2026年10月22日、IPA（情報処理推進機構）が、PHPの重大な脆弱性について注意喚起を出しました。2つの脆弱性（CVE-2026-109618、CVE-2026-109619）の組み合わせは「PHP2shell」と呼ばれており、悪用されると、遠隔の第三者にサーバー上で任意のコードを実行されるおそれがあります。
前日の10月21日には、IPAが「【事前準備のお願い】PHPのセキュリティリリース公開予定について」を出していました。修正版の公開を事前に予告するのは珍しく、それだけ影響が大きいと見られていたということです。
先に結論をお伝えします。WordPressでホームページを運営している方は、ほぼ全員が当事者です。ただ、やるべきことは多くありません。この記事では、WordPressの制作と運用を仕事にしている立場から、「自分のサイトは関係あるのか」「誰が何をすればいいのか」を順に整理します。
そもそもPHPとは？WordPressとの関係
PHPは「WordPressを動かしているエンジン」
PHP（ピー・エイチ・ピー）は、ホームページを裏側で動かすプログラミング言語です。WordPressはPHPで作られているので、PHPがなければWordPressは1ページも表示できません。車にたとえると、WordPressが車体、PHPがエンジンです。
WordPress本体を更新しても、PHPが古ければ守れない
2026年7月には、WordPress本体の脆弱性（wp2shell）が話題になりました。このときはWordPressを最新版に更新することが対策でした。
今回はその一段下、エンジンにあたるPHPの問題です。管理画面でWordPressやプラグインを最新にしていても、サーバー側のPHPが古いままなら対策になりません。「WordPressは毎回きちんと更新しているから大丈夫」とは言えない点が、今回の注意点です。
影響を受けるバージョンと修正版
IPAの注意喚起によると、影響を受けるバージョンと修正版は次のとおりです。
| PHPの系統 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| 8.2系 | 8.2.35より前 | 8.2.35 |
| 8.3系 | 8.3.36より前 | 8.3.36 |
| 8.4系 | 8.4.27より前 | 8.4.27 |
| 8.5系 | 8.5.12より前 | 8.5.12 |
PHP 8.1以前は修正版が出ない
注意が必要なのは、PHP 8.1以前を使っているサイトです。これらのバージョンはすでにサポートが終了しており、今回の修正版は提供されません。また、調査に関わったWiz社によると、PHP 5.4以降のバージョンは、2つの脆弱性のうち少なくともどちらかの影響を受けるとされています。
つまり、何年もPHPのバージョンを変えていないサイトほど危険だということです。修正版が出ない以上、サポート中の系統（8.2以上）に移ることが、根本的な対策になります。
レンタルサーバーの場合、誰が何をするのか
中小企業のホームページの多くは、レンタルサーバー（共用サーバー）で運用されています。この場合、PHP本体を直接更新するのはサーバー会社です。ただし、運営者が何もしなくてよいとは限りません。ここでは、実際に主要なレンタルサーバー2社がどう対応したかを例に整理します。
基本の整理：PHPの対策には2つの方式がある
サーバー会社の対策は、大きく2つの方式に分かれます。
- 方式A：修正版のPHPを提供する サーバー会社が修正済みのバージョン（8.3.36など）を用意し、自動で切り替えるか、利用者が切り替えます。どのバージョンで動いているかが画面上で確認でき、外から見てわかりやすい方式です。
- 方式B：今のバージョンのまま、裏側でパッチを当てる 表示上のバージョン番号は変えずに、サーバー会社が修正部分だけを適用します。利用者の作業は要りませんが、適用されたかどうかが外からは見えにくくなります。
どちらが正しい、という話ではありません。方式Bは、利用者のサイトを壊さないように配慮した方法とも言えます。大事なのは、自分が契約しているサーバーがどちらの方式で、今どこまで進んでいるのかを把握することです。
エックスサーバーの場合：早い初動と、こまめな進捗報告
エックスサーバーは、IPAが事前告知を出した10月21日の夕方には対応を始めていました。そのうえで、公式のXアカウント（@xserverjp）で、作業の進み具合をこまめに報告しています。
利用者からすると、「いま何が起きていて、どこまで終わったのか」が時系列でわかります。緊急時に、状況が見えること自体が安心材料になる、という好例です。
ConoHa WINGの場合：バージョンを維持したままパッチを適用
ConoHa WINGは、公式のXアカウント（@ConoHaPR）で、次のように案内しています。
現在ご利用中のPHPバージョンを維持したまま、弊社にてセキュリティパッチを適用いたします。
ConoHa（@ConoHaPR）の告知より
先ほどの方式Bにあたります。利用者がPHPを切り替える必要がなく、互換性の心配もない点は利点です。一方で、利用者の側では次の点を確認しておくと安心です。
- 自分のサーバーで、パッチの適用が完了したかをどう確かめればよいか
- PHP 8.1以前のサポートが終了したバージョンも、パッチの対象になるのか
- いつ頃までに適用が完了する予定か
わからない点は、サーバー会社の公式のお知らせページやサポート窓口で確認するのが確実です。
比較から見える「サーバー会社選びの視点」
レンタルサーバーを選ぶとき、多くの方は料金や表示速度、容量を比べます。今回の件は、もう1つの物差しがあることを示しています。緊急時に、どれだけ早く、どれだけわかりやすく情報を出してくれるかです。
私はブランドの仕事もしていますが、危機の時の発信は、その会社の姿勢がいちばんよく表れる場面です。サーバー会社の選定や見直しのときは、過去の障害や脆弱性のときにどう発信していたかも、判断材料の1つに加えてみてください。
どちらの場合も、運営者がやること
サーバー会社がどちらの方式をとっていても、運営者の側でやるべきことは共通です。
- 自分のサイトが、いまどのPHPバージョンで動いているかを確認する
- PHP 8.1以前なら、パッチ方式であっても、サポート中の系統（8.2以上）への切り替えを検討する
- 切り替えるときは、事前にバックアップを取り、プラグインやテーマが新しいPHPで動くかを確認する
今すぐできる確認手順（チェックリスト）
専門知識がなくてもできる確認を、順番に並べました。
- PHPのバージョンを確認する WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、PHPのバージョンが表示されます。
- 契約しているサーバー会社のお知らせを確認する サーバー会社の公式サイトや公式Xで、今回の脆弱性への対応状況を確かめます。
- PHP 8.1以前なら、切り替えを検討する バックアップを取ってから、サーバーの管理画面で8.2以上に切り替えます。
- 切り替えた後に動作を確認する トップページ、主要なページ、お問い合わせフォームが正しく動くかを確かめます。
- 自分で判断できなければ、相談する 制作会社や保守の担当者に、「PHPのバージョンと今回の脆弱性への対応状況を確認してほしい」と伝えてください。
すぐに更新できない場合：経営判断として考えること
IPAの注意喚起には、修正対応が難しい場合の考え方も示されています。中小企業向けに言い換えると、次の6つです。
- サポート状況を確認する 使っているPHPのサポートが終わっていないかを確かめます。
- 暫定対策をとる 更新が終わるまで、脆弱なまま放置しないようにします。難しければ、公開の一時停止も選択肢に入れます。
- サイトの役割を見直す そのサイトが今も事業に必要か、ほかの手段で代わりがきかないかを確認します。
- 体制と予算を確認する 担当者だけでなく経営者も含めて、更新と今後の保守に必要な人と予算を確保できるかを考えます。
- 方針を決める 保守できる見通しがあれば更新や移行を進め、なければ、機能の縮小や公開の終了も含めて検討します。
- 利用者への影響に配慮する 移行や廃止の際は、データの保存や、お客様への案内を計画します。
現場で多く見かけるのは、「何年もサイトに触っていない」というケースです。制作時の資料がない、当時の担当者がもういない、保守契約が切れている。こうなると、PHPを更新したくても、何が壊れるのかを誰も判断できません。
これは技術の問題に見えて、実は経営の問題です。今回の注意喚起を、自社のサイトを「誰が、どう面倒を見ているのか」を確かめるきっかけにしていただければと思います。
まとめ：サイトは「作って終わり」ではなく「育てて守る」もの
- 今回の「PHP2shell」は、WordPressを動かしているPHPそのものの脆弱性です
- PHP 8.1以前は修正版が出ないため、サポート中の系統（8.2以上）への移行が根本的な対策になります
- レンタルサーバーでは、サーバー会社の対応方式（修正版の提供か、パッチの適用か）と進み具合を確認しましょう
- まずは、サイトヘルスでPHPのバージョンを確認するところから始めてください
ホームページは、公開した日がゴールではありません。今回のように、土台の部分で問題が見つかることは、これからも起こります。そのたびに慌てなくて済むように、日頃から「どんな環境で動いているか」を把握しておくことが、いちばんの備えです。
「うちのサイトのPHPのバージョンだけでも見てほしい」というご相談も歓迎します。ホームページを継続して見守る「かかりつけウェブ顧問」として、状況の確認からお手伝いします。お気軽にお問い合わせください。
よくある質問
プラグインの更新だけでは対策になりません。今回の脆弱性は、WordPressを動かしているPHPそのものにあるためです。PHPはサーバー側の仕組みなので、サーバー会社の対応状況と、自分のサイトが使っているPHPのバージョンをあわせて確認する必要があります。
あります。古いプラグインやテーマが、新しいPHPに対応していないと、表示が崩れたり画面が真っ白になったりすることがあります。切り替える前にバックアップを取り、可能であればテスト環境で動作を確かめてから本番に反映するのが安全です。
サーバー会社がPHP本体の修正を行うため、作業の一部は任せられます。ただし、PHP 8.1以前を選んだままにしていると、修正版が提供されない場合があります。どのバージョンを使っているかの確認と、必要に応じた切り替えは、運営者側の役割です。
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」の項目を見ると、PHPのバージョンが表示されます。レンタルサーバーの管理画面の「PHP設定」などからも確認できます。
制作会社や保守の担当者がいれば、まず「PHPのバージョンと今回の脆弱性への対応状況を確認してほしい」と伝えてください。担当者がいない場合は、私のかかりつけウェブ顧問でも、バージョンの確認から切り替え後の動作確認までお手伝いしています。
参考情報
- IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
- PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」
- Wiz「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」
※この記事は2026年10月23日時点の情報をもとに書いています。サーバー会社の対応状況は日々変わるため、最新の情報は各社の公式発表をご確認ください。
