PHPに重大な脆弱性「php2shell」発見｜個人・WordPress利用者が今すぐ確認すべき対策【2026年10月】

「PHPに重大な脆弱性。すぐに更新を」

2026年10月21日、こんなニュースが流れました。
「脆弱性（ぜいじゃくせい）」とは、ソフトの設計上の弱点・欠陥のことです。

「自分のパソコンも危ないの？」
「何か入れないといけないの？」
そう感じた方もいると思います😟

私自身、このブログをWordPressで運営しています。
ニュースを見て、まず自分のサイトのことが頭に浮かびました。

💡 先に結論

  • 今回の問題は、自宅のパソコンが直接狙われる話ではありません
  • 主に、ホームページを動かす「Webサーバー」側の問題です
  • ふつうにネットを見るだけの方は、いつもの基本対策で十分です
  • WordPressでブログやサイトを運営している方は、まずレンタルサーバー会社の対応を確認しましょう

📅 この記事は2026年10月22日時点の公式情報をもとにまとめています。

🧩 そもそもPHPとは？

PHP（ピーエイチピー）は、ホームページを動かすためのプログラムの言葉です。
私たちが目にすることは、ほとんどありません。

関係を図にすると、こうなります。

🙋 利用者（あなた）
スマホやパソコンで記事を読む
⬇
🌐 Webサイト
ブログやお店のホームページ
⬇
📝 WordPress
ブログを作る仕組み
⬇
⚙️ PHP（今回の問題はここ）
WordPressを動かすプログラムの言葉
⬇
🖥️ サーバー
サイトのデータを置いておくコンピューター

WordPressは、PHPで作られています。
PHPは、レンタルサーバー会社などのサーバーの中で動いています。

つまり、あなたのパソコンやスマホの中で動いているものではありません。
ここが、今回のニュースを理解するいちばんのポイントです。

Cloudflare（クラウドフレア）の解説によると、PHPはWebサイトのおよそ7割で使われています。
だからこそ、大きなニュースになりました。

🔍 今回何が見つかったのか

見つかった弱点は2つです。

番号 どんな弱点？（かんたんに）
CVE-2026-109618 サーバーのメモリ（作業スペース）が足りなくなったとき、準備が終わっていないデータを正しいものとして扱ってしまう
CVE-2026-109619 エラーで処理が止まったあと、片付け済みのはずのデータが残り、次の処理で使われてしまう

「CVE」は、世界共通の脆弱性の通し番号です。
ニュースで同じ問題を指していることを確かめるのに使われます。

この2つはまとめて「php2shell（ピーエイチピー・ツー・シェル）」と呼ばれています。
この呼び名はCloudflareの解説で使われているもので、PHP公式の発表では番号で書かれています。

「認証なしの遠隔コード実行」とは？

PHP公式は、今回の弱点について次のように発表しました。

  • 認証なしで（ログインしなくても）
  • 遠隔で（インターネットの向こうから）
  • サーバーにプログラムを実行させられるおそれがある

専門用語では「リモートコード実行（RCE）」といいます。
たとえるなら、合鍵がなくても、外から家の中の機械を操作されてしまうような状態です。

PHP公式は、すべての利用者にすぐに更新するよう強く勧めています。
またCloudflareは、正式な発表の前に情報が漏れ、攻撃とみられる通信をすでに観測したと書いています。

一般の方が慌てる必要はありません。
ただ、サイトを運営している方は「様子見」ではなく、早めに確認しておきたい問題です。

⚠️ 攻撃されると何が起こる？

Cloudflareは、今回の弱点で「サービス停止」「プログラムの実行」「データの流出」が起こりうると説明しています。

一般に、サーバーでプログラムを勝手に動かされると、次のような被害につながる可能性があります。

被害 どういうこと？
📝 サイトの改ざん 記事が書きかえられる、怪しいサイトへ飛ばされる
🚪 バックドア あとから何度でも入れる「裏口」を仕込まれる
📤 情報の流出 サイトに保存された会員情報や問い合わせ内容が盗まれる
🔑 管理者情報の窃取 WordPressの管理者IDやパスワードなどを盗まれる
🪜 踏み台 自分のサーバーが、他人を攻撃する道具に使われる
⛔ サイトの停止 サイトが表示されなくなる

サイトを読みに来るだけの方が、すぐに被害を受けるわけではありません。
困るのは主に、サイトを運営している側です。

📋 影響するPHPと修正版

PHP公式は2026年10月21日、修正版を公開しました。
Cloudflareによると、影響を受けるのはPHP 5.4以降（2012年に出たバージョン）を使うWebサーバーです。

PHPは「8.3」「8.4」のような系列（シリーズ）ごとに更新されています。
今使っている系列の、次の番号以上なら修正済みです。

使っている系列 修正版（この番号以上） 補足
PHP 8.5系 8.5.12 最新の系列
PHP 8.4系 8.4.27
PHP 8.3系 8.3.36
PHP 8.2系 8.2.35
PHP 8.1以前 通常の更新なし PHP公式のサポートは終了。7.4・8.0・8.1向けには、自分で組み立てる人向けの最小限の修正だけ公開

レンタルサーバーでは、サーバー会社が独自に修正を当てることもあります。
そのため番号だけで判断せず、サーバー会社のお知らせも合わせて確認するのが安心です。

なお、PHP公式は「すぐに更新できない場合の一時的な設定」も案内しています。
ただし公式自身が、完全な対策は更新だけだと明記しています。

🏠 普通の個人ユーザーは何をすればいい？

最初に、いちばん大事なことをお伝えします。

✅ 自宅のパソコンに「PHPの修正プログラム」を入れる必要は、通常ありません。
※ご自身でパソコンにPHPを入れて、プログラム開発をしている方は別です。

ホームページを見るだけ、ネットで買い物をするだけなら、いつもの基本対策を確認しておけば大丈夫です。

① Windows・macOSを最新にする

パソコンの基本ソフト（OS）の更新は、弱点をふさぐ一番の方法です。
Windowsは「設定」→「Windows Update」、Macは「システム設定」→「一般」→「ソフトウェアアップデート」から確認できます。

② Chrome・Edge・Safariを最新にする

インターネットを見るソフト（ブラウザ）も更新しましょう。
ChromeやEdgeは、いったん閉じて開き直すと更新が反映されることが多いです。

③ パスワードを使い回さない

どこかのサイトで情報が漏れても、使い回していなければ被害は広がりません。
とくにメール・銀行・証券口座は、ほかと同じパスワードにしないようにしましょう。

④ 2段階認証を設定する

2段階認証とは、パスワードに加えてスマホに届く番号なども使うログイン方法です。
パスワードが漏れても、それだけでは入られにくくなります。

⑤ 「PHP対策」を名乗る偽メールに注意

大きなニュースのあとは、それに便乗した偽メール（フィッシング）が出回りやすくなります。
「脆弱性対策のため、こちらからログインを」といったメールのリンクは押さず、公式アプリやブックマークから確認しましょう。

個人でできる守りは、「AIサイバー攻撃から資産を守る方法｜個人でできること・できないこと」でチェックリストにまとめています。

🛠️ WordPress利用者が今すぐ確認する5項目

ここからは、WordPressでブログやサイトを運営している方向けです。
上から順に確認していきましょう。

1. レンタルサーバー会社のお知らせ

レンタルサーバーでは、PHPの更新はサーバー会社の仕事です。
利用者が自分でPHPの修正を当てることは、ふつうできません。

まずは契約しているサーバー会社の「お知らせ」「ニュース」「障害・メンテナンス情報」を確認しましょう。
対応済みか、対応予定か、利用者に何か作業が必要か、が書かれているはずです。

2. PHPバージョン

WordPressの管理画面から確認できます。

🧭 「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」
「PHPバージョン」の欄に、使っている番号が表示されます

上の表の修正版と見比べてみましょう。
8.1以前が表示された場合は、PHP公式の修正が出ない古い系列です。サーバー会社の案内を確認し、新しい系列への切りかえを計画しましょう。

3. WordPress本体

ここは誤解しやすいので、先にお伝えします。

⚠️ WordPress公式は、今回の問題はWordPressの不具合ではなく、WordPress側の更新は必要なく、予定もないと説明しています。
WordPressやプラグインを更新しても、今回のPHPの弱点そのものは直りません。

それでも、WordPress本体を最新にしておくことは大切です。
2026年10月7日には、セキュリティ修正を含むWordPress 7.1.3が公開されています。
管理画面の「ダッシュボード」→「更新」で確認できます。

4. プラグイン・テーマ

プラグイン（機能を追加する部品）とテーマ（デザインの型）も、更新が出ていれば適用しましょう。
更新が何年も止まっているものは、作者がもう手入れしていない可能性があります。

5. 2段階認証とバックアップ

WordPressの管理画面、サーバー会社のコントロールパネル、登録メールアドレス。
この3つに2段階認証を設定しておくと、乗っ取りに強くなります。

あわせて、バックアップ（サイトの控え）が取れているかも確認しましょう。
万一のとき、元に戻せるかどうかが大きな違いになります。

📣 WordPressを運営している方へ
この機会に、バックアップ・2段階認証・不要なプラグインの3つを確認してみてください。どれも一度設定すれば、今後のトラブルにも役立ちます。

🗑️ 不要プラグインは「停止」ではなく「削除」を検討

使っていないプラグインを「停止」にしたまま、置きっぱなしにしていませんか？

⏸️ 停止

動いてはいないが、ファイルはサーバーに残る

🗑️ 削除

ファイルごと消えるので、弱点の入口が減る

停止中のプラグインでも、ファイルが残っていれば攻撃の入口になる場合があります。
しかも停止中は目に入りにくく、更新を忘れがちです。

削除の前には、次の2点を確認しておくと安心です。

  • バックアップを取ってから削除する
  • 削除すると設定も消えることがあるので、本当に使っていないか確かめる

🐢 PHP 8.5へ慌てて上げない

「最新のPHP 8.5にすれば安心」と考えたくなりますが、ここは少し待ってください。

PHPは系列（8.3→8.4→8.5など）が変わると、仕組みの一部が変わります。
すると、テーマやプラグインが新しい系列に対応しておらず、表示が崩れたり、画面が真っ白になったりすることがあります。

⭕ まずやること

今がPHP 8.3なら、8.3系の修正版（8.3.36）が当たっているかを確認

🔺 慌ててやらない

確認せずに8.5へ一気に切りかえる

今回の修正は、8.2・8.3・8.4・8.5のどの系列にも用意されています。
無理に世代を上げなくても、同じ系列の修正版で守れます。

ただし、8.1以前を使っている場合は話が別です。
公式の修正が出ないため、新しい系列への切りかえを検討しましょう。
その場合も、バックアップを取り、テーマやプラグインの対応状況を確かめてからにしてください。

🏢 ConoHa WING利用者はどうすればいい？

このブログ（favorite-song.com）は、ConoHa WING（コノハ・ウイング）というレンタルサーバーで運営しています。
同じサーバーをお使いの方に向けて、私が確認したことをまとめます。

緊急メンテナンスについて（事実の整理）

ConoHaは2026年10月21日、次の緊急メンテナンスを発表しました。

日時 2026年10月21日（水）19:00 〜 10月22日（木）10:00（予定）
対象 ConoHa WINGをご利用のお客様
作業内容 システムの保守作業
影響 一時的に接続できない、またはサービスを使えない可能性あり

PHPの発表と同じ日の告知ですが、公式のお知らせには「システムの保守作業」とだけ書かれています。
2026年10月22日時点で、今回のPHP脆弱性との関係は公表されていません。
この記事でも、関係があるとは決めつけないでおきます。

ConoHa WING利用者が確認したい4つのこと

① ConoHa公式のお知らせを確認
ConoHa WINGのニュースで、PHPに関する案内が出ていないか確かめましょう。
今後、対応状況が発表される可能性もあります。

② PHP設定を確認
コントロールパネルで、使っているPHPの系列を確認できます。

🧭 「WING」→「サイト管理」→「サイト設定」→「応用設定」タブ→「PHP設定」
「PHPバージョン」の欄に、今の設定が表示されます（ConoHa公式ガイド）

細かい番号（8.3.36など）は、前の章で紹介したWordPressの「サイトヘルス」で確認できます。
ここでも慌てて系列を変えないのがポイントです。

③ WordPressを更新
本体・テーマ・プラグインを最新にしておきましょう。
繰り返しになりますが、これは今回のPHPの弱点を直すものではなく、ほかの弱点をふさぐための基本です。

④ バックアップを確認
ConoHa WINGの自動バックアップの状況や、自分で取っている控えがあるかを確かめておきましょう。
不安な点や不明な点は、ConoHaのサポートに直接問い合わせるのが確実です。

☁️ Cloudflareを使っている場合

Cloudflare（クラウドフレア）は、サイトの手前に立って怪しい通信を止める「門番」のようなサービスです。
この門番の機能をWAF（ワフ：Webサイト用の防火壁）といいます。

Cloudflareの発表によると、

  • 10月21日（日本時間の正午ごろ）から、無料プランを含むWAF利用者を自動で守るルールを展開
  • 無料プランの方は、特に操作は不要
  • 有料プランの方は、管理ルールが「ブロック（遮断）」の設定になっているか確認するよう案内
  • 攻撃の手口の変化に合わせて、ルールを更新し続けている

🚧 WAFがあるから、PHPの更新はいらない……ではありません。
Cloudflare自身が、WAFは「追加の守り」であり、PHPの更新が必要だと明記しています。
門番がいても、家の鍵（PHP）そのものは直しておく必要があります。

また、Cloudflareは自分のサイトの前に設定している場合だけ効きます。
「Cloudflareを使っているかどうか分からない」という方は、サーバー会社の対応確認を優先しましょう。

✅ 初心者向けチェックリスト

スマホでスクリーンショットを撮って、一つずつ確認していくのがおすすめです📸

📋 一般の方（ネットを見る・使うだけの方）

☐ Windows・macOSを最新にした

☐ Chrome・Edge・Safariを最新にした

☐ スマホの基本ソフトとアプリを最新にした

☐ メール・銀行・証券口座のパスワードを使い回していない

☐ 主なサービスに2段階認証を設定した

☐ 「脆弱性対策」をうたうメールのリンクは押さない

📋 WordPressを運営している方

☐ レンタルサーバー会社のお知らせを確認した

☐ サイトヘルスでPHPバージョンを確認した

☐ PHP 8.1以前なら、切りかえの計画を立てた

☐ WordPress本体を最新（7.1.3以降）にした

☐ テーマ・プラグインを更新した

☐ 使っていないプラグイン・テーマを削除した（バックアップ後）

☐ 管理画面・サーバー管理画面・メールに2段階認証を設定した

☐ バックアップが取れていることを確認した

☐ Cloudflare利用中なら、WAFが有効か確認した

💭 私はこう考えています

正直に書くと、ニュースの見出しを見たときは私も少しドキッとしました。
「重大」「すぐに更新を」という言葉が並んでいたからです。

でも、PHP公式やCloudflareの発表を順番に読んでいくと、整理がつきました。
問題が起きているのはサーバーの中で、私のパソコンではありません。
そして、サーバーのPHPを直すのは、基本的にはレンタルサーバー会社の役目です。

では、私たちサイト運営者にできることは何か。
それは、「サーバー会社の対応を確認すること」と「自分の持ち場を固めること」だと思います。
WordPressの更新、不要なプラグインの削除、2段階認証、バックアップ。どれも地味ですが、確実に効く守りです。

私は再雇用で働きながら、高配当株とNISAで資産を育てています。
投資でも、ニュースに驚いて慌てて売買すると、たいてい良い結果になりません。
まず一次情報を確かめて、自分に関係する部分だけ手を打つ。
サイバー対策も、投資と同じ姿勢でいいのだと感じています。

証券口座やメールの守りについては、「50代・60代が今日からできる証券口座の守り方」でも書きました。
サイトを持っていない方は、こちらの見直しを優先していただくほうが、資産を守るうえでは大切だと私は考えています。

📝 まとめ｜慌てず、自分に関係するところから

あなたは？ やること
🏠 一般の利用者 過度に心配する必要はありません。
OS・ブラウザの更新、パスワードの使い回し防止、2段階認証を確認しましょう
🛠️ WordPress運営者 まずレンタルサーバー会社の対応状況を確認。
WordPress・テーマ・プラグインを更新し、バックアップと2段階認証を確認しましょう

今回のphp2shell（CVE-2026-109618・CVE-2026-109619）は、たしかに重大な弱点です。
ただし、直す場所は主にサーバー側です。
自分に関係するところを、落ち着いて一つずつ確認していけば大丈夫です。

WordPressを運営している方は、この機会に
バックアップ・2段階認証・不要プラグインを確認してみてください🔐

📚 あわせて読みたい関連記事

主な参考資料（公式情報）

※本記事は2026年10月22日時点の公式情報をもとに、筆者個人の考えをまとめたものです。セキュリティ情報は随時更新されるため、最新の状況はPHP公式および利用中のレンタルサーバー会社の公式情報をご確認ください。設定変更やPHPバージョンの切りかえは、バックアップを取ったうえでご自身の判断で行ってください。

コメント

タイトルとURLをコピーしました