【緊急解説】PHP2Shellとは｜自社HPで今すぐ確認すべきこと【2026年11月版】
2026年10月21日、PHP本体の重大な脆弱性2件（通称「PHP2Shell」）の修正版が緊急公開されました。10月26日には、米国のサイバーセキュリティ機関（CISA）が「実際に悪用された脆弱性」の一覧に登録しています。
「レンタルサーバー会社が対応済みと言っているから大丈夫」と思いがちですが、それだけでは安全と言い切れないケースがあります。この記事では、中小企業が見落としやすい点を中心に、確認の手順をまとめます。
（2026年11月2日時点の情報です）
----- KEY POINTS
この記事の要点
Q1PHP2Shellとは何ですか？
PHPの2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です。細工したWebリクエストを送られるだけで、ログインなしにサーバー上で任意のプログラムを実行される恐れがあります。
IPA（情報処理推進機構）は10月22日に注意喚起を出しています。国内での攻撃被害は、IPAでは把握されていません（11月2日時点）。
Q2修正版はどのバージョンですか？
修正版は次の4つです。これより古い版は、影響を受ける可能性があります。
PHP 8.1以前はサポートが終了しており、開発元から修正版は出ません。調査会社Wizは、PHP 5.4以降の版が少なくともどちらかの影響を受けるとしています。また、8.2系も2026年12月31日でサポートが終わるため、今から切り替えるなら8.3以降をおすすめします。
Q3レンタルサーバーを使っていれば、何もしなくてよいですか？
共用のレンタルサーバーでは、サーバー会社が修正を適用している場合があります。ただし、サーバーの種類によっては「自社か制作会社の作業が必要な場合」があります。
| サーバーの種類 | 誰が直すか | 自社でやること |
|---|---|---|
| 共用のレンタルサーバー | サーバー会社 | 自社のプランが修正済みか、告知で確かめる。切り替えを推奨されていれば対応する |
| VPS・専用サーバー・クラウド | 自社または委託先 | 修正版への更新を最優先で行う |
| 制作会社が管理しているサーバー | 制作会社 | 更新済みかどうかを、メールなど記録が残る形で確認する |
同じサーバー会社でも、プランによって扱いが分かれることがあります。共用プランはサーバー会社が修正し、VPSは利用者が自分で更新する、という分け方がよく見られます。自社のプランがどちらに当たるか、サーバー会社の告知で確認してください。
Q4「PHPの版を見れば分かる」は本当ですか？
版の番号だけでは判断できない場合があります。サーバー会社によっては、版の番号を変えずに修正だけを入れる方式をとることがあり、その場合は管理画面やWordPressの「サイトヘルス」に修正前と同じ番号が表示されることがあります。
番号が古くても修正済みのことがあり、その逆に「対応済みと聞いていたが、対象外のプランだった」ということも考えられます。確認の近道は、「自社が契約しているプラン名」で、サーバー会社の告知を確かめることです。
----- CHECK POINTS
見落としやすいもの
ホームページ以外にも、PHPは動いています
IPAは11月2日、VPN機器やセキュリティ機器のWeb管理画面など、PHPを内部で使う機器への注意を注意喚起に追記しました。会社のHPだけを確認して終わらせず、次のものも洗い出してください。
- 採用サイト、キャンペーン用のLP、使わなくなった旧サイト
- 問い合わせフォームや予約フォームのプログラム（WordPress以外で作られたものも含む）
- 社内で使うWeb型の業務システム（勤怠、受発注、在庫管理など）
- VPN機器、UTM、ルーターなどの管理画面（メーカーの告知で影響を確認する）
特に「使わなくなったけど消していないサイト」は、担当者も存在を忘れていることが多く、攻撃の入口になりやすい場所です。
更新できないときは
IPAは、修正版への更新を最優先としたうえで、すぐに更新できない場合は、外部からのアクセスの制限や、サービスの一時停止も検討するよう示しています。使っていないサイトがあれば、公開を止めることも選択肢になります。
3つ目の脆弱性（CVE-2026-115560）について
PHP2Shellの修正版公開の2日後、PHPは別の脆弱性を公表しました。PHPによると、特殊な設定とプログラムが組み合わさった場合に悪用できるものとされています。10月23日の公表時点では修正版がなく、PHPは回避策として次の設定を推奨しています。
session.upload_progress.enabled=0自社で設定を変えられない場合は、サーバー会社か制作会社に確認してください。
----- FAQ
よくある質問
WordPressを使っていなくても関係ありますか？
PHPで動いているものはすべて対象になり得ます。WordPressに限らず、PHPで作られた問い合わせフォームや業務システムも含まれます。
自社のサーバーがどこの会社のものか分かりません。
毎月または毎年の請求書、ドメインの管理画面、ホームページを作った制作会社への問い合わせで確認できます。分からない場合は、無料のHP診断でお調べします。
HTMLだけの静的サイトも影響を受けますか？
サーバーでPHPを動かしていなければ、PHP本体の脆弱性であるPHP2Shellの影響は受けないと考えられます。ただし、同じサーバーにPHPのフォームやWordPressが残っていれば、そちらは対象になり得ます。
SOURCES ／ 出典
- IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日掲載、11月2日更新）
- BleepingComputer「PHP shares mitigation for new RCE vulnerability with no patch」（2026年10月23日）
- レンタルサーバー15社の対応状況まとめ（2026年10月28日更新）