHPそのものにあります。ログインしていない第三者がサーバーを乗っ取れるおそれがある、深刻度「緊急」の問題です。
- レンタルサーバーの場合、PHP本体の修正はサーバー会社が行います。
- 私たちがやるべきことは、ブログのPHPバージョンを確認し、8.1以下（7.4など）なら8.3以上に切り替えることです。
- WordPress本体を更新しても、この問題は直りません。
そもそも「PHP」とは？
PHPは、ホームページを「その場で組み立てる」ための裏方のプログラム言語で、1995年ごろに登場しました。
たとえるなら、WordPressのブログは「レストラン」、PHPは「厨房で料理を作る料理人」です。読者がブログを開くたびに、サーバーの中でPHPが動き、記事の文章・画像・メニューなどを組み合わせてページを作り、読者の画面に届けています。読者からは見えませんが、PHPがなければWordPressは一切動きません。
世界のウェブサイトの約7割がPHP
- ウェブ技術調査会社W3Techsによると、2026年10月21日時点で、裏側の言語が判別できるウェブサイトの69.3％がPHPを使っています。
- 同じ集計で、WordPress単体でも全ウェブサイトの39.6％を占めています。
- PHPを使うサイトのうち、バージョン8系が65.2％、7系が27.0％、5系が7.7％。つまり3割以上が、すでに公式サポートの切れた古いPHPで動いていることになります。
サーバーパネルにある「PHPバージョン」という項目は、この「料理人」の版を選ぶ場所なのです。
今回何が起きたのか
脆弱性の概要（PHP公式の発表に基づく）
| 項目 | 内容 |
|---|---|
| 名前 | CVE-2026-109618、CVE-2026-109619（通称「php2shell」） |
| 深刻度 | 2件ともCVSS v4.0で9.2（10点満点、最上位区分の「緊急」） |
| 中身 | ①メモリ不足が起きたときの処理の不備（109618） ②使い終わったはずのメモリ上のデータが残ってしまう不備（109619） どちらもログイン不要のリモートコード実行（外部から、サーバー上で攻撃者のプログラムを動かされること）につながります |
| 対象 | ウェブからのリクエストを処理するすべてのPHP環境（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）。特にmod_phpは危険度が最も高いとされています |
| 影響を受けるバージョン | PHP公式は最古の対象を明記していません。発見者のWizやGoogle Cloudは「PHP 5.4から8.5.11まで」としています |
| 修正版 | PHP 8.5.12／8.4.27／8.3.36／8.2.35 |
| 8.1以下 | 公式の修正版は出ません。7.4／8.0／8.1向けに最小限の修正ソースだけが例外的に公開され、適用するかはサーバー会社しだい |
| 回避策 | PHP公式は「完全な緩和策はなく、更新が唯一の安全な選択」と明言 |
PHP公式サイトのトップには「今すぐ更新を」という告知が掲げられ、すべての利用者にただちに更新するよう強く呼びかけています。なお、PHP 8.2は2026年12月31日で公式サポートが終了することも、同じ告知で予告されています。
公表までの時系列
- 10月20日：公表前の情報が海外の掲示板（Hacker News）に漏れて拡散。英セキュリティ会社watchTowrが「本物」と確認。同日夜、PHP公式が予定を1日前倒しして「21日に緊急リリースする」と予告しました。
- 10月21日 日中（日本時間）：IPA、国家サイバー統括室、欧州のCERT-EUなどが事前の注意喚起。国内ではエックスサーバー、さくらインターネット、ロリポップなどが予防的な停止・緊急メンテナンスに入りました。
- 10月21日 23時ごろ（日本時間）：PHP公式が修正版とセキュリティ勧告を公開しました。
すでに攻撃されているの？
ここは、機関や企業によって見解が分かれています。
- 「確認していない」側：米CISA、IPA、フィンランドの政府IT機関Valtoriは、公表時点で悪用は確認していないとしています。
- 「攻撃の試みを観測した」側：watchTowrはおとり用サーバーで悪用の試みを観測（成功は未確認）。CloudflareのCTOは修正版公開前に「攻撃の初期の動きが出てきている」と報告し、Hadrian、Aikido、Patchstackなども実際の悪用を報告しています。
まとめると、「侵入に成功した被害」はまだ公には確認されていないものの、「攻撃しようとする動き」はすでに始まっていると考えるのが妥当です。一方で米Red Hatは「攻撃を確実に成功させるには精密な操作が必要」として、評価を一段低い「重要」にしています。
放っておくとどうなる？
修正されていないPHPのままだと、最悪の場合、次のようなことが起こり得ます。
- ブログの乗っ取り・改ざん：記事の書き換え、怪しいサイトへの自動転送、偽広告や詐欺ページの埋め込み。
- 情報の流出：管理者のメールアドレスやパスワード情報、コメント投稿者の情報などが盗まれる。
- 踏み台にされる：あなたのサーバー領域から迷惑メールを送られたり、他サイトへの攻撃に使われたりする。
- 検索結果からの除外・サーバー停止：Googleに「危険なサイト」と表示されたり、サーバー会社に利用を止められたりする。
特にPHP 7.4など8.1以下を使い続けている場合が最も危険です。公式の修正版が出ないため、サーバー会社が独自に修正しない限り、穴が開いたままになってしまいます。
レンタルサーバー会社は対応してくれるの？
共用レンタルサーバーでは、PHP本体（料理人そのもの）の修正はサーバー会社の仕事です。一方、「どのバージョンを使うか」を選ぶのは利用者です。
- 8.2〜8.5を選んでいる人 → サーバー会社が同じ系列の修正版（例：8.3.35→8.3.36）に入れ替えるので、基本的には何もしなくて大丈夫です。完了したかはお知らせで確認しましょう。
- 8.1以下を選んでいる人 → 独自修正を当てるかは会社しだい。自分で8.3以上に切り替えるのが確実です。
国内主要レンタルサーバーの対応状況（10月22日朝時点）
| 会社 | 確認できた対応 | 利用者側の操作 |
|---|---|---|
| エックスサーバー | 21日16時から管理画面などを予防的に一時停止（不正アクセスではなく、サイト表示やメールは通常どおりと説明）。22日未明に「PHP 8.2～8.5は対象の全サーバーで修正パッチ適用完了」と公式発表。古いバージョンには独自修正を順次適用中と報じられています | 8.2〜8.5なら修正済み。古いバージョンは完了時期未発表のため、「PHP Ver.切替」で8.3以上への切り替えがおすすめ |
| さくらのレンタルサーバ | 21日23時からPHPバージョンアップ作業（終了時刻未定、数秒程度の接続断あり）。古いPHPの利用者にはPHP 8.3の利用を公式に要請 | 古いPHPの人は自分でPHP 8.3に切り替え |
| ロリポップ | 予防措置のメンテナンスを告知。ユーザー専用ページやFTPなどを停止し、一部サーバーのサイトも一時停止 | サイトが表示されなくても慌てず、公式Xやお知らせで再開を確認 |
| ConoHa WING | 21日19時〜22日10時に緊急メンテナンス（PHPとの関係は公式に明記なし） | メンテ明けにお知らせを確認 |
| mixhost | 緊急メンテナンスの告知あり（PHPとの関係は明記なし） | お知らせを確認 |
| カラフルボックス | 22日0時から全サーバーでセキュリティメンテナンス（最大10分程度の停止） | お知らせを確認 |
| シン・レンタルサーバー | 今回の件に関する告知は確認できず | サーバーパネルとお知らせを確認 |
※エックスサーバー以外は、報道や公式Xの抜粋を通じた情報も含みます。最終的には、ご自身の契約しているサーバー会社の公式お知らせで確認してください。
海外では、SiteGroundが修正版公開前に全サーバーのPHP 8.2〜8.5を修正済みにしたと発表しています。またWordPress.org公式も「WordPressの更新は不要で、予定もない」と明言したうえで、ホスティング会社の更新情報を確認し、必要ならPHPを早急に更新するよう呼びかけています。
今すぐやることチェックリスト
個人でWordPressブログを運営している方向けに、手順をまとめました。上から順番に進めてください。
□ 1. 今使っているPHPのバージョンを確認する
- WordPressの管理画面：「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」で「PHPバージョン」が表示されます。これが実際にブログで動いている版です。
- サーバーパネル：エックスサーバーなら「PHP Ver.切替」、ConoHa WINGなら「サイト管理」→「サイト設定」→「応用設定」→「PHP設定」、ロリポップなら「ユーザー専用ページ」→「サーバーの管理・設定」→「PHP設定」など。ドメインを複数持っている場合はドメインごとに確認しましょう。
- メンテナンス中は管理画面に入れないことがあります。再開を待ってから操作してください。
□ 2. 判定する
- 8.3／8.4／8.5 → 基本的にOK。サーバー会社のお知らせで「修正適用済み」を確認するだけです。
- 8.2 → 今回は修正対象ですが、2026年12月31日で公式サポート終了。年内に8.3以上へ切り替えましょう。
- 8.1以下（8.0、7.4など） → 要対応です。次の手順で8.3以上に切り替えてください。
□ 3. 切り替える前にバックアップを取る
- サーバー会社の自動バックアップ機能で、「復元できる日付があるか」を確認しておきます。
- 念のためプラグイン（BackWPup、UpdraftPlusなど）でもバックアップを。ただし無料版には復元容量の制限があるものもあるため、サーバー会社の標準機能を優先すると安心です。
□ 4. WordPress本体・テーマ・プラグインを先に最新にする
- 古いテーマやプラグインは、新しいPHPで動かず画面が真っ白になることがあります。先にすべて最新版へ更新しておきましょう。
- 何年も更新されていない、使っていないプラグインは削除を検討してください。
□ 5. PHPを8.3（または8.4）に切り替える
サーバーパネルのPHPバージョン設定で、新しいバージョンを選んで保存します。
□ 6. 切り替え後に表示を確認する
- トップページ、記事ページ、固定ページ、お問い合わせフォーム、管理画面へのログインを確認します。
- 画面が真っ白になったりエラーが出たりしたら、慌てずにPHPバージョンを元に戻せばたいていは表示が戻ります。ただし古いバージョンのまま放置せず、原因のプラグインを調べるなどして早めに解決しましょう。
□ 7. 数日間はお知らせとブログの様子をチェックする
- サーバー会社のお知らせや公式Xで、修正完了の発表を確認します。
- 見覚えのない記事・ユーザー・ファイルが増えていないか、勝手に別サイトへ飛ばされないかを確認します。
- WordPressの管理者パスワードを、長く推測されにくいものにしておくのも有効です。
やらなくてよいこと：WordPressの設定画面をいじっても、この問題は防げません。また「php.ini」の設定変更などの一時しのぎは、共用サーバーの個人利用者が無理に行う必要はありません。PHP公式も「それだけでは安全にならない」としています。
国内の公的機関の動き
- IPA（情報処理推進機構）：10月21日に事前準備の呼びかけを公開。悪用は確認していないとしつつ、PHPを使うサイトの棚卸しと修正版の速やかな適用準備を要請しました。サポート終了の古いPHPを使い続けるサイトがあること、攻撃が極めて短時間で行われる可能性があることも警告しています。
- 国家サイバー統括室：公式Xで、PHPの使用状況を確認し修正パッチを速やかに適用するよう準備を呼びかけ。すぐに適用できない場合は、サイトの一時停止もリスクを下げる有効策の一つだと案内しました。
- 高市早苗首相：21日夜、Xで「大至急のお願い」として修正パッチ適用の準備を呼びかけました。首相が個別ソフトウェアの脆弱性について直接呼びかけるのは異例のことです。
- JPCERT/CC：今回の件の注意喚起は、本記事の調査時点では確認できませんでした。
海外の動き
各国政府・機関の対応
- 米CISA：ただちにパッチを適用するよう強く要請。ロイターによると、米NSAも「更新できないシステムはオフラインにする」よう勧告しました。
- 英NCSC：すべてのバージョンが影響を受け得るとして、古いPHPに限らずPHPを使うシステム全体の洗い出しを求めました。
- CERT-EU：PHP 5以降が影響を受け得るとし、すぐ修正できない場合はインターネット公開中のアプリを切り離すよう勧告しました。
- 豪ASD/ACSC：注意喚起を公表。悪用は確認していないとしています。
相次ぐサイトの一時停止
- フィンランド：政府IT機関Valtoriが予防措置として政府ウェブサービスへの外部アクセスを制限。ヘルシンキ大学などでも障害が出ました。
- オランダ：国家サイバーセキュリティセンター自らがサイトを停止し、ロッテルダム港、政府ポータル、サッカー協会、主要政党、多数の病院などが続きました。
- その他：オーストリアの機関・大学でも停止が報じられ、ウィキメディア財団も対応中と発表しています。
各国政府サイトがいつ完全に復旧したかは、本記事執筆時点では確認できていません。国内では、pixivなど一部サービスが再開したと報じられています。
AIが見つけた脆弱性という新しい現実
今回の欠陥は、AIを使った調査によって見つかったことでも注目されています。
- 米セキュリティ企業Califが、OpenAIのオープンソース支援プロジェクト「Patch the Planet」の一環で、AIモデル「GPT-5.6 Sol」を使い8月1日に最初の問題を発見しました（Fortune報道）。
- グーグル傘下のWizも独自に、自社AIやGoogleの「Gemini 4 Argon」、GPT-5.6 Solを使って8月19日に発見し、PHPのセキュリティチームへ報告しました。
- OpenAIのグレッグ・ブロックマン社長によると、この欠陥は14年間もPHPに潜んでいたもので、OpenAIは「攻撃者より先にAIが見つけた」としています。なお、発見者の数え方は発表元によって異なります。
- OpenAIは、同様の発見が今後数カ月で急増すると予想しています。
ブログ運営者にとっての意味
- 「古いけど動いているから大丈夫」は通用しなくなる
Wizは、以前は難しかった複雑な欠陥の悪用も、AIによってその壁がなくなったと警告しています。守る側だけでなく攻める側もAIを使うため、公表から攻撃開始までの時間はどんどん短くなると考えるべきです。 - 「緊急更新」は今後も繰り返しやってくる
OpenAIの予測（あくまで予測です）が当たれば、PHPに限らず、WordPressやプラグイン、サーバーOSでも緊急修正が増えます。サーバーの緊急メンテナンスでブログが一時的に見られなくなる場面も増えるかもしれません。 - 個人の最善策は「新しい版を使う」「任せられるところは任せる」
- PHPは常にサポート中のバージョン（現時点では8.3以上が安心）を選ぶ。
- WordPress本体・テーマ・プラグインの自動更新をオンにしておく。
- 自動バックアップがあり対応の早いレンタルサーバーを使い、お知らせを確認する習慣をつける。
- 使っていないプラグインやテーマは削除する。
まとめ
今回の「php2shell」は、世界中のウェブサイトの土台を揺るがす深刻な問題です。ただ、レンタルサーバーで個人ブログを運営している私たちにとって、やるべきことは意外とシンプルです。
- WordPressの「サイトヘルス」でPHPバージョンを確認する
- 8.1以下なら、バックアップと各種更新をしてから8.3以上に切り替える
- サーバー会社のお知らせで、修正完了を確認する
AIが欠陥を見つけ、AIが攻撃にも使われる時代になりました。「とりあえず動いているから」と古い設定を放置せず、今日この記事を読んだタイミングで、ぜひ一度ご自身のブログのPHPバージョンを確かめてみてください。
情報の確かさについて
- 本記事は2026年10月22日朝（日本時間）までに確認できた情報に基づいています。事態は現在進行形で、サーバー会社の対応や攻撃の状況は刻々と変わります。
- 「影響を受けるのはPHP 5.4以降」は発見者Wizなどの説明で、PHP公式は最古の対象バージョンを明記していません。
- 実際の悪用（攻撃の成功）については、機関・企業によって見解が分かれています。
- エックスサーバーとさくらインターネット以外のレンタルサーバー各社の対応は、公式文書の原文を直接確認できていないものがあります。
- 各国政府サイトの復旧時期、JPCERT/CCの注意喚起の有無は未確認です。
- 「PHPを使うサイトは世界の約7割」は、W3Techsが裏側の言語を判別できたサイトの中での割合です。
