PHPの脆弱性「PHP2Shell」とは？影響する環境と、自社のサイトで確かめること

2026年10月21日、PHPの開発チームは、重大な脆弱性2件を修正した版を公開しました（PHPのセキュリティ告知（別タブで開く））。セキュリティの企業や研究者の間では「PHP2Shell（php2shell）」と呼ばれています。

PHPは、WordPressやECサイト、問い合わせフォームなど、多くのWebサイトで動いているプログラミング言語です。修正版の公開に備えて、国内でもサービスを一時的に止めた企業や団体が相次ぎました。

本記事では、PHP2Shellで何が起きるか、影響する環境、自社のサイトで確かめることを、公式の情報で整理します。記載の内容は、2026年10月22日時点の情報に基づきます。状況は変わる可能性があるため、最新の情報はPHPの公式の告知で確かめてください。

PHP2Shellとは

PHP2Shellは、PHPの本体にある2件の脆弱性の通称です。どちらも、ログインしていない攻撃者が、Webサーバーの上で任意のプログラムを動かせるおそれがあります（リモートコード実行）。

コードを実行されると、サイトの書き換え、データベースの情報の持ち出し、別の攻撃への踏み台などにつながります。

公開までの経緯

脆弱性は、2026年8月から9月にかけて、Calif、OpenAI、Wizから報告されました。修正版は10月22日に公開する予定でしたが、その前に脆弱性の番号などの情報が出回ったため、1日早めて10月21日（日本時間の同日夜）に公開されました（The PHP Foundation（別タブで開く））。日本では、IPAが10月21日に、公開に向けた事前の準備を呼びかけています（IPA（別タブで開く））。

影響する環境

バージョン

修正版は次の4つです（PHPのセキュリティ告知（別タブで開く））。

PHP 8.1以前には、PHPの開発チームからの修正版は出ていません。7.4・8.0・8.1向けには、ソースから組み立てる人のための最小限の修正が提供されています。Linuxのディストリビューションや長期サポートの事業者が修正を出している場合もあるため、使っている事業者に確かめます。

PHP 8.2のサポートは、2026年12月31日に終わります。8.2を使っている場合は、移行の計画も立てておきます。

構成

PHPの告知では、Webのリクエストを処理するPHPのすべての環境が対象とされています。PHP-FPM、ApacheのPHPモジュール（mod_php）、php-cgi、FrankenPHP、LiteSpeedが含まれます。

なかでも危険が大きいのはmod_phpです。アプリケーションのプログラムが動く前に、ログインなしのリクエストで攻撃できることが実証されています。

Wizは、WordPress、Drupal、Joomlaの、検証の時点で最新のコンテナイメージで、ログインなしでコードを実行できることを確かめたとしています（Wiz（別タブで開く））。CMSやプラグインを最新にしていても、PHPが古ければ影響を受けます。

悪用の状況

2026年10月22日時点で、悪用についての発表は分かれています。

• 米国のCISAは、10月21日の注意喚起の時点で、悪用は確認していないとしました（CISA（別タブで開く））
• watchTowrは、自社のハニーポットで、10月21日に悪用を観測したとしています（watchTowr（別タブで開く））

悪用が確認されていなくても、修正版を当てるまでは危険があります。

自社のサイトで確かめること

PHPの更新は、多くの場合、委託先やサーバーの事業者が行います。次の順に、誰が対応するかを確かめます。

1. PHPで動いているものを洗い出す

PHPは、ほかのソフトウェアの部品として組み込まれていることが多く、外からは見えにくいとCISAも注意しています。次のようなものを一覧にします。

• コーポレートサイト、オウンドメディア、LP（WordPressなど）
• ECサイト（EC-CUBE、Magentoなど）
• 問い合わせや資料請求のフォーム
• 会員サイトや、社内向けの管理画面
• データベースの管理ツール（phpMyAdminなど）

制作会社に任せたまま、更新が止まっているキャンペーンのサイトやLPも忘れずに入れます。

2. どこで動いているかで、対応する人を分ける

国内のレンタルサーバーの事業者は、10月22日の朝にかけて、PHPの更新を進めています（各社の対応は「piyolog（別タブで開く）」にまとめられています）。ただし、管理画面で古いPHPのバージョンを選んでいる場合は、新しい版への切り替えを案内している事業者もあります。

3. 委託先に聞くこと

制作会社や保守の委託先には、次の4つを聞くと、状況をつかめます。

• PHPのバージョンと、修正版（8.5.12・8.4.27・8.3.36・8.2.35）を当てた日時
• PHPの動かし方（mod_php、PHP-FPMなど）
• PHP 8.1以前のサイトがあるか。あれば、どう対応するか
• 修正版を当てるまでの間に、不審なアクセスや、PHPからのコマンドの実行がなかったか

4. すぐに更新できない場合

PHPの告知には、更新できない場合の緩和策が書かれています。たとえば、CVE-2026-109619の確認された攻撃の経路には、セッションのアップロードの進み具合を記録する機能（session.upload_progress.enabled）を切る設定が挙げられています。

ただし、緩和策は確認された攻撃の経路を減らすだけで、安全にするものではありません。完全な対策は更新だけだと、PHPの告知は明記しています。

CISAは、すぐに更新できない場合や、8.1以前のサポートが切れたPHPを使い続けている場合は、更新するまでシステムを止める（オフラインにする）よう求めています。WAF（Webアプリケーションのファイアウォール）は、更新までの間の一定の守りになるとしています。

侵入されたおそれがある場合

CISAは、PHPのプロセスがシェルを起動したり、ツールをダウンロードしたりする動きに注意するよう呼びかけています。不審な動きが見つかった場合は、委託先やセキュリティの専門の会社に調べてもらいます。

個人情報が漏れた、または漏れたおそれがある場合は、個人情報保護委員会への報告が必要になることがあります。不正アクセスのように不正の目的によるおそれがある個人データの漏えいは、人数にかかわらず報告の対象になりえます。速報は速やかに（目安はおおむね3〜5日以内）、確報は60日以内に出します（個人情報保護委員会（別タブで開く）、漏えい等報告の義務化について（別タブで開く））。

2026年9月ごろからは、PHP2Shellとは別に、国内の組織で不正アクセスによる情報漏えいが相次いでいます。データの分析に使うBIツールが狙われた事例もあります。手口と見直す点は、「Metabaseの脆弱性と、BIツールからの情報漏えいを防ぐために見直すこと（別タブで開く）」で解説しています。

まとめ

• PHP2Shell：PHPの本体にある2件の脆弱性（CVE-2026-109618・CVE-2026-109619）。ログインなしで、サーバーの上でプログラムを動かされるおそれがある
• 修正版：8.5.12・8.4.27・8.3.36・8.2.35（2026年10月21日公開）。8.1以前は開発チームからの修正版がない
• 構成：Webのリクエストを処理するPHPのすべての環境が対象。mod_phpの危険が最も大きい
• 確かめること：PHPで動いているサイトを洗い出し、レンタルサーバー・自社・SaaSのどこで動いているかで、誰が更新するかを確かめる
• 更新できない場合：緩和策は一時しのぎ。CISAは、更新するまでシステムを止めるよう求めている

問い合わせフォームの内容を、Webサーバーのデータベースに残したままにしていると、PHPのような脆弱性が見つかったときに、漏れるおそれのある範囲が広がります。集めたデータをどこに置き、誰が見られるようにするかを決めておくと、こうしたときの確認も速くなります。

株式会社INVOXは、データ基盤の構築、データ分析の支援、AIエージェントの開発を行っています。広告やGA4、CRMのデータをBigQueryに統合する際に、データの置き場所と権限の設計から支援しています。

「フォームやSaaSに分かれた顧客のデータを整理したい」「データ基盤の権限の設計を相談したい」といった課題をお持ちでしたら、お問い合わせください。