はじめに
2026年10月21日（日本時間23時）、PHPの開発元が「認証なしで外部からプログラムを実行されるおそれがある」重大な脆弱性を修正しました。通称は「php2shell」です。
PHPはWordPressをはじめ、多くのホームページや予約システム、ネットショップを動かしているプログラム言語です。そのため影響範囲が広く、レンタルサーバー各社で緊急メンテナンスが行われ、一時的にサイトや管理画面が使えなくなるケースもありました。
この記事では、香川県高松市のWeb制作会社である当社が、専門知識がない方にもわかるように次の点を解説します。
- 何が起きたのか（現象）
- なぜ起きたのか（原因）
- ホームページの持ち主が今すべきこと（対策）
- 当社にご依頼いただけること
現象：何が起きたのか
修正版の公開に合わせて、主要なレンタルサーバーが予防的な停止や緊急メンテナンスを実施しました。「サイトが急に表示されない」「サーバーの管理画面に入れない」といった現象の多くは、この対応によるものです。
| 日時（日本時間） | 出来事 |
|---|---|
| 10月20日 | PHPの開発元が重大なセキュリティリリースを予告 |
| 10月21日 16:00 | エックスサーバーが公式サイトと管理画面を予防的に停止（お客さまのサーバーは稼働継続） |
| 10月21日 22:30～ | さくらインターネットが会員機能などで予防的な緊急メンテナンスを開始 |
| 10月21日 23:00 | PHPの修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）が公開 |
| 10月22日 6:45 | エックスサーバーが対象（PHP 8.2～8.5）の全サーバーへの修正適用完了を報告 |
| 10月23日 | 関連する別の脆弱性（CVE-2026-115560）が追加で案内される。さくらインターネットは緊急メンテナンスの終了を告知 |
さくらインターネットは、10月23日17時時点でこの脆弱性を悪用した不正アクセスや情報漏えいは確認されていないと発表しています。ただし、サーバーを自分で管理している場合や、古いPHPを使い続けている場合は、今も危険が残っています。
原因：PHP本体の「メモリ処理」の不備
原因は、ホームページの作り方ではなく、PHP本体がアクセスを処理する仕組みにありました。どちらも深刻度はCVSS v4.0で9.2（10点満点）と、最上位に近い評価です。
| 脆弱性 | 何が問題か（かみくだいた説明） |
|---|---|
| CVE-2026-109618 | メモリが足りなくなったとき、アクセスの準備が中途半端な状態で残り、それを悪用されると外部からプログラムを実行されるおそれがある |
| CVE-2026-109619 | アクセスの後片付けが不十分で、次のアクセスが「すでに捨てたはずのメモリ」を使ってしまい、同じく外部からのプログラム実行につながるおそれがある |
| CVE-2026-115560（10月23日追加） | 特定のセッション設定を使う場合に、同様の危険がある |
特に注意したいのは次の3点です。
- ログイン不要で攻撃できる：パスワードを知らない第三者でも、外からアクセスするだけで攻撃できる可能性があります。
- ほぼすべての動作環境が対象：PHP-FPM、Apacheのmod_php、php-cgi、LiteSpeedなど、WebでPHPを動かす環境は広く影響を受けます。mod_phpは特にリスクが高いとされています。
- 古いPHPには正式な修正版が出ない：PHP 7.4、8.0、8.1は開発元のサポートが終了しているため、最小限の修正コードが示されただけです。古いPHPのまま運用しているサイトは、今回を機に新しい版への移行が必要です。
対策：ホームページの持ち主が今すべきこと
最も確実な対策は、PHPを修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35以降）へ更新することです。次の順番で確認してください。
- サイトがどこで動いているか確認する
- レンタルサーバーか、VPS・クラウドなど自社で管理するサーバーかを確かめます。わからなければ制作会社に確認しましょう。
- レンタルサーバーの場合：サーバー会社のお知らせを確認する
- 多くの場合、サーバー会社が修正を適用済みです。ただしサポート終了版はPHPの対応が各社で異なるため、案内を必ず確認します。
- 使っているPHPのバージョンを確認する
- サーバーの管理画面やWordPressの「サイトヘルス」で確認できます。8.1以前なら、サポート中の版（8.2以降）への切り替えが必要です。
- 切り替え前にバックアップと動作確認を行う
- 古いテーマやプラグインは、新しいPHPで動かなくなることがあります。本番でいきなり切り替えるのは避けましょう。
- 自社管理のサーバーの場合：すぐに更新する
- OSの配布元などが提供する更新を適用します。すぐに更新できない場合は、開発元が示す緩和策（下記）をとり、必要ならサイトを一時停止します。
サイトが復旧したら確認したいこと
- トップページや主要ページが正しく表示される
- お問い合わせフォームから送信でき、メールが届く
- 予約やネットショップの申し込みが完了する
- WordPressの管理画面にログインできる
- 見覚えのないユーザーやファイルが追加されていない
WordPress本体やプラグインを更新しても、PHPは更新されません。別々に対応が必要な点に注意しましょう。
よくある質問
Q. レンタルサーバーを使っています。何もしなくて大丈夫ですか？
主要なレンタルサーバーでは修正が適用済みです。ただし「サポート終了版のPHPを使っている」場合は移行を勧められています。ご自身のサイトのPHPのバージョンだけは確認してください。
Q. PHPのバージョンを上げるとサイトは壊れますか？
古いテーマやプラグイン、独自に作ったプログラムは、表示崩れやエラーが起きることがあります。事前にバックアップを取り、テスト環境で動作を確認してから切り替えると安全です。
Q. WordPress以外のサイトも影響を受けますか？
はい。PHPで動いているサイトやシステムは、WordPressかどうかに関わらず対象です。問い合わせフォーム、予約システム、ECサイトなども確認が必要です。
Q. 他社が制作したサイトでも相談できますか？
はい、他社で制作したサイトや、制作会社と連絡が取れなくなったサイトのご相談も承ります。
PHPの更新・ホームページの安全対策は株式会社NEOWERTへ
「自社のサイトが大丈夫かわからない」「PHPの更新は不安」という方は、香川県高松市のWeb制作会社、株式会社NEOWERTにご相談ください。例えば次のような対応を承ります。
| ご依頼いただけること | 内容 |
|---|---|
| 現状確認 | サーバーの種類、PHPやWordPress・プラグインのバージョンを調べ、対応が必要かをお伝えします |
| PHPのバージョンアップ | バックアップ、動作確認、切り替えまで代行します |
| 不具合の修正 | 更新後に起きた表示崩れやフォームの不具合を修正します |
| 古いサイトのリニューアル | 最新のPHPで動かない古いサイトを、スマホ対応・SEO対策も含めて作り直します |
| システムの改修 | PHPで作られた予約・会員・業務システムを新しいPHPに対応させます |
| 定期的な保守 | 更新作業やバックアップを継続的に行い、今回のような事態に備えます |
当社はホームページ制作、ECサイト制作、システム構築、SEO・MEO対策まで一貫して手がけています。安全対策とあわせて、「成果が出るサイト」への改善もご提案できます。
お問い合わせ・お見積もり
- 電話：087-880-4755（平日10:00～18:00）
- Web：お問い合わせ・ご相談フォーム
- 所在地：香川県高松市円座町364-11
