PHP の重大な脆弱性「PHP2shell」で何が起きたのか。WordPress のサイトで今すぐ確かめること

首相のサイトも、銀行も、ゲームも止まった10月21日

2026年10月21日、PHP の開発元が、PHP 本体に重大な弱点(脆弱性)が2件あると公表しました。番号は CVE-2026-109618 と CVE-2026-109619 で、「PHP2shell」と呼ばれています。深刻度は、弱点の危なさを10点満点で表す CVSS という評価で 9.2 です。いちばん上の「緊急」に当たります。

発表を受けて、国内では業種を問わず、サイトやサービスが次々に止まりました。高市首相の個人サイトは21日夜から止められ、22日午後までに再開しています。首相自身も X で、すぐに対応するよう呼びかけました。

止まったのは、政治家のサイトだけではありません。報道で名前が出ただけでも、次のような会社や団体が、一時停止や緊急メンテナンスを行いました。

名前が出たのは、多くがよく知られた会社や団体です。では、何年も前に作ったまま、誰も PHP の版を見ていない会社のサイトはどうでしょうか。

国家サイバー統括室は、修正をすぐ当てられない場合は「ウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ」と呼びかけました。国の機関がサイトを止めることまで勧めるのは、めったにないことです。

何が危ないのか。弱点は WordPress ではなく、その下の PHP

WordPress は、PHP というプログラムの言語で作られています。サイトを見に来た人がいると、サーバーの中で PHP が動いてページを組み立てます。今回の弱点は、PHP 本体のメモリの扱いにありました。カナダのサイバーセキュリティセンターは、悪用されると「ログインしていない攻撃者が、好きなプログラムを動かせる」と説明しています。

WordPress の公式サイトも、今回のための WordPress 本体の更新は要らず、予定もないと説明しています。管理画面で WordPress やプラグインを最新にしても、PHP の弱点は残ります。「更新の赤い数字は全部消したから大丈夫」とは言えません。

ただし、PHP を使っているすべてのサイトが同じ条件で攻撃できるわけではありません。カナダのサイバーセキュリティセンターは、PHP-FPM、Apache の mod_php、php-cgi など、サイトの通信を受けて動く PHP はどの動かし方も対象で、中でも mod_php がいちばん危ないとしています。ほかの動かし方では、別の条件が重なったときに攻撃が成り立ちます。どの条件に当たるかは、サーバーの設定まで見ないと分かりません。だからこそ、分からないうちは修正版にしておくのが確実です。

「今もふつうに表示されている」は、大丈夫の証拠にならない

「うちのサイトは今も見られるから大丈夫」と思うかもしれません。ですが、サイトが表示されているかどうかと、中に何か仕掛けられているかどうかは、別の話です。サイトに入り込んだ側は、見つからないように、見た目を変えずに中に居座ることがあります。

下の図は、ツクリコが PHP の更新のために調べた、あるお客様のサーバーで実際に見つかったものです。サーバーには WordPress のサイトがいくつも入っていて、図の数はそれらを合わせたものです。どのサイトも、見つかるまでふつうに表示されていました(PHP2shell とは別の件です)。お客様が分からないよう、名前や場所は伏せています。

不正なプログラム(マルウェア)のファイルは、何年も前の日付のものでした。日付は書き換えられることもあるので、いつ置かれたかは言い切れません。ただ、見た目では何も分からないまま、不正なプログラムが置かれた状態で公開が続いていたことになります。

こうした不正なプログラムがあると、サイトの中身を書き換えたり、データベースの情報を読み出したりできてしまいます。お問い合わせフォームの中身や会員の情報をサーバーに残しているサイトなら、それも読まれるおそれがあります。PHP2shell のように外から好きなプログラムを動かせる弱点は、こうした不正なプログラムを置く入口になりえます。修正版にした後も、中を確かめることが大切なのはそのためです。

こんな状態のサイトは、急いで確かめてください

発表の内容から、特に急いで確かめた方がいい状態をまとめました。ひとつでも当てはまれば、まず PHP の版を確かめてください。

IPA(情報処理推進機構)は、サポートが終わった古い PHP を使い続けているサイトも見受けられるとして、PHP を使っているものを洗い出すよう呼びかけています。古い PHP のサイトは、今回の弱点だけでなく、これから見つかる弱点にも修正が出ないおそれがあります。

自分のサイトの PHP の版を確かめる

WordPress のサイトなら、管理画面で PHP の版を確かめられます。左のメニューの「ツール」から「サイトヘルス」を開き、上の「情報」を押して、「サーバー」の欄を開いてください。「PHP バージョン」の行に、今動いている版が出ています。その下の「PHP SAPI」の行は PHP の動かし方で、「apache2handler」と出ていれば、いちばん危ないとされる mod_php です。

出てきた版を、次の表と見比べてください。

注意したいのは、8.1 以前です。7.4・8.0・8.1 には、今回に限って最小限の修正のもとになるプログラムが出されました。ただし、レンタルサーバーの管理画面で選べるふつうの修正版ではありません。「7.4.33」と表示されていても、それだけでは修正が入っているかどうか分かりません。

また、レンタルサーバーでは、サーバー会社の側で PHP の修正が当てられることもあります。表示の番号だけで決めつけず、契約しているサーバー会社のお知らせも確かめてください。

本当に必要な対策は、4つの順番で

カナダのサイバーセキュリティセンター、IPA、WordPress の公式サイトなどの案内をまとめると、やることは次の順番になります。

古い PHP から上げるときは、サイトが壊れないかも見る

7.4 から 8.3 のように大きく上げると、古いテーマやプラグインが動かなくなり、ページが真っ白になることがあります。切り替える前に、サイトのファイルとデータベースのバックアップを取っておいてください。そのうえで、いきなり本番で切り替えず、サイトの複製で動きを確かめてから切り替えると安全です。切り替えた後に元の版へ戻せるかも、先に確かめておいてください。

設定を変えるだけでは防げない

PHP の設定を変えて避ける方法も出回りましたが、効くかどうかは確かめられていません。PHP の開発元も、設定の変更だけでは安全にならないと説明しています。Cloudflare などの WAF(不正な通信をはじく仕組み)も、修正版にするまでのつなぎです。

修正の前から公開していたなら、中も見る

修正版の公開前から攻撃の試みが見られていたと報じられています。カナダのサイバーセキュリティセンターは、サーバーやアプリの記録を見直し、見慣れない処理・ファイル・アカウント・外への通信がないか調べるよう勧めています。WordPress なら、知らない管理者が増えていないか、見覚えのないファイルが置かれていないかも確かめてください。

今回で終わりではない

今回の修正に合わせて対策に当たった Cloudflare のマシュー・プリンス CEO は、10月23日の取材で、今後別のソフトで「同様の深刻な脆弱性が公表される」と予告しました。

PHP や WordPress は、世界中で使われているぶん、弱点が見つかるたびに更新が必要になります。サイトを持ち続けるかぎり、次の発表が出たときにどうするかを決めておく必要があります。考え方は、大きく2つです。

どちらが正解ということはありません。大切なのは、「次に同じことが起きたとき、誰が何をするのか」が決まっていることです。今回、更新の担当がいないまま慌てたのなら、決めるいい機会です。