PHPの脆弱性php2shell、WordPressで今やること

2026年10月21日、ホームページを動かす仕組みの一つである「PHP」に、重大な脆弱性（セキュリティ上の欠陥）が2件見つかり、修正版が公開されました。「php2shell」という呼び名で、ニュースやSNSでも取り上げられています。

WordPressで作ったホームページは、ほぼすべてがPHPの上で動いています。この記事では、自社サイトを運営している方が何を確認すればいいかを、順番に説明します。

※2026年10月23日時点の情報です。状況は日々更新されるので、最後に挙げた公式の情報もあわせてご確認ください。

この記事でわかること

• 今回の脆弱性で何が起こりうるのか
• 自社サイトが対象かどうかの確かめ方
• レンタルサーバーを使っている場合に、自分でやること・やらなくていいこと

何が起こりうるのか

対象になっているのは、CVE-2026-109618 と CVE-2026-109619 という2件の脆弱性です。深刻度はどちらも10段階で9.2と評価されています。

PHPの公式発表によると、条件がそろうと、ログインしていない外部の人が、サーバーの上で勝手にプログラムを動かせるおそれがあります。そうなると、情報の持ち出し、ページの書き換え、サイトの停止などにつながりかねません。

WordPressに限らず、PHPで動いているサイトは広く対象です。

修正されたバージョン

PHPの公式が10月21日に公開した修正版は、次の4つです。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP 8.1以前は、PHPの公式としてはもう更新を出していません。レンタルサーバー会社などが独自に修正を当てている場合はありますが、古い版を使い続けること自体が弱点になります。

また、PHP 8.2も2026年12月31日で公式のサポートが終わります。これから切り替えるなら、8.3以上を選んでおくと安心です。

自社サイトのPHPのバージョンを確かめる

WordPressなら、管理画面から1分ほどで確かめられます。

1. WordPressの管理画面にログインする
2. 左のメニューの「ツール」→「サイトヘルス」を開く
3. 上の「情報」タブを開き、「サーバー」の項目を開く
4. 「PHP バージョン」に書かれている番号を見る

レンタルサーバーの管理画面（サーバーパネルなど）にも、「PHPのバージョン切り替え」のような画面があり、ドメインごとのバージョンが一覧で見られます。サイトを複数持っている場合は、全部のドメインを確認してください。1つだけ古いまま残っている、ということがよくあります。

PHPバージョンの確認手順

1. 管理画面へログインWordPressの管理画面にログインする
2. サイトヘルスを開く左メニューの「ツール」から開く
3. サーバー項目を開く上の「情報」タブから選択する
4. 番号を確かめる「PHP バージョン」の記載を見る

レンタルサーバーを使っている場合

中小企業のホームページの多くは、エックスサーバーなどのレンタルサーバーで動いています。この場合、PHP本体の修正はサーバー会社が行うので、利用者がPHPを自分で入れ替える必要は基本的にありません。

たとえばエックスサーバーは、10月22日のうちに修正を当て終えたと発表しています。PHP 8.2〜8.5は同じ系列の修正版に更新し、PHP 5.6〜8.1はバージョンを変えずに独自の修正を当てた、という説明です。そのため、5.6〜8.5を使っている場合は「急いでバージョンを変える必要はない」と案内しています（5.5以下は修正の準備中。10月23日時点の発表）。

ほかのレンタルサーバー会社でも対応は分かれるので、自社が契約しているサーバー会社のお知らせを確かめてください。

そのうえで、利用者側でやっておきたいことは次の3つです。

1. PHPのバージョンを確かめる（上の手順）
2. 8.1以前なら、落ち着いたタイミングで8.3以上へ切り替える。サーバー会社の独自の修正で今回の穴はふさがれていても、公式の更新が止まった版は、次に問題が見つかったときに守られる保証がないからです。切り替える前に、サイトのバックアップを取り、WordPress本体・テーマ・プラグインを最新にしておきます
3. 切り替えたあとに動作を確かめる。トップページ、いくつかの記事、管理画面、そして問い合わせフォームを実際に送ってみて、メールが届くかまで見ます

古いテーマやプラグインは、新しいPHPで動かないことがあります。画面が真っ白になったら、慌てずに元のバージョンへ戻せば表示は元に戻ります。

やらなくていいこと・気をつけたいこと

• サーバー会社を名乗るメールのリンクは開かない。こうした騒ぎに便乗した偽のメールが出回りやすい時期です。お知らせは、ブックマークしてある公式サイトから見に行きます
• SNSで見た手順を、そのまま本番のサイトで試さない。サーバーの設定を変える手順は、環境によって結果が変わります
• 「今すぐ対応しないと危険」とあおる売り込みには、まず自社のPHPのバージョンを確かめてから判断して大丈夫です。レンタルサーバーなら、サーバー会社の修正がすでに終わっていることが多いからです

注意したいポイント

• 偽メールを開かないお知らせは公式のサイトから直接見に行く
• SNS手順の即試行環境で結果が変わるため本番で試さない
• あおりに慌てない自社の状況を確かめてから落ち着いて判断

自分で確かめるのが難しいとき

「管理画面のログイン情報がわからない」「制作会社と連絡がつかない」「どのサーバーで動いているかもわからない」という場合もあると思います。

シロツメWebでは、PHPのバージョンの確認から、切り替え、切り替えたあとの動作確認までお手伝いできます。気になる方は、まずはお問い合わせからご相談ください。

参考にした公式の情報

• PHP公式：ニュースアーカイブ（2026年10月21日の修正版公開）
• PHP公式：サポート中のバージョン一覧
• IPA（情報処理推進機構）：PHPのセキュリティリリースに関する注意喚起
• エックスサーバー：予防的な安全対策に伴う一時停止のお知らせ（PHPの対応経過）

よく読まれている関連ガイド

• robots.txtとは？検索の機械に渡す案内書きをやさしく解説
• 何年か触っていないホームページを、作り直さずに動かし直す手順