PHP2Shellって何？ サイトの安全に関わる問題をやさしく解説

こんにちは、株式会社ストーンハートの吉田大貴です。

普段はSNS運用や地域活性化のお仕事をしていますが、今日は少し毛色の違う話をさせてください。 2026年10月21日、世界中のWebサイト運営者がざわついたニュースがありました。

「PHP2Shell（ピーエイチピー・トゥー・シェル）」

ITニュースを追っていない方には聞き慣れない言葉だと思います。ただ、これはホームページやネットショップを持っている会社・お店なら、ほぼ全員に関係する話です。 専門用語はできるだけ使わずに、「何が起きたのか」「自分は何をすればいいのか」をまとめました。

そもそもPHPって何？

PHP（ピーエイチピー）は、Webサイトを動かすためのプログラミング言語です。

身近なところでいうと、

• 多くの会社・お店のホームページで使われている WordPress（ワードプレス）

• ネットショップや予約サイト、問い合わせフォーム

こうしたものの多くが、裏側でPHPを使って動いています。世界のWebサイトのおよそ7割がPHPで動いているとも言われています。

建物にたとえるなら、PHPは「ホームページという建物の土台」のようなものです。

PHP2Shellとは？

PHP2Shellは、PHPそのものに見つかった2つの重大な欠陥（脆弱性）の呼び名です。 正式には「CVE-2026-109618」「CVE-2026-109619」という番号がついています。

ポイントは3つです。

① 合鍵なしで、外から入られてしまう可能性がある 本来はログイン（ID・パスワード）が必要なはずなのに、細工したアクセスを送るだけで、サーバー上で悪いプログラムを動かされてしまう恐れがあります。 お店にたとえると、「鍵をかけていたのに、ドアの仕組みそのものに欠陥があって、外から開けられてしまう」状態です。

② 深刻度は「10点中9.2点」 脆弱性の危険度を示す世界共通の指標で9.2。最高レベルに近い「緊急」クラスです。

③ 自分のサイトに問題がなくても影響を受ける ここが一番大事なところです。 WordPressのプラグインの不具合など「そのサイト固有の問題」ではなく、土台であるPHP自体の問題です。つまり、サイトをきちんと作っていても、土台が古いままだと危険です。

どれくらい広い範囲に影響するの？

• 対象：PHP 5.4〜8.5.11（10年以上前のバージョンから最新近くまで、ほぼすべて）

• Webサイトとして動いているPHPなら、サーバーの種類を問わず影響を受けます

• 修正版は2026年10月21日に公開済み：PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

• 公開の時点で、すでに攻撃が始まっていることが確認されています

また、PHP 8.1以前の古いバージョンは、公式のアップデートがすでに終了しています。古いまま放置されているサイトは特に注意が必要です。

乗っ取られると、何が起きる？

サーバーが乗っ取られると、たとえば次のようなことが起こりえます。

• ホームページが改ざんされる（偽サイトや詐欺ページへの誘導など）

• お問い合わせ内容や顧客情報が盗まれる

• サーバーがウイルス配布や他への攻撃の「踏み台」にされる

• Googleから「危険なサイト」と表示され、集客が止まる

SNSやMEOで一生懸命お客さんを集めても、受け皿のホームページが危険な状態では、信頼が一気に崩れてしまいます。

AIが見つけた？ 話題になっている理由

今回の欠陥は、セキュリティ会社のCalif・Wizや、OpenAIの研究者がAIを活用した調査で発見しました。 実は問題のタネ自体は2024年の時点で指摘されていましたが、悪用するには非常に複雑な手順が必要で、「現実的ではない」と見られていたそうです。

それが、AIの力で調査・検証のハードルが一気に下がった。 これは「守る側」だけでなく「攻める側」にとっても同じです。これからは、古いソフトを放置するリスクがこれまで以上に大きくなる——そんな時代の変わり目を感じさせる出来事でした。

自分のサイトは大丈夫？ 今日やること3つ

私自身もコードは書きません。だからこそ、専門家にきちんと確認してもらうことが大切だと考えています。 難しいことは分からなくても大丈夫。次の3つだけ、今日やってみてください。

① 「誰がサイトを管理しているか」を確認する

サイトを作ってくれた制作会社、レンタルサーバー会社、社内の担当者など、サーバーの面倒を見ているのは誰かを確認しましょう。

② 「PHP2Shellの対策は済んでいますか？」と聞く

そのまま、こう聞けばOKです。

多くのレンタルサーバー会社は、公式サイトやお知らせで対応状況を出しています。管理画面のお知らせもチェックしてみてください。

③ 「入られていないか」も確認してもらう

アップデートは「これから入られない」ための対策です。もし更新前にすでに入り込まれていた場合、更新だけでは不正なプログラムは消えません。 可能であれば、更新前に不審なアクセスや改ざんがなかったかも確認してもらいましょう。

まとめ

• PHP2Shellは、Webサイトの土台「PHP」に見つかった重大な欠陥

• ログインなしで外部からサーバーを乗っ取られる恐れがある

• WordPressなど、PHPで動くサイトの多くが対象

• 対策は修正版へのアップデートが基本。管理者・サーバー会社に確認を

ホームページは、24時間働いてくれる大切な「お店の顔」です。 SNSで集客を頑張るのと同じくらい、その受け皿の安全も大事にしていきましょう。

この記事が、周りでサイトを運営している方の「確認するきっかけ」になればうれしいです。ぜひシェアしてください。