PHPの脆弱性、どうすればいい？PHP2Shell対策と確認方法

「PHPの脆弱性に対応してください」と言われても、何を確かめればよいのか分からず、心配されている方も多いのではないでしょうか。

PHPは多くのホームページで使われていますが、普段は表から見えません。サーバー会社がすでに修正していることもあれば、契約内容によっては自分で更新しなければならないこともあります。

専門知識がないと、自分でPHPを切り替えたり、ちゃんと最新版になっているかを確かめたりするのは難しいと思います。この記事では、PHP2Shellへの対応として何を確かめればよいのか、分からないときはどこに相談できるのかを見ていきます。

PHPの脆弱性とは？何が起きたの？

PHPは、ホームページを裏側で動かすプログラムです。WordPressのページを表示したり、お問い合わせフォームから送られた内容を処理したりしています。

このプログラムに、外部から悪用されるおそれのある弱点が見つかることがあります。これがいわゆる「脆弱性」です。

PHPの開発元は2026年10月21日（米国時間）、CVE-2026-109618とCVE-2026-109619という重大な脆弱性を公表しました。この2件は、まとめて「PHP2Shell」と呼ばれています。

悪用されると、外部の第三者がサーバー上で任意のプログラムを動かせるおそれがあります。開発元は、修正したPHP 8.2.35、8.3.36、8.4.27、8.5.12を公開しています。

IPA（情報処理推進機構）も注意を呼びかけており、米国CISAの「実際に悪用された脆弱性」の一覧にも掲載されたとしています。一方、2026年10月27日時点では、国内の攻撃被害の事例は把握していないと発表しています。

今回の発表だけで、ホームページが被害を受けたと決めつける必要はありません。ただし、利用中のサーバーに修正が反映されているかは確かめておきたいところです。

あなたのホームページは関係ある？

WordPressで作られたホームページは、通常、裏側でPHPを使っています。「WordPressかどうか分からない」という場合でも、サーバー代を定期的に払っているなら、契約先でPHPを利用しているか確認できます。

制作会社に作ってもらってから何年も大きな更新をしていない場合も、一度確認してみてください。文章や写真を変えていなくても、裏側のプログラムには更新が必要なことがあります。

サーバー会社や制作会社の名前が分からないときは、請求書や契約時のメールを探してみてください。「レンタルサーバー」「サーバー利用料」「WordPress」「PHP」といった言葉が手がかりになるかもしれません。

会社名が分かったら、その会社の公式サイトにあるお知らせを見てみてください。メールで案内が届いていても、差出人だけで判断せず、公式サイトにも同じ内容が載っているか確かめると落ち着いて対応できます。

管理画面を開けたとしても、分からない設定をすぐに変えるのは避けたほうがよさそうです。古いWordPressや追加機能が残っていると、PHPを切り替えたあとにページやフォームが動かなくなることがあります。

主なレンタルサーバー会社はどう対応した？

2026年11月1日現在、主なレンタルサーバー会社で公式に対応を確認できたのは次のとおりです。

ここに載っていない会社や、自分で管理しているサーバー（VPSなど）については、契約先のお知らせを確認してみてください。

同じ会社でも、共用のレンタルサーバーとVPSでは、誰が管理するかが異なります。「対応完了」という発表があっても、契約中のサービスまで対象に含まれているかを読んでおくと、行き違いを減らせます。

PHP2Shellへの対応はどこに確認する？

契約先が分かったら、公式のお知らせを開き、利用中のサーバーが対象に含まれているか確かめてみてください。読んでも分からない部分があれば、サーバー会社の公式な問い合わせ窓口で確認できます。

確かめたい内容は、次のとおりです。

• 現在使っているPHPのバージョン
• PHP2Shellの修正が契約中の環境に反映されているか
• 利用者側で設定変更や更新が必要か
• PHPを切り替えた場合に、ページやフォームの動作確認が必要か

制作会社や保守会社に管理を任せているなら、そちらで状況を把握していることもあります。ただし、ホームページを作る契約と、完成後も更新を続ける保守契約は別になっている場合があります。

今も管理を頼める状態なのか、契約書や請求内容を見てみてください。

古いPHPのままだと何が起きる？

PHPには、開発元が不具合や弱点の修理を続ける期間があります。これがいわゆる「サポート期間」で、その期間が過ぎることを「サポート終了」と言います。

PHP 8.1以前は、開発元のサポートがすでに終わっています。PHP 8.2のサポートも2026年12月31日に終了します。

レンタルサーバー会社が古いPHPへ今回の修正を加えていても、開発元のサポートが再開したという意味ではありません。PHP2Shellが修正されたことと、これから見つかる問題への対応が続くことは、分けて考える必要があります。

とはいえ、長く更新していないホームページのPHPだけを急に新しくすると、古いWordPress、プラグイン（追加機能）、テーマ（見た目を作る仕組み）が対応できず、表示が崩れたりフォームが止まったりするかもしれません。

新しいPHPへ移すときは、元に戻せるようにデータを保存したうえで、ページの表示やフォームの送信を確かめることになります。自分で判断しにくければ、現在の状態を確認できる人に見てもらってから進めるほうがよいと思います。

すでに入り込まれていないか、どこを見る？

PHPを修正したことと、修正前に入り込まれていないことは別です。更新が終わったあとも、ホームページや管理画面、サーバー会社からのメールを一度見直してみてください。

次のような変化があれば、詳しく確認するきっかけになります。

• 見覚えのない文章や画像が表示されている
• ページを開くと、別のサイトへ勝手に移動する
• WordPressの管理画面に入れない、または知らない管理者が増えている
• サーバー会社から警告や利用停止のメールが届いている
• 検索結果に、自分では作っていないページが表示されている

どれかが見つかっても、不審なファイルをすぐに消さないでください。いつ、どのように変更されたかを調べる手がかりまで消えてしまうためです。

見た目に変化がなくても、内部のファイルやアクセス記録までは画面から判断できません。気になる動きがあれば、記録を残したままサーバー会社や管理担当に確認してみてください。

すでに別サイトへの転送や管理画面の異常があるときは、ホームページが乗っ取られたときの対応も参考にしてください。

どこに相談すればいいか分からないときは

契約書を探しても管理している会社が分からない、以前の制作会社との契約がもう終わっている。そんなときは、だれに聞けばいいのか迷ってしまうと思います。

当社でも、PHPのバージョンの確認や、修正が反映されているかの確認などに対応しています。直すかどうか決める前の、確認だけでも大丈夫です。どこに相談すればいいか分からない場合は、お気軽にご相談ください。

まとめ

まずは請求書や契約時のメールを探し、利用しているサーバー会社とPHP2Shellへの対応状況を確かめてみてください。

あわせて、ホームページや管理画面に見覚えのない変化がないかも見ておいてください。異常を見つけてもファイルは消さず、そのまま残しておくと、その後の調査につなげやすくなります。