PHP の脆弱性「PHP2Shell」の対策 | 中小企業がいまやるべきこと

PHP は、WordPress をはじめ多くのホームページやシステムの裏側で動いているプログラム言語です。今回見つかった 2 件の脆弱性（CVE-2026-109618 と CVE-2026-109619）は、PHP 本体にあるため、PHP で動くサイトなら作り方に関係なく影響を受ける可能性があります。

• 公表: 2026 年 10 月 21 日（日本時間では 21 日の夜 22 時台に修正版が公開）
• 内容: 悪用されると、遠隔の第三者にサーバー上で任意のプログラムを実行されるおそれがある。米国 CISA は「認証なしでの遠隔コード実行」と説明している
• 注意喚起: IPA が 10 月 21 日に事前準備を呼びかけ、22 日に注意喚起を公開。JPCERT/CC も 22 日に注意喚起を出し、侵害の有無の確認も求めている
• 国内の影響: 公表の前後に、国税庁・財務省・厚生労働省のサイトの一部、自治体、銀行、交通・電力会社、レンタルサーバー各社などが、サイトやサービスを一時停止した（各組織の告知・報道による）

攻撃の試行は公表の前後から大量に観測されています。一方で、2026 年 10 月 24 日時点では、攻撃が成功した事例は確認されていないとされています。ただし状況は動いているため、「まだ大丈夫」ではなく「いまのうちに直す」と考えるべき段階です。

IPA の注意喚起では、Wiz 社の情報として、PHP 5.4 以降のバージョンは少なくとも 1 つの脆弱性の影響を受けるとされています。古いバージョンほど「直す手段がない」点に注意が必要です。

1. 1サイトが PHP で動いているか確認する: WordPress・EC-CUBE・多くの CMS やお問い合わせフォームは PHP で動いている。分からなければ制作会社に聞く
2. 2PHP のバージョンを確認する: レンタルサーバーの管理画面の「PHP バージョン設定」、または WordPress の「ツール → サイトヘルス → 情報 → サーバー」で確認できる
3. 3レンタルサーバー会社の告知を確認する: 多くの会社が、サーバー側で修正版の適用や独自の対策を進めている。自社のプランが対象か、利用者側の作業が必要かを確認する
4. 4サーバーを自社や業者で管理している場合は、すぐに更新する: VPS や専用サーバー、社内サーバーは、自動では直らない
5. 5更新後、侵害の跡がないか確認する: 見覚えのないファイルやアカウントが増えていないか。不安なら管理している業者に調査を依頼する

PHP は、ホームページ以外の社内システム（受発注・予約・会員管理など）でも使われていることがあります。外から見えるサイトだけでなく、社内で使っているシステムも一覧にして確認しましょう。

今回の件で最も困るのは、何年も前に作ったまま、サポートの終わった古い PHP で動いているサイトです。IPA は、更新や移行が終わるまでの暫定対策やアクセスの制限を求め、必要に応じて外部からのアクセスの遮断やサービスの一時停止も判断するよう呼びかけています。

• PHP だけ上げると動かなくなることがある: 古いサイトやプラグインは新しい PHP に対応していない場合がある。更新の前にバックアップを取り、制作会社と確認する
• 維持できないなら作り直しも選択肢: IPA も、維持管理の体制を確保できない場合は、移行・機能の縮小・公開の終了も含めて検討するよう求めている
• サポート期限を把握しておく: PHP の各バージョンには公式のサポート期限がある。8.2 系は 2026 年 12 月末でセキュリティ修正の提供が終わる予定で、今回更新しても、続けて次の版への移行を考える必要がある

• 「自社で何が動いているか」を知っておく: 使っている言語・CMS・バージョン・サーバー会社を一覧にしておくと、次に同じことが起きたとき即座に判断できる
• 更新できる体制が安全をつくる: 今回いち早く対応できたのは、更新の手順と担当者が決まっていた組織だった
• 動く部分が少ないサイトは影響を受けにくい: 事前に HTML を作っておく静的なサイトや、PHP を使わない仕組みで作られたサイトは、今回の脆弱性の影響を受けない

ちなみに、このサイト（Co-Craft）は PHP を使っていない仕組み（Node.js / Next.js）で作られているため、今回の脆弱性の影響は受けていません。どの仕組みにも別の脆弱性は見つかりうるので、大切なのは「更新し続けられる作り」を選ぶことです。