【10/29更新】あなたのブログは大丈夫？ PHPの重大な脆弱性「PHP2Shell」と、SNSの情報を正しく見極める方法

2026年10月29日｜Mirea. Journal

【重要】PHPを利用したサイトを運営している方へ

2026年10月21日に、PHPの重大な脆弱性「PHP2Shell」に対する修正版が公開されました。

サイトを運営している方は、次の3点を確認してください。

1. 利用中のPHPのバージョンと、今回の脆弱性への対応状況
2. 契約しているサーバー会社の公式案内
3. 修正版の適用、または管理会社への相談が必要かどうか

WordPress本体を更新するだけでは、PHP本体の脆弱性が修正されるとは限りません。

すでに悪用が確認されているため、対象環境では速やかな対応が重要です。

詳しい確認方法は、この記事の第5章で紹介しています。

⸻

【2026年10月30日追記】公表前から攻撃の試みが確認されていました

PHP2Shellについて、新たな調査結果が報告されています。

Amazonの脅威インテリジェンスチームは、2026年10月17日に、この脆弱性を悪用しようとする攻撃の試みを観測していたと公表しました。

これは、PHPの修正版が公開された10月21日よりも前のことです。

つまり、脆弱性が一般に公表される前から、攻撃者がその問題を利用しようとしていた可能性があります。

ただし、攻撃の試みが確認されたことと、実際にサイトへの侵入が成功したことは同じではありません。

サイトを運営している方は、PHPの更新状況を確認し、必要に応じてサーバー管理者に不審なアクセスの有無を相談してください。

大切なのは、不安になることではなく、正確な情報を確認して行動することです。

参考：Amazon Web Services「Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot」

⸻

「今夜中に対応してください」

「重大なセキュリティ上の問題が見つかりました」

SNSで、こんな緊急のお知らせを見かけたら、あなたはどうしますか？

すぐに何かを変更するでしょうか。

それとも、専門的な話だからと、そのままにしてしまうでしょうか。

2026年10月21日、ウェブサイトを動かす技術のひとつ「PHP」に、重大な脆弱性が公表されました。

今回の問題は「PHP2Shell」と呼ばれ、ブログやネットショップなどを運営している人にとっても、知っておきたいニュースです。

でも、ここで大切なのは、ただ怖がることではありません。

何が起きたのかを知り、自分に関係するのかを確かめ、必要な行動を選ぶこと。

今回は、公式情報をもとに、PHPの脆弱性と対策を初心者にも分かるように整理します。

さらに、SNSで広がる緊急情報をどう見極めればよいのか、一緒に考えていきましょう。

⸻

1. 2026年10月21日、何が起きたの？

PHPの開発元であるThe PHP Groupは、2026年10月21日、2件の重大な脆弱性を修正するセキュリティ更新を公開しました。

今回報告された問題は、次の2件です。

* CVE-2026-109618
* CVE-2026-109619

これらはまとめて「PHP2Shell」と呼ばれています。

脆弱性とは、ソフトウェアやシステムに存在する、安全性に関わる弱点のことです。

今回の脆弱性では、条件がそろうと、正規の利用者ではない第三者が、遠隔からサーバー上で不正なプログラムを実行できる可能性があります。

このような問題は「リモートコード実行（RCE）」と呼ばれます。

2件とも、CVSS 4.0という評価基準で、深刻度は10点満点中9.2です。

さらに10月26日には、米国のサイバーセキュリティ機関CISAが、実際に悪用された脆弱性として登録しました。

日本の情報処理推進機構（IPA）も、対策を呼びかけています。

つまり、今回の問題は、SNS上だけで広がっている噂ではなく、公式機関からも注意喚起されているセキュリティ上の問題です。

ただし、PHPを使用しているすべてのサイトで、必ず攻撃が成功するという意味ではありません。

実際の危険性は、使用しているPHPのバージョンやサーバーの設定、運用環境などによって異なります。

大切なのは、自分のサイトが影響を受ける環境なのかを確認することです。

⸻

PHP2Shellは、どのように発見され、何が起きたのか？

今回の脆弱性は、突然発表されたものではありません。

研究者による発見と報告、開発チームによる修正準備が進む一方で、一般公開前から攻撃の試みも観測されていました。

その経緯を時系列で整理しました。

※攻撃の試みが観測されたことと、実際のサイトへの侵入が成功したことは異なります。

⸻

2. そもそもPHPって何？

PHPとは、ウェブサイトの裏側で動くプログラミング言語のひとつです。

例えば、ネットショップで商品を購入するとき。

私たちは画面上で商品を選び、名前や住所を入力し、注文ボタンを押します。

しかし、画面の裏側では、さまざまな処理が行われています。

注文内容を受け取る。

商品情報を確認する。

必要なデータを保存する。

注文結果を画面に表示する。

こうした処理に、PHPが使われている場合があります。

ここで、ウェブサイトをひとつのお店に例えてみましょう。

* ウェブサイトの画面：お客様が見る売り場
* PHP：注文を受け付け、処理する裏側の仕組み
* データベース：商品情報や注文情報などを保存する場所
* サーバー：これらを動かすためのコンピューター

お客様からは見えなくても、お店を運営するために必要な仕組みがあります。

PHPも、そのひとつです。

そして今回見つかった問題は、この裏側の仕組みに関係しています。

⸻

3. 何が危険なの？ 私たちへの影響は？

今回の脆弱性は、悪用されると、外部の第三者がサーバー上で不正な処理を実行できる可能性があるものです。

もし攻撃が成功した場合、サーバーの権限や構成によっては、次のような被害につながるおそれがあります。

① 情報を読み取られる

サーバーがアクセスできる情報を、第三者に読み取られる可能性があります。

顧客情報などが保存されている場合には、特に注意が必要です。

② ウェブサイトを改ざんされる

ページの内容を書き換えられたり、意図しないプログラムを設置されたりする可能性があります。

③ サイトの運営に影響が出る

不正な処理によって、ウェブサイトが正常に動かなくなるなど、運営に支障が出る可能性があります。

ただし、これらは想定される被害の例であり、すべてのサイトで発生するわけではありません。

また、脆弱性が存在することと、実際に侵入されていることは別です。

必要以上に不安になるのではなく、現在の状況を確認することが重要です。

⸻

4. WordPressを更新していれば大丈夫？

ブログを運営している人の中には、WordPressを使っている人も多いと思います。

WordPressとは、専門的なプログラミング知識がなくても、ブログやウェブサイトを作成・管理できる仕組みです。

そしてWordPressは、PHPを使って動いています。

ここで知っておきたいのが、WordPressとPHPは、それぞれ別のソフトウェアであるということです。

WordPress本体を更新していても、サーバーで動くPHPが古いままになっている場合があります。

また、テーマやプラグインにも、それぞれ更新が必要です。

つまり、WordPressの管理画面に「最新です」と表示されていても、それだけでPHPまで安全な状態になっているとは限りません。

今回のPHP2Shellに対しては、PHP自体の修正版を適用することが重要です。

一方で、レンタルサーバー会社などがPHPの更新を管理している場合もあります。

自分で設定を変更する前に、契約しているサービスの案内を確認しましょう。

⸻

5. 自分のサイトは大丈夫？ 確認してみよう

ここからは、実際に確認できることを紹介します。

STEP 1：WordPressのPHPバージョンを確認する

WordPressを利用している場合、管理画面からPHPのバージョンを確認できます。

1. WordPressの管理画面にログインする
2. 「ツール」を選択する
3. 「サイトヘルス」を開く
4. 「情報」タブを選ぶ
5. 「サーバー」を開く
6. 「PHPバージョン」を確認する

表示された番号を控えておきましょう。

今回の脆弱性について、2026年10月21日に公開された修正版は次のとおりです。

PHPの系列　修正済みバージョン
PHP 8.2 8.2.35
PHP 8.3 8.3.36
PHP 8.4 8.4.27
PHP 8.5 8.5.12

それぞれの系列では、表に記載されたバージョン以降の修正版が対策の目安です。

ただし、表にある番号は、今回の2件の脆弱性に関するものです。これだけで、ほかのセキュリティ上の問題もすべて解決するわけではありません。

PHP 8.1以前の公式サポートが終了したバージョンを使用している場合は、サポート対象の環境への移行を検討してください。

STEP 2：レンタルサーバーの情報を確認する

PHPの更新方法は、契約しているサーバーによって異なります。

レンタルサーバーの管理画面や公式のお知らせで、次の情報を確認しましょう。

* 現在利用しているPHPのバージョン
* PHP2Shellへの対応状況
* セキュリティ更新の適用状況
* 自分で更新する必要があるか

分からない場合は、サーバー会社のサポートに問い合わせることもできます。

STEP 3：更新前にバックアップを取る

PHPを更新すると、古いテーマやプラグインが正常に動かなくなる場合があります。

そのため、更新前にはサイトのファイルやデータベースのバックアップを取得し、復元できることを確認しましょう。

可能であれば、事前にテスト環境で動作を確認することも有効です。

ただし、今回のような重大な脆弱性では、長期間更新を先延ばしにすることも危険です。

安全な更新方法が分からない場合は、サーバー会社や保守担当者に早めに相談してください。

STEP 4：更新後に動作を確認する

更新が完了したら、サイトの表示や機能を確認しましょう。

特にネットショップでは、商品ページ、カート、注文処理などが正常に動作するかを確認することが大切です。

すでに侵害されている疑いがある場合は、更新だけで問題が解決するとは限りません。専門家やサーバー会社に調査を依頼しましょう。

⸻

6. SNSで「緊急」と書かれていたら、どう判断する？

ここからは、今回のニュースを通じて、もうひとつ考えたいことがあります。

それは、情報を受け取ったとき、私たちは何を根拠に判断しているのかということです。

SNSでは、短い時間で多くの情報に触れることができます。

誰かが分かりやすく解説してくれることで、これまで知らなかった問題に気づけることもあります。

一方で、強い言葉や印象的な映像だけでは、情報の正確さまで判断できません。

例えば、こんな言葉を見かけたとします。

「今すぐ更新しないと危険！」

本当に重大な問題かもしれません。

しかし、その情報が自分に関係するかどうかは、別の確認が必要です。

そこで、情報を受け取ったときに、次の3つを意識してみましょう。

① 誰が発表した情報なのか？

まず、情報の発信元を確認します。

今回であれば、PHPの開発元、IPA、CVEの公式記録などが確認先になります。

SNSの投稿は、情報を知るきっかけとして役立ちます。

ただし、重要な判断をするときには、できるだけ一次情報にたどり着くことが大切です。

② いつの情報なのか？

セキュリティに関する情報は、短い期間で変化することがあります。

最初の発表では詳細が分からなくても、その後の調査によって、新しい事実が公表される場合があります。

今回も、10月21日の公表後、10月26日に実際の悪用が確認された脆弱性として登録されました。

情報を読むときは、公開日だけでなく、最終更新日にも注目しましょう。

③ 自分には何が必要なのか？

重大なニュースだからといって、すべての人が同じ対応をする必要はありません。

例えば、PHPを利用したサイトを自分で運営している人と、普段スマートフォンでウェブサイトを閲覧している人では、確認すべきことが異なります。

今回の問題は、主にPHPが動作するサーバー側の問題です。

一般のスマートフォン利用者が、このニュースを理由にアプリを削除したり、スマートフォンを初期化したりする必要があるわけではありません。

情報を見たら、まず自分との関係を確かめる。

そのうえで、必要な行動を選ぶ。

これも、情報を活用するための大切な力だと思います。

⸻

7. 今日からできる、セキュリティの小さな習慣

ウェブサイトの安全を守るために、専門家でなければ何もできないということはありません。

日頃から、次のような習慣を持つことができます。

✅利用しているサービスやサーバーを把握する
✅PHPなどのソフトウェアの更新状況を確認する
✅WordPress・テーマ・プラグインを適切に更新する
✅バックアップを定期的に取得する
✅管理画面の認証を強化する
✅公式のセキュリティ情報を確認する
✅分からないことは管理会社や専門家に相談する

すべてを一度に完璧にする必要はありません。

まずは、自分がどのような仕組みを利用しているのかを知ること。

そこから、必要な対策をひとつずつ進めていきましょう。

⸻

8. 知らないことを、知ろうとすること

私たちは毎日、たくさんの情報に触れています。

便利な技術。

新しいサービス。

世界で起きている出来事。

そのすべてを、最初から理解している必要はありません。

けれど、知らない言葉に出会ったとき。

「自分には難しいから」と遠ざけるのではなく、

「これは、どういう仕組みなのだろう？」

と、少しだけ興味を持ってみる。

それだけでも、世界の見え方は変わっていくのではないでしょうか。

今回のPHPのニュースも、そのひとつです。

PHPという言葉を知らなかった人が、ウェブサイトの裏側にある仕組みを知る。

SNSで見かけた情報について、発信元や根拠を確認してみる。

そして、自分に必要な行動を考える。

知ることは、不安を増やすためではなく、自分で選べることを増やすためにある。

私は、そう考えています。

これからもMirea. Journalでは、身近な出来事を入り口に、知らなかった世界や仕組みを一緒に探究していきたいと思います。

⸻

Mirea. Journal — 知る、感じる、考える。その先に、新しい世界との出会いを。

⸻

参考資料・公式情報
本記事は、2026年10月29日時点で確認できる情報をもとに作成しています。

IPA（情報処理推進機構）
PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）

PHP公式
PHP News Archive 2026

CVE公式記録
CVE-2026-109618
CVE-2026-109619

WordPress公式
サイトヘルス画面

PHPの更新方法

※脆弱性に関する情報や推奨される対策は、今後更新される場合があります。実際の対応では、PHP公式、IPA、利用中のサーバー会社の最新情報をご確認ください。