PHPの重大な脆弱性「PHP2Shell」とは？WordPressサイトの確認・修正版と、AIによる発見の意味【2026年10月版】

株式会社AIworker

2026年10月22日 13:09

2026年10月21日、Webサイトを動かすプログラミング言語「PHP」について発表がありました。重大な脆弱性（セキュリティ上の欠陥）が見つかったという内容です。

WordPressで作った会社のホームページや採用サイトも、対象になりえます。

PHPの開発チームは、利用者に速やかな更新を強く勧めています。PHP公式のセキュリティ告知

PHPで動くサイトを持つ会社は、まず管理者・制作会社・サーバー会社に、今回の修正が適用済みかを確認してください。 自社でサーバーを管理していない場合も、対応状況を確かめましょう。

もう1つ、見逃せない点があります。この欠陥は10年以上見つからなかったものを、AIを使った調査で見つけたものです。AIで攻撃が速くなる時代に、会社が何を変えるべきかも、あわせて解説します。

この記事の要点

✅ PHPに認証なしでのコード実行につながる重大な脆弱性があり、10月21日に修正版が公開されました。
✅ PHP本体の更新や事業者の修正適用を確認します。WordPressの更新だけで対応済みとは判断しません。
✅ AIを使った発見と検証の事例です。会社では、管理対象と更新の責任者を把握しておきます。

何が起きた？

2026年10月21日、PHPの開発チームが、2つの重大な脆弱性を修正したと発表しました。攻撃者がログインなしで、外部からサーバー上でプログラムを動かせるおそれがある、という内容です。見つけたセキュリティ企業のWizは、この問題を「PHP2Shell」と名付け、深刻度は最大で9.2（10点満点）と公表しています。

PHP公式と、発見を公表したWizの説明を基に整理します。

何が危ないか：攻撃者がログインなしで、外部からサーバーを操作できるおそれがある。サーバーのメモリから、パスワードや認証情報を読み取れる場合もある
どれくらい古くからか：PHP 5.4まで、10年以上前のバージョンからどれかの欠陥が含まれている
どこにあるか：WordPressなどのソフトではなく、PHPそのものにある。サイト側のプログラムに問題がなくても、対象になりうる
深刻度：PHPの事前告知では、2つともCVSS v4.0で9.2。技術的な深刻度を示す点数であり、自社の侵害確率を示す数字ではない
修正：10月21日に、修正版のPHPが公開された

Wizは、試験時点のWordPress・Drupal・Joomlaの最新コンテナイメージを使った環境で、認証なしのコード実行を実証したと報告しています。ただし、すべての構成で同じ攻撃が成立するという意味ではありません。Wizの調査報告

⚠️ PHPを使っていることと、すでに侵害されたことは別です。 影響するバージョン、構成、修正の適用状況を管理者が確認します。Webサイトの普及率から、自社の被害を判断することはできません。

自社のサイトは関係ある？

WordPressなどPHPで動くサイトは、確認の対象です。ホームページだけでなく、採用サイト、問い合わせフォーム、ECサイトも洗い出します。

PHP公式は、Webリクエストを処理するPHP環境を広く対象とし、特にApacheのmod_phpでリスクが高いと説明しています。PHP-FPMなど他の方式も、確認不要という意味ではありません。PHP公式告知

自社の状況ごとに、誰に何を確かめればよいかを整理しました。

管理者が分からないサイトは、対応の連絡が止まりやすい状態です。

昔のキャンペーンサイトや、部署が独自に作ったサイトは、更新されないまま残っていることがあります。この機会に、会社のサイトを洗い出しましょう。

今日、何をすればいい？

まず、会社のPHP環境と修正状況を確認します。10月21日公開の修正版は、次のとおりです。

8.1以前は、PHPプロジェクトによる通常のサポートが終了しています。 今回は一部の旧系列向けに最小限のソース修正も提供されていますが、通常サポートの再開ではありません。移行や事業者のサポートを確認してください。PHP公式の更新案内

💡 表示上のバージョン番号だけでは、未修正と断定できません。 Linux配布元や長期サポート事業者が、古い番号のパッケージへ修正を取り込む「バックポート」を行う場合があります。上記の番号、または事業者が対応済みと示す修正パッケージで確認します。

今日やることを、順番にまとめました。

サイトを洗い出す：ホームページ、採用サイト、問い合わせフォーム、キャンペーンサイトなど、会社が持っているサイトを一覧にする
管理している人を確かめる：制作会社、サーバー会社、情報システム部門のどれが管理しているか
修正の適用を聞く：対応する修正版、または事業者の修正パッケージが反映されているか確認する
旧系列の扱いを決める：PHP 8.1以前なら、移行と事業者の修正提供状況を相談する
すぐ更新できない場合：一時的な対策を、管理者に検討してもらう（下の「管理者向け」を参照）

更新を頼むときの文面の例

制作会社やサーバー会社へ、次のように連絡すると話が早く進みます。

2026年10月21日公表のPHPの脆弱性について、対応状況を確認させてください。
対象はCVE-2026-109618、CVE-2026-109619です。

・当社サイトの対象範囲と、使用中のPHPの系列
・修正版またはバックポート済みパッケージの適用状況
・必要な再起動や再配置を含めた、反映の確認状況
・未対応の場合の暫定措置と、更新予定日時
・当社側で必要な操作や、動作確認の内容

をご教示ください。

⚠️ 更新作業は、バックアップ、互換性、反映後の動作確認も含めて管理者へ依頼します。 非担当者が独断で本番設定を変えたり、攻撃コードで確認したりしないでください。

「CVE-2026-109618」「CVE-2026-109619」は、今回の脆弱性の識別番号です。 この番号を伝えると、相手もすぐに何の話か分かります。

ここは管理者向けです（すぐ更新できない場合）

ここは、サーバーを管理している方向けの内容です。サイトの担当者の方は、次の見出しへ進んでください。

PHPの公式サイトは、すぐに更新できない場合の一時的な対策を案内しています。ただし、どれも完全な対策ではなく、更新だけが根本的な解決だとしています。

設定変更をここから一部だけ抜き出して適用するのは避けてください。メモリ制限やアップロード制限などの見直しは、サービス停止や通常機能への影響も評価する必要があります。

管理者はPHP公式の暫定措置と、CVE-2026-109618の詳細、CVE-2026-109619の詳細を確認し、適用箇所、再起動、残る経路まで判断してください。暫定措置を入れたことだけで対応完了とはしません。

Wizは、攻撃を受けた兆候として、次の点に注意するよう呼びかけています。

メモリ不足のエラーや、HTTP 500のエラーがくり返し出る
異常に長い、または形のおかしいセッションのCookieが返される
PHPのワーカーが、説明のつかない再起動をくり返す

これらは調査の手掛かりであり、侵害の証明ではありません。逆に、兆候が見えないことも未侵害の証明にはなりません。Wizの説明

不審な動きがある場合は、ログを独断で消さず、社内の事故対応窓口や専門家へ連絡します。更新は既に受けた侵害を取り消す作業ではないため、修正と調査は分けて進めます。

会社のサイトやシステムの管理、AIを使ったセキュリティの考え方を見直したい方は、AIworkerのサービス資料も参考にしてください。業務の棚卸しから研修、運用の定着までの支援内容をまとめています。

▶️ AIworkerのサービス資料をダウンロードする

レンタルサーバーやクラウドなら、何もしなくていい？

何もしなくてよいとは限りません。自社のプランで自動的に修正されるのか、利用者側で更新が必要なのかは契約と運用によって異なります。事業者のお知らせと、実際の環境への反映状況を確認します。

確認するポイントです。

サーバー会社のお知らせ：今回の脆弱性への対応と、自社で必要な作業が書かれているか
PHPのバージョンの設定：管理画面で、自社がPHPのバージョンを選んでいる場合は、修正版になっているか
古いバージョンを選んだままのサイト：互換性のために古いPHPを選んだままのサイトは、更新されていない可能性がある

Wizは、Cloudflare、AWS、Microsoft、Googleなど多くの事業者と協力したと公表しています。すぐに更新できない利用者のための防御策を、事前に準備したそうです。

💡ポイント：防御策はあくまで時間かせぎです。サーバー会社の防御があっても、PHPそのものの更新は必要です。

なぜ「AIが見つけた」ことが重要なの？

Wizは、10年以上残っていた欠陥の発見と攻撃の実証に、AIが大きく貢献したと説明しています。「1人の研究者が1週間で、従来なら一流のチームが数か月かけた作業を終えた」という比較もWizの評価です。独立した比較実験の結果としては扱いません。Wizの報告

Wizによる発見と報告の流れです。

Wizによると、調査にはGoogleの「Gemini 4 Argon」とOpenAIの「GPT-5.6 Sol」が使われました。特にGemini 4 Argonが、欠陥の発見から修正の検証まで大きく貢献したとしています。

OpenAIと、セキュリティ研究の会社Califも、発見や修正の確認に協力しました。

この出来事が示すのは、次の2つです。

複雑な欠陥の悪用を助ける可能性がある：今回の調査では、AIが攻撃の実証にも使われた
防御側の調査にも使える：発見、検証、修正確認を研究者が進める助けになった

これは研究環境での実証です。この報告だけで、すでに広範な実被害が起きているとは判断しません。

Gemini 4 Argonについては、Gemini 4 Argonとは？で解説しています。AIの高い攻撃能力をめぐる議論は、OpenAI、Astraの重大なサイバー能力を受け大規模学習を保留もご覧ください。

AIで攻撃が速くなる時代、会社は何を変える？

AIで攻撃が速くなると、脆弱性が公表されてから実際に攻撃されるまでの時間も短くなると考えられます。会社が変えるべきなのは、更新の速さと、自社のサイトやシステムの把握です。誰がどのサイトを管理し、何日以内に更新するかを、平時から決めておくことが大切です。

1,000件を超える商談データを分析した傾向でも、25.1%の商談で「セキュリティへの不安」が話題に上がっていました。

この数値は、商談内での言及割合です。PHPの脆弱性の被害率や、AIを使った攻撃への対策不足を測定したものではありません。

今回の件からAIworkerが提案するのは、AIへの入力ルールに加えて、会社が使うソフトの更新を、誰が判断して実施するかも確認することです。

平時に決めておきたいこと

□ 会社が持っているサイトとシステムの一覧（担当者・制作会社・サーバー会社を含む）がある
□ 重大な脆弱性が出たときに、誰が確認し、何日以内に更新するかを決めている
□ 制作会社との契約に、PHPなどの更新を含む保守が入っている
□ 使わなくなったサイトを、閉鎖する手順がある
□ 自社でAIを使ってプログラムを作る場合、作ったものを誰がどう確認するかを決めている

AIを使ったシステムや社内のAIエージェントの安全な動かし方は、AIエージェントは「試験中」でも外に影響するで解説しています。生成AIを入れるときのセキュリティの確認項目は、生成AI導入のセキュリティ審査チェックリストにまとめています。

会社のWebサイトの管理では、AIの学習に使われるかどうかの設定（robots.txt）についても、大手3社が共通のルールを支持しました。詳しくはAI学習に自社サイトを使わせない設定が、共通の1行になるで解説しています。

よくある質問（FAQ）

Q. WordPressを最新版にすれば大丈夫ですか？

いいえ。今回の欠陥はWordPressではなく、その土台のPHPにあります。WordPressを最新版にしても、PHPが古いままなら対象になりえます。PHPそのものを修正版に更新する必要があります。

Q. 自社のサイトがPHPで動いているか、どうすれば分かりますか？

サイトの管理者、制作会社、サーバー会社に確認するのが確実です。WordPressで作ったサイトは、PHPで動いています。レンタルサーバーの管理画面で、PHPのバージョンを確認できる場合もあります。

Q. 修正版のバージョンは何ですか？

10月21日公開分はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。PHP 8.1以前は通常サポートが終了しています。事業者のバックポートもあるため、番号だけでなく今回のCVEへの対応済み情報を確認してください。

Q. すでに攻撃されたかどうかは、分かりますか？

エラーや再起動だけでは判断できません。Wizが挙げる兆候は調査の手掛かりです。兆候がなくても未侵害とは断定せず、疑いがあればログを保全し、管理者や専門家に調査を依頼します。

Q. AIで脆弱性が見つかるなら、自社のシステムもAIで調べるべきですか？

自社で開発したシステムがある場合は、検討する価値があります。ただし、AIで調べた結果の判断や修正には専門知識が必要です。まずは、サイトとシステムの一覧を作り、更新の体制を整えることが先です。

AIで変わるセキュリティに、運用で備えるために｜AIworkerの支援

今回の件は、AIが「便利な道具」であると同時に、攻撃の速さを変える力を持つことを示しました。

ただ、会社がまずやるべきことは、ツールを増やすことではなく、誰が何を管理し、どう更新するかを決めることです。

PHPの緊急更新や侵害調査は、まず保守会社・サーバー会社・セキュリティ専門家へ依頼してください。

AIworkerは、AI活用に伴う業務の棚卸し、研修、利用ルール、業務AIの構築と運用を支援します。緊急の脆弱性対応と、平時のAI活用支援を分けてご相談ください。

AIネイティブX研修｜AIを安全に使う力を、現場に

🎓 情報システム部門や現場の社員が、AIの便利さと危うさの両方を理解する研修です。

入力してよい情報、AIの答えの確かめ方、AIで作ったものの確認方法を学ぶ
情報システム部門向けには、AIで攻撃が速くなる時代の備え方も扱う
研修のあとに、部署ごとの「AIを使うときのルール」が残る

AIネイティブX伴走｜ルールと体制が、現場で回るまで

🤝 研修のあと、現場に入って、AIを安全に使う体制が根づくまで並走します。

業務で使うAIツールと、管理担当を整理する
社内のAI利用ルールや、確認の手順を現場に合わせて整える
ツールが変わっても続けられる、運用の仕組みを残す

業務AIプロ｜自社専用のAIを、安全な設計で作る

🛠️ 業務に合わせたAIを、入力・権限・確認の手順まで設計して作ります。

社内の情報を扱うAIを、アクセスできる範囲を決めて構築する
AIが何をしたかを、あとから確かめられる形で残す
まず1つの業務で効果を確かめ、うまくいった形を横へ広げる

「AIを使いたいが、セキュリティが心配」「社内のAI利用のルールと体制を整えたい」といった相談から受け付けています。

今の状況と目的をうかがったうえで、研修・伴走・開発のどこから始めるかを一緒に整理します。

▶️ サービス資料のダウンロード（資料請求）

▶️ 無料カウンセリング・AI活用診断のご予約

著者情報