PHP2Shell対策｜WordPressサイトで今すぐ確かめること

**PHP2Shell（ピーエイチピー・ツー・シェル）は、2026年10月21日（日本時間23時）に修正版が出たPHPの脆弱性2件（CVE-2026-109618・CVE-2026-109619）の呼び名です。**深刻度はCVSS v4で9.2（緊急）で、悪用されるとログインなしで外からサーバー上のプログラムを動かされるおそれがあります。

WordPressのサイトはPHPで動いているため、ほぼすべてが対象です。いちばん大事なのは次の1点です。

WordPressやプラグインを更新しても、PHP2Shellは直りません。 直るのは、PHPを 8.5.12・8.4.27・8.3.36・8.2.35 以降 にしたとき、またはサーバー会社が修正を当てたときです。

この記事では、サイトの持ち主が「自分のサイトは大丈夫か」を順番に確かめられるよう、確かめ方と対策をまとめました。情報は2026年10月23日時点のもので、出典は記事の最後にあります。

まず結論：持ち主がする5つのこと

1. **契約しているサーバー会社の告知を見る。**修正済みか、利用者が何かする必要があるかが書かれています（各社の対応は下の表）。
2. **サイトのPHPの版を確かめる。**8.1以前なら、修正の有無にかかわらず上げる計画を立てます。
3. **VPSなど自分で借りたサーバーなら、PHPを自分で更新する。**サーバー会社は代わりに当ててくれません。
4. **修正のあと、お問い合わせフォームとファイルの送信が動くか試す。**対策の設定でフォームの動きが変わることがあります。
5. **管理画面に入れない・制作会社と連絡が取れない場合は、外から見られる範囲を先に確かめる。**方法は記事の後半にあります。

PHP2Shellとはどんな脆弱性か

PHP2Shellは、PHPの中心部分にある2件の欠陥をまとめた呼び名です。

• CVE-2026-109618：メモリが足りなくなったときの処理で内部のデータが壊れ、外から好きなプログラムを動かされるおそれがあります。
• CVE-2026-109619：使い終わったメモリが次のリクエストで使われ、同じく好きなプログラムを動かされるおそれがあります。

特に危ないのは、Apacheのmod_phpでPHPを動かしている環境です。ログインなしのリクエスト1回で、WordPressのプログラムが動く前に乗っ取れることが示されています。PHP-FPMやLiteSpeedなども条件によっては影響を受けるとされています。初期設定で有効になっている session.upload_progress が攻撃の入口の1つです。

IPAとCloudflareは、影響を受けるのはPHP 5.4以降としています。つまり、古いPHPのまま放置されたサイトもほぼすべてが対象です。

攻撃はすでに始まっているのか

JPCERT/CCとIPAは、10月22日の時点で悪用を確認していないとしています。一方で、Amazonは修正版が出る前の10月17日に悪用の試みを観測したと発表し、Cloudflareも攻撃の通信を観測したとしています。海外のセキュリティ企業（watchTowrなど）からは、実際に悪用されているという報告も出ています。

公的機関が確認していない段階でも、攻撃の試みはすでに観測されています。「様子を見る」より「今日確かめる」ほうが安全です。

影響を受けるサイト・受けないサイト

自分のサイトのPHPのバージョンを確かめる方法

WordPressの管理画面に入れる場合

1. 管理画面の左のメニューで 「ツール」→「サイトヘルス」 を開きます。
2. 上の 「情報」 タブを押します。
3. 「サーバー」 を開くと、「PHP バージョン」が表示されます。

ここに出る数字が、8.5.12・8.4.27・8.3.36・8.2.35 以降なら修正済みの版です。ただし、サーバー会社が独自に修正を当てた場合は、版の数字が変わらないことがあります（mixhostなど）。その場合はサーバー会社の告知が正です。

サーバーの管理画面で確かめる場合

レンタルサーバーなら、サーバーの管理画面（コントロールパネル）の「PHPバージョン設定」などの項目に、ドメインごとの版が出ています。版を切り替えられるのもここです。

管理画面に入れない場合

パスワードが分からない・制作会社が管理していて入れない場合でも、外から見える範囲で手がかりはつかめます。PHPのバージョンを確かめる方法（ホームページ救出便）で、ログインせずに確かめる手順がまとまっています（ホームページ救出便は Kaigi AI と同じ運営者のサービスです）。

レンタルサーバー各社の対応（10月22日時点）

ほかの会社（エックスサーバーなど）は、それぞれの公式の告知を確かめてください。告知の多くは「お知らせ」「障害・メンテナンス情報」の欄に出ています。

状況別の対策

レンタルサーバーの場合

サーバー会社が修正を当てていれば、PHP2Shellそのものへの対策は済んでいます。そのうえで、次の2つを確かめます。

• **お問い合わせフォーム・ファイルの添付が動くか。**試しに自分宛てに1通送ってみます。ロリポップ！のように session.upload_progress を無効にした会社では、フォームの進み具合の表示などに影響が出ることがあります。
• **PHPの版が8.1以前でないか。**今回はサーバー会社が修正を当てても、サポートの終わった版は次の脆弱性で直らないことがあります。

VPS・自分で管理しているサーバーの場合

自分でPHPを更新します。Ubuntuなどのパッケージで入れたPHPなら、OSの更新で修正版が入るか、配布元の告知を確かめます。更新したら PHP-FPMやApacheを再起動 しないと、古いPHPが動き続けます。Dockerを使っている場合は、修正版のイメージで作り直して入れ替えます。

すぐに更新できないときの一時しのぎとして、php.ini で session.upload_progress.enabled = Off にする方法があります。攻撃の入口の1つを塞ぐだけで、根本の対策ではありません。

PHP 8.1以前で動いている場合

8.1以前には正式な修正版が出ません。PHPの開発元は7.4・8.0・8.1向けに最小限の修正をGitHubに公開しましたが、PHP 5系向けはありません。

WordPressの公式の集計では、PHP 8.1以前で動いているWordPressは約35.8%です（2026年10月22日取得）。古いテーマやプラグインがPHPの版上げで動かなくなることがあるため、次の順で進めます。

1. バックアップを取る（ファイルとデータベースの両方）。
2. WordPress本体・テーマ・プラグインを最新にする。
3. サーバーの管理画面でPHPの版を上げ、表示とフォームを確かめる。
4. 表示が崩れたら版を戻し、動かないプラグインを特定して入れ替える。

なお、**PHP 8.2のサポートも2026年12月31日で終わります。**8.3も2027年12月31日までです。今から上げるなら、8.4以降を選ぶと次の移行まで余裕ができます。

Cloudflareを通している場合

Cloudflareを通しているサイトは、無料のプランでも10月21日から自動で防御されています。ただしCloudflare自身が「PHPの更新の代わりにはならない」としています。PHPの修正は別に必要です。

乗っ取られていないか確かめる

修正の前に攻撃を受けていた可能性もあります。次のようなしるしがないか見ておきます。

• 管理画面の「ユーザー」に、見覚えのない管理者がいる。
• サイトに、見覚えのない外部のスクリプトや、隠しリンク・スパムのページが増えている。
• Googleの検索結果で、自分のサイトに知らない日本語や外国語のページが出る（site:自分のドメイン で検索すると分かります）。
• サーバーのファイルに、見覚えのないPHPのファイルが増えている（特に画像の置き場）。

改ざんのしるしと対処は、WordPressの改ざんの見つけ方（ホームページ救出便）に詳しくまとまっています。

制作会社と連絡が取れない・管理画面に入れないとき

「サイトは制作会社に作ってもらったが、もう連絡が取れない」「サーバーの契約もPHPの版も分からない」という中小企業やお店は少なくありません。この場合は、次の順で考えます。

1. **外から見える範囲で、今の状態を確かめる。**ログインせずに、PHPやWordPressの古さ、改ざんのしるしを見ます。
2. **直せる人を探す。**サーバーの契約者が分かれば、サーバー会社の窓口に相談できます。
3. **直せないなら、PHPそのものを無くす。**IPAは10月22日の注意喚起で、すぐに直せないシステムについて移行や縮退・廃止も検討するよう呼びかけています。会社案内やお店の紹介のように中身があまり変わらないサイトなら、PHPを使わない静的サイトに作り直せば、PHP2Shellのような脆弱性の対象から外れます。

ホームページ救出便のご案内

ホームページ救出便は、制作会社と連絡が取れなくなった中小企業・お店向けに、WordPressのホームページをログインなしで写し取り、PHPの要らない静的サイトに作り直すサービスです。Kaigi AIと同じ運営者（的場美貴）が提供しています。

• 外から見るだけの無料チェック（0円）：ログインせずに、PHPやWordPressの古さ・壊れたリンク・改ざんのしるし・お問い合わせフォームの種類を1枚にまとめてお送りします。
• 救出パック（55,000円・税込）：公開ページを写し取り、見た目そのままの静的サイトに作り直して引っ越します。お問い合わせフォームも動く形で作り直します。お支払いは、確認用のURLで仕上がりを見ていただいた後です。

料金と内容の詳細はホームページ救出便の公式サイト、PHP2Shellの解説はPHP2Shellとは（ホームページ救出便）をご覧ください。まず状態を知りたい方は、無料チェックの申し込みからどうぞ。

社内で対応を決めるときは、決めたことを残す

脆弱性への対応は、担当者・サーバー会社・制作会社など、関わる人が多くなりがちです。打ち合わせでは次の4つを決め、記録に残しておくと、後から「誰が何をしたか」で迷いません。

• 対象：どのサイト・どのサーバーが対象か（PHPの版も書く）。
• 担当と期限：誰が、いつまでに、何をするか。
• 確かめ方：直ったことを何で確かめるか（版の表示・サーバー会社の告知・フォームの試し送信）。
• 次の予定：PHP 8.2のサポート終了（12月31日）までに何をするか。

打ち合わせの録音から議事録とアクションアイテム（担当・期限）を作るなら、Kaigi AIを無料で試せます。

よくある質問

Q. WordPressのセキュリティプラグインを入れていれば大丈夫ですか？ A. 大丈夫とは言えません。Apacheのmod_phpの環境では、WordPressのプログラムが動く前に攻撃が成立するとされています。プラグインより手前で起きるため、PHPの修正が必要です。

Q. サーバー会社が修正したのに、PHPのバージョンの数字が変わりません。 A. 会社が独自に修正を当てた場合、版の表記は変わらないことがあります（mixhostなど）。会社の告知に「適用済み」とあれば修正は入っています。

Q. いつまでに対応すればよいですか？ A. 今すぐです。修正版が出る前から攻撃の試みが観測されており、海外では実際の悪用も報告されています。少なくとも、サーバー会社の告知とPHPのバージョンは今日のうちに確かめてください。

出典（2026年10月22日〜23日に確認）

• PHP 公式（修正版の公開・サポート期限）
• GHSA-w8hw-w9fx-j79w・GHSA-6wmf-4rv5-p3rp
• JPCERT/CC 注意喚起 JPCERT-AT-2026-0033
• IPA「PHPの脆弱性対策について」
• Cloudflare の解説
• Amazon の観測
• watchTowr の報告
• WordPress の PHP の版の集計

※ 本記事は2026年10月23日時点の公開情報をもとにしています。対応状況は変わるため、最新の情報は各社・各機関の公式の発表をご確認ください。