この記事の要点
- 2026年10月21日、Webサイトを動かす PHP に深刻な欠陥（通称 php2shell）が見つかり、直した版が公開されました。この記事では、PHP を「多くの家で使われている同じメーカーの玄関ドア」にたとえて、漫画で説明します。
- 欠陥は、鍵を持っていなくても外からドアを開けられてしまうようなものです。直すにはドアの部品を交換する（PHP を修正版に更新する）しかありません。
- あなたがやることは3つです。サーバー会社の告知を見る、PHP のバージョンを確かめる、古ければ相談する。
ここから先の漫画と説明はたとえ話です。分かりやすさを優先しているので、細かい仕組みは本物と違うところがあります。本当は何が起きたのかは、漫画のあとの対応表で、出典をつけて説明します。
漫画① 事件編：ドアの欠陥が見つかった
漫画② 対策編：ドアを直す・替える
たとえと本当の話の対応表
漫画に出てきたものが、実際には何に当たるのかをまとめました。
| 漫画のたとえ | 本当の話 |
|---|---|
| 家・お店 | あなたの会社の Web サイト |
| 多くの家で使われている、同じメーカーの玄関ドア | PHP（Web サイトを動かすためのプログラミング言語）。サーバー側の言語が分かるサイトの約7割が PHP だという調査があります［ITmedia NEWS が W3Techs を引用］。WordPress で作ったサイトも PHP で動いています。 |
| ドアの構造の欠陥（鍵がなくても外から開いてしまう） | PHP 本体の脆弱性2件（CVE-2026-109618・CVE-2026-109619、通称 php2shell）。ログインなどの認証なしで、外部からサーバー上のプログラムを動かされるおそれがあります。深刻度は CVSS 4.0 で 9.2（10点満点）です［php.net］。 |
| AIを使った点検の専門家 | セキュリティ企業の Calif と Wiz。OpenAI は、Calif が同社の AI モデルを使って欠陥を見つけ、Wiz も独自に見つけたと公表しました。修正は PHP の開発者が主導し、公開前に約2か月かけて準備したとしています［OpenAI］。 |
| 欠陥の噂が予定より早く広まる | 修正版が出る前の10月20日（日本時間では21日0時すぎ）、海外の掲示板に「PHP の深刻な脆弱性が近く公開される」という投稿が出て、情報が出回りました。本来の公開日は10月22日だったとされています［Sansec］。 |
| 門の前の警備員 | WAF（サイトの手前で怪しい通信を止める仕組み）。Cloudflare などが緊急のルールを追加しました。ただし Cloudflare 自身が、WAF は修正版への更新の代わりにはならないとしています［Cloudflare］。 |
| 裏口 | WAF を通らずにサーバーへ直接届く通信。サーバーの住所（IP アドレス）を知られていると、WAF を素通りされます［Sansec］。 |
| メーカーが配った交換部品 | 修正版の PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。10月21日に公開されました［php.net］。 |
| 部品を取り付ける家の管理者 | サーバーを管理している人。共用のレンタルサーバーなら、PHP 本体の更新はふつうサーバー会社が行います。VPS やクラウドなら、自社か委託先が行います。 |
| 部品が出ない古い型のドア | サポートが終わった PHP 8.1 以前。公式の修正版（配布版）は出ません。PHP 公式は 7.4・8.0・8.1 向けに最小限の修正を出しましたが、自分でプログラムを組み立てる人向けで、通常の配布版ではありません［php.net・php-src］。 |
| 新しいドアに替える | サポート中の PHP（できれば 8.4 か 8.5）に切り替えるか、新しい PHP を使えるサーバーへ引っ越すこと。8.2 もサポートが2026年12月31日で終わります［php.net］。 |
| 防犯カメラの映像 | サーバーのアクセスログなどの記録。あわせて、見覚えのないファイルや管理者アカウントがないかも確かめます。 |
たとえで伝わりにくいところ
- WordPress やプラグインをどれだけ最新にしていても、PHP 本体が古ければ防げません。WordPress はドアの内側の家具のようなもので、ドアそのものとは別物です。
- php.ini などの設定を変える方法は、PHP 公式も「完全な対策は更新だけ」としています［php.net］。設定の変更は、ドアの前に荷物を置いて開けにくくする程度のものです。
あなたのサイトでやること3つ
1. サーバー会社の告知を確かめる
レンタルサーバーを使っているなら、まずサーバー会社のお知らせを見てください。修正版への更新が済んだか、利用者に追加の作業を頼んでいるかが書かれています。主な会社の状況は「レンタルサーバー各社の対応状況まとめ」にまとめています。どのサーバーを使っているか分からない場合は、サイトを作った制作会社に聞いてください。
2. PHP のバージョンを確かめる
サーバーの管理画面（「PHP バージョン設定」などのメニュー）や、WordPress の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。画面の場所は「PHPのバージョンを確認する方法」で図解しています。
- 8.5 なら 8.5.12 以降、8.4 なら 8.4.27 以降、8.3 なら 8.3.36 以降、8.2 なら 8.2.35 以降であれば、修正版に更新済みです。
- 番号がそれより小さければ、サーバー会社や管理している会社に更新の予定を聞いてください。Ubuntu などの Linux の PHP は、修正が入っても番号が上がらないことがあります。
- 8.1 以前なら、次の3に進んでください。
3. 古ければ、早めに相談する
PHP 8.1 以前は「部品が出ない古いドア」なので、新しいバージョンへの切り替えが必要です。ただ、PHP のバージョンを上げると、古いテーマやプラグイン、独自に作ったプログラムが動かなくなることがあります。いきなり切り替えず、サイトを作った制作会社や保守の担当者に相談してください。古いサーバーで新しい PHP を選べない場合は、サーバーの引っ越しも考えます。進め方は「PHP 8.1以前を使い続けるリスクと、バージョンアップの進め方」で説明しています。
更新や切り替えが終わったら、漫画の最後のコマと同じように、留守の間に誰か入っていないかを確かめます。見るところは「Webサイトが乗っ取られていないか確かめる方法」にまとめています。
もっと詳しく知りたい方へ
- php2shell とは｜影響・対象・今すぐやるべき対策（最新情報と全体のまとめ）
- 社内にエンジニアがいない会社のための対応ガイド（制作会社・サーバー会社への問い合わせ文面つき）
- php.ini の設定変更や WAF で防げる？（警備員と裏口の話をくわしく）
- 海外の動向（誰がどう見つけ、どう公開されたか）
- CVSS 9.2ってどれくらい危ない？（ニュースに出てくる用語の読み方）
自分で確かめるのが難しいときは
Webセキュリティ診断センターでは、PHP のバージョン確認から、修正版への更新、PHP の切り替えにともなう WordPress の修正、新しいサーバーへの引っ越しまでご相談をお受けしています。無料相談はこちら
Webセキュリティ診断センターでは、PHP のバージョン確認から、修正版への更新、PHP の切り替えにともなう WordPress の修正、新しいサーバーへの引っ越しまでご相談をお受けしています。無料相談はこちら
参考にした情報
- php.net（PHP 公式の告知・修正版の公開） / サポート中のバージョン
- php-src（PHP 8.1 向けの修正ブランチ）
- OpenAI（発見と公開までの経緯）
- Cloudflare Blog（WAF による防御）
- Sansec（情報が出回った経緯、WAF の抜け道）
- ITmedia NEWS（W3Techs の調査の引用）
