サイトが使えない、見れないが乱発…
【警報】PHPに「緊急」レベルの脆弱性2件(php2shell)…サーバー乗っ取りの恐れ、修正版が公開。サイト運営者・WordPressユーザーが今すぐ確認すべきこと
削除され次第終了です。
ランダムで複数広告が表示されます。
動画が再生されない場合は、更新を押して別の動画再生ボタンを押してみて下さい。
再生が開始されましたら、巻き戻して閲覧下さい。
未成年の方はこちらから退出して下さい。→ 退出へ
利用者は何をすべきか
芸能ニュース2026!!【公式】
ネットサイトが利用できなくなる！？
芸能ニュース2026!!【公式】
PHPまとめ
芸能ニュース2026!!【公式】
削除され次第終了です。
ランダムで複数広告が表示されます。
動画が再生されない場合は、更新を押して別の動画再生ボタンを押してみて下さい。
再生が開始されましたら、巻き戻して閲覧下さい。
【警報】PHPに「緊急」レベルの脆弱性2件(php2shell)…サーバー乗っ取りの恐れ、修正版が公開。サイト運営者・WordPressユーザーが今すぐ確認すべきこと
ウェブサイトやWordPressなど、多くのサービスで使われているプログラミング言語「PHP」に、深刻度が最高レベルの脆弱性(セキュリティ上の欠陥)が2件見つかり、2026年10月21日の夜に、修正版が公開されました。サーバーの乗っ取りにつながるおそれがあり、攻撃を試みるコードがすでに出回り始めているとも伝えられています。この記事では、何が起きたのか、どんな影響があるのか、そして、サイトを運営している人が今すぐ確認すべきことを、2026年10月22日時点の情報をもとにまとめます。状況は変わる可能性があるため、最新の情報はPHPの公式サイトで確認してください。
何が起きたのか:発表から修正版の公開まで
- 10月20日:PHPの開発チーム(セキュリティチーム)が、深刻度の高い脆弱性2件を修正するセキュリティ更新を、10月21日の協定世界時14時(日本時間23時)に公開すると、事前に予告しました。詳細はまだ明らかにされておらず、すべてのPHP利用者に、更新の準備を呼びかけました。
- 10月20日〜21日:欧州連合の機関向けのセキュリティ組織「CERT-EU」や、オーストラリアのセキュリティ機関などが、相次いで注意喚起を公表しました。セキュリティ企業が、脆弱性の一つについて、攻撃の再現に成功したとも伝えられました。
- 10月21日の22時40分ごろ(日本時間):予告より少し早く、修正版が公開されました。
脆弱性の概要:「php2shell」とは
見つかったのは、次の2件で、どちらも、深刻度を示す指標「CVSS v4.0」で9.2(10点満点、最も深刻な「緊急」に分類)と評価されています。発見に関わった研究者らが、この2件をまとめて「php2shell」と呼んでいます。
- CVE-2026-109618:メモリ不足(OOM)が起きたときの処理の不具合を突き、メモリの破壊を起こして、外部から任意のコードを実行できてしまう脆弱性です。
- CVE-2026-109619:リクエストの処理が終わったあとも、メモリ上に古い状態が残ってしまう不具合を突いて、任意のコードを実行できてしまう脆弱性です。
どちらも、リモートコード実行(RCE)と呼ばれるタイプで、攻撃者が、外部から、サーバー上で好きなプログラムを動かせてしまう可能性があります。つまり、ウェブサイトの改ざんや、データの盗み出し、サーバーの乗っ取りにつながるおそれがあります。また、2件とも、一般的な構成で、任意のコードの実行につながりうるとされています。
影響を受ける範囲
- 広い範囲のバージョンが対象になりうる:CERT-EUは、PHP 5以降の全バージョンに影響する可能性があると指摘しています。セキュリティ企業のGMO Flatt Securityは、脆弱性のもとになった実装が、PHP 5.2系や5.4系の時代まで遡る可能性があるとして、PHP 5.x、7.x、8.xに広く影響すると考えておくべきだとしています。ただし、実際に攻撃が成立するかは、サーバーで有効になっている機能の組み合わせによるため、特定のバージョンが安全かどうかを、個別に判断するのは容易ではありません。
- さまざまな構成で再現:公式のアドバイザリや研究者の報告によれば、mod_phpやphp-fpmなどの動かし方の違い、WordPress、Laravel、Symfonyなど、さまざまな環境で、攻撃が再現できるとされています。
- 初期設定で有効な機能が関係:攻撃に使われる機能の中には、初期設定でオンになっているもの(アップロードの進捗を扱う「Session Upload Progress」機能など)が含まれており、世の中のシステムに、広く影響する可能性があります。
- 攻撃コードがすでに出回り始めている:脆弱性を悪用できると主張するコードが、インターネット上に出回り始めているとも伝えられています。修正版が公開されたことで、攻撃が一気に増えるおそれがあります。
修正されたバージョン
修正は、次のバージョンに含まれています。お使いのバージョンの系列に合わせて、更新が必要です。
- PHP 8.2系 → 8.2.35
- PHP 8.3系 → 8.3.36
- PHP 8.4系 → 8.4.27
- PHP 8.5系 → 8.5.12
PHP 8.1以前のバージョンは、すでに公式のサポートが終了しており、安全とは判断できません。サポート対象のバージョンへの移行が強く推奨されています。
サーバー管理者が、今すぐやるべきこと
- PHPを、修正版に更新する:これが、根本的な対策です。PHPを使っているすべてのシステムで、速やかに更新してください。
- 更新までの時間を稼ぐ:すぐに更新できない場合は、サーバーのインターネットからの接続を制限する、一時的にサービスを止める、といった対応も考えられます。
- 一時的な緩和策は、あくまで一時しのぎ:公式のアドバイザリには、「session.upload_progress.enabled」を無効にする、受け付けるリクエストのサイズを制限する、といった緩和策が書かれています。しかし、これらで、すべての攻撃経路を防げるわけではなく、根本的には、パッチの適用が必要です。
- ログを確認する:すでに攻撃を受けていないか、サーバーのログを調べます。
- 侵害されていた場合は、被害の範囲を確認する:サーバー内のデータが盗まれていないか、サーバーが持つ権限(クラウドの管理者権限など)から、ほかの環境に被害が広がっていないかを確認します。
- ログの設定を見直す:調査のときに信頼できるよう、ログが残り、改ざんされにくい状態になっているかを確認します。
WordPressなどを運営している人が確認すること
レンタルサーバーなどで、サイトを運営している人は、サーバーの専門知識がなくても、次の点を確認してください。
- PHPのバージョンを確認する:WordPressでは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」の欄で、PHPのバージョンを確認できます。レンタルサーバーの管理画面でも確認や変更ができます。
- サーバー会社のお知らせを確認する:多くのレンタルサーバーでは、事業者がPHPの更新を行うか、利用者が管理画面から、バージョンを切り替える形になっています。契約しているサーバー会社の、告知や案内に従ってください。
- 古いバージョンなら、移行を検討する:PHP 8.1以前を使っている場合は、サポート終了のため、最新のサポート対象のバージョンへの切り替えが必要です。
- 切り替える前に、バックアップを取る:バージョンを変えると、古いテーマやプラグインが動かなくなることがあります。サイトのバックアップを取り、WordPress本体、テーマ、プラグインを、最新の状態にしてから切り替え、表示や管理画面に問題がないかを確認します。
- 不審な兆候がないか確認する:身に覚えのない管理者アカウント、見慣れないファイル、勝手に変わった表示、スパムの送信などがあれば、改ざんされている可能性があります。そのときは、サーバー会社に連絡し、パスワードの変更や、専門家への相談を検討してください。
- 管理画面のパスワードを見直す:サイトの管理画面や、サーバーのパスワードが使い回しになっていないかを確認し、二段階認証を設定します。
一般の人・サイトの利用者はどうすればいい?
PHPを更新するのは、サイトやサービスを運営する側の役目で、利用者が、自分でPHPを更新する必要はありません。ただし、対応が遅れたサイトが、改ざんされたり、会員情報が盗まれたりするおそれがあるため、利用者も、次の点に気をつけてください。多くのサイトは、運営側が数日のうちに対応すると考えられるため、過度に不安になる必要はありませんが、「いつもと違う」と感じたときは、距離を置くことが大切です。
- よく使うサービスの、公式のお知らせを確認する:ショッピングサイト、会員サイト、予約サイトなど、個人情報を預けているサービスから、情報漏えいや不正アクセスのお知らせが出ていないか、公式サイトで確認します。お知らせは、メールのリンクではなく、ブックマークした公式サイトから見ましょう。
- 「いつもと違う表示」に注意する:改ざんされたサイトでは、見慣れたページなのに、突然ログインを求められる、支払い方法の変更を求められる、アプリのインストールを促される、といった表示が出ることがあります。こうした表示が出たら、入力せず、ページを閉じてください。
- 個人情報やカード情報を入力する前に確認する:アドレスバーのURLが、いつものものか、見慣れない警告や、不自然な画面になっていないかを確認します。不安なときは、ブックマークから、開き直してください。
- パスワードの使い回しをやめる:サイトから、パスワードが盗まれたとき、同じパスワードを使っているほかのサービスにも、不正にログインされるおそれがあります。サービスごとに別のパスワードにし、可能なら二段階認証を設定します。
- クレジットカードの利用明細を確認する:身に覚えのない請求がないかを確認し、あれば、カード会社に連絡します。
- 自分のスマホやパソコンも最新にする:改ざんされたサイトから、ウイルスなどが配られるおそれもあります。OS、ブラウザ、セキュリティソフトを、最新の状態にしておきましょう。
- 情報漏えいのお知らせが届いたら:メールのリンクを開かず、公式サイトで同じ内容が発表されているかを確認します。そのうえで、公式サイトから、自分でパスワードを変更します。
また、今回の脆弱性のニュースに便乗した、偽のメールや営業の連絡にも、注意が必要です。「PHPを更新してください」「あなたのサイトが危険です」と、不安をあおる連絡や、リンクからの更新を案内するメール、有料のサービスにすぐ申し込ませようとする連絡には、慌てて対応せず、サーバー会社や、公式サイトの案内で、確認してください。
困ったときや、被害に遭ったかもしれないときは、消費者ホットライン「188」、警察相談専用電話「#9110」、IPAの情報セキュリティ安心相談窓口(03-5978-7509、平日の10時〜12時、13時30分〜17時)に、相談できます。
今後の注意点
- 修正版の公開後、攻撃が増える可能性が高く、更新が遅れるほどリスクが高まります。
- PHPがほかのソフトウェアに組み込まれていたり、OSの配布パッケージとして提供されていたりする場合は、提供元の更新が別に必要になることがあります。提供元の案内を確認してください。
- 技術的な詳細や、影響を受ける範囲については、今後も、開発元やセキュリティ企業から、追加の情報が出る可能性があります。
ネット上の反応
- 「WordPressを使っているので、PHPのバージョンをすぐに確認した」
- 「PHP 8.1以前はサポート切れというのが、地味に重い。切り替えの準備が必要」
- 「更新を前にして、攻撃コードが出回っているのが怖い。急いで対応する」
- 「レンタルサーバーの管理画面から、バージョンを切り替えられるので助かる」
まとめ
PHPに見つかった、深刻度9.2の脆弱性2件(CVE-2026-109618、CVE-2026-109619、通称php2shell)は、サーバーの乗っ取りにつながるリモートコード実行の脆弱性で、10月21日の夜に、8.2.35、8.3.36、8.4.27、8.5.12といった修正版が公開されました。PHP 5以降の広い範囲に影響する可能性があり、攻撃コードが出回り始めているとも伝えられています。サイトの運営者は、PHPのバージョンを確認し、速やかに更新してください。8.1以前のバージョンは、サポートが終了しているため、移行が必要です。更新前には、バックアップを取り、更新後は、サイトの動作確認と、不審な兆候の確認を行いましょう。一般の利用者は、PHPを自分で更新する必要はありませんが、いつもと違う表示や、不審なメールに注意し、パスワードの使い回しをやめ、公式の発表を確認することが大切です。
コメント