うちは専門知識がありません。何から手をつければいいですか？

まず、ホームページを置いているサーバー会社（レンタルサーバー等）からのお知らせメールや管理画面のお知らせを確認してください。多くの共用レンタルサーバーは会社側でPHPを更新します。自社でサーバーを借りて管理している場合や、更新の可否が分からない場合は、保守・制作会社に「PHPを修正版に上げてほしい」と連絡するのが最短です。

PHPのバージョンを更新すると、サイトの表示が崩れませんか？

大きくバージョンを上げる場合（例：7系から8系）は、古いプラグインやテーマが動かなくなることがあります。ただし今回のように同じ系列内の小さな更新（例：8.3.x→8.3.36）は、崩れる可能性は低いのが一般的です。不安な場合は、テスト環境で確認してから本番に適用します。

「もう攻撃されているか」を自分で調べられますか？

完全に調べ切るのは専門的ですが、改ざん・不審な転送・見慣れないファイルの増加・管理画面に入れない・サーバーから大量のメールが出ている、といった兆候は手がかりになります。公開ページの状態はURLからある程度確認できます。心配な場合はご相談ください。

PHPの重大な脆弱性「PHP2Shell」。自社サイトは大丈夫か確認する手順

2026年10月21日、PHP本体に重大な脆弱性が公表されました。通称「PHP2Shell」（CVE-2026-109618／CVE-2026-109619）です。公表直後から、過去にホームページ制作をお願いした会社や制作会社から「うちのサイトは大丈夫か」という相談が各所で増えています。

この記事は、専門用語をできるだけ使わずに、何が危険か・自社に関係があるか・いますぐ何をすべきかを、公的機関の勧告をもとに整理したものです。

結論を先に

PHP2Shellは、サイトを動かす土台であるPHPというソフトの脆弱性です。攻撃者がログインなしに、サーバー上でプログラムを実行できる恐れがあると報告されています（深刻度CVSSは9.2、一部の調査会社は最高の10.0と評価）。
WordPress・EC-CUBE・Drupal・Laravelなど、PHPで動くほとんどのサイトが対象になり得ます。日本の中小企業サイトの多くはWordPressなので、他人事ではありません。
唯一の確実な対策は、サーバーのPHPを修正版へ更新することです。公式の修正版は 8.2.35／8.3.36／8.4.27／8.5.12 以降です（これより古い系列はサポート終了のため修正版が出ません＝更新が必要）。
まずはサーバー会社の案内を確認し、自社で更新できない場合は保守・制作会社へ至急連絡してください。

バージョンの範囲は情報源によって表現が少し異なります。正確な対象と手順は、必ずPHP公式と契約中のサーバー会社、またはCISA・NCSCなどの勧告で確認してください。

PHP2Shellとは何か

ホームページは、見えている文章や画像の裏側で「プログラム」が動いています。WordPressをはじめ、日本の中小企業サイトの多くは PHP という言語で書かれたプログラムで動いています。PHP2Shellは、そのPHP本体に見つかった欠陥です。

報告によると、この欠陥を突かれると、攻撃者は正規のログイン情報を持っていなくても、サーバー上で自分の命令を実行できる恐れがあります。これが成立すると、次のような被害につながります。

サイトの改ざん（見覚えのない文章・画像・外部サイトへの誘導）
不正な転送（訪問者が勝手に別サイトへ飛ばされる）
**バックドア（裏口）**の設置と、気づかれないままの再侵入
サーバーを踏み台にした迷惑メールの大量送信
他の顧客情報・データへのアクセス

影響を受けやすい構成として、PHP-FPM・php-cgi・FrankenPHP・LiteSpeed、およびApache＋mod_phpが挙げられており、PHP開発陣はmod_php構成を特に高リスクとしています。

自社サイトが影響を受けるかの確認手順

専門家でなくても、次の順番で確認できます。

サイトはPHPで動いているか。WordPress・EC-CUBE・MovableType・Drupal・Laravelなどで作られていれば、ほぼPHPです。制作会社に任せている場合は「このサイトはPHPで動いていますか」と一言聞けば分かります。
どのサーバーに置いているか。契約しているレンタルサーバー会社（お知らせメールの差出人や、毎月の請求元）を確認します。
サーバー会社のお知らせを確認。多くの共用レンタルサーバーは、会社側がPHPをまとめて更新します。「PHP 2026年10月脆弱性」といったお知らせが出ていないか、管理画面とメールを確認します。
PHPのバージョンを確認。レンタルサーバーの管理画面に「PHPバージョン設定」があることが多く、そこで現在の版と切り替え可能な版が見えます。8.1系以前のままなら、サポート終了のため早めに新しい系列へ上げる計画が必要です。

いますぐやるべき対応

優先	対応	だれが
1	PHPを修正版（8.2.35／8.3.36／8.4.27／8.5.12以降）へ更新する	サーバー会社、または保守・制作会社
2	更新が自社でできるか分からない場合、保守・制作会社に「PHPを修正版に上げてほしい」と連絡する	自社
3	更新前に、サイトのバックアップが取れているか確認する	サーバー会社・保守会社
4	改ざん・不審な転送・管理画面に入れない等の異常がすでに出ていないかを確認する	自社・保守会社

更新には「完全な回避策はなく、更新だけが安全な選択肢」と公式に案内されています。設定の小細工で先延ばしにせず、更新を最優先にしてください。

よくある誤解

「うちは小さいサイトだから狙われない」 — 今回のような脆弱性は、攻撃者が自動のプログラムで無差別に探して回ります。規模の大小は関係ありません。公表の数日前から悪用の試みが観測されたという報告もあります。
「WordPressを最新にしていれば大丈夫」 — PHP2ShellはWordPress本体ではなく、その土台のPHPの問題です。WordPressを最新にしても、PHPが古いままなら対象です。WordPress側の注意点はWordPressの脆弱性の確認手順にまとめています。
「セキュリティのプラグインを入れているから安心」 — プラグイン型の対策は補助にはなりますが、PHP本体の更新に代わるものではありません。

当社でできること

当社のホームページ安全設定の無料診断では、URLを入れるだけで、公開されている範囲からサーバーやCMSのバージョン情報の出し方・基本的な安全設定を確認できます（侵入テストではありません）。

すでに改ざん・不正な転送・管理画面に入れないといった異常が出ている場合は、緊急対応窓口で、安全な範囲での状況確認と復旧のご相談を承っています（法人・個人事業主向け）。「とりあえず大丈夫か相談したい」という段階でも構いません。

修正が間に合わない間の盾として攻撃を手前で止める設定（WAF・Cloudflare等）、異常を早く見つける改ざん・異常の見守り（月額）、更新の少ないサイトならPHPそのものを使わないWordPressから静的サイトへの載せ替えもご用意しています。