PHP2Shell（CVE-2026-109618／109619）とは？運営者・利用者それぞれが何をすればいいかの仕分け

「PHP2Shell」って、結局なんなんでしょう。ニュースで名前だけ見かけて、読み方が合っているのかも分かりません。ブログをやっていた気もするし、サーバーも契約している気がするけれど、それが関係あるのかどうかがさっぱりです。そもそも、サーバーの会社の名前をすぐ言えるでしょうか。とりあえず、ニュースで見かけたこの名前が、どこの誰に関わる話なのかを、紙に書き出してみます。

はじめまして、モノサシ屋のみつきです。ニュースの数字や公式の発表を、読む順番に並べて比べています。

結論｜最初に読む記事は、立場で3つに分かれる

PHP2Shellは、サイトの土台になっているソフト「PHP」で見つかった、2件の重大な脆弱性の呼び名です。最初に読む記事は、サイトを持っているか、WordPressを使っているか、見る側だけか、の3つで決まります。(出典: php.net ニュース（2026年10月21日付）)

何が起きたか｜2026年10月21日の修正版公開まで

php.netは2026年10月21日に、認証なしでリモートコード実行につながりうる2件の脆弱性を修正した、と発表しました。リモートコード実行は、外からサーバーでプログラムを動かされうる状態のことです。修正版は、PHP 8.5.12・8.4.27・8.3.36・8.2.35です。2件とも、深刻度の物差しCVSS v4.0で9.2、区分は「緊急（Critical）」とされています。(出典: php.net ニュース（2026年10月21日付）、php-src アドバイザリ GHSA-w8hw-w9fx-j79w)

影響を受ける構成は、Webのリクエストを受けるPHP全般です。php.netは、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを挙げています。レンタルサーバーでも自前のサーバーでも、Webのページを表示するのにPHPを使っていれば、話の対象に入ります。

• 2026年10月20日php.netが、翌日のセキュリティリリースを予告する
• 2026年10月21日 19時〜23時30分pixivとBOOTHが、緊急メンテナンスで公開前にシステムを止める
• 2026年10月21日 夜修正版が公開される（予告では日本時間の23時）
• 2026年10月22日JPCERT/CCとIPAが、注意喚起を出す

2件は、起きる場所が違います。公式の呼び名と要旨を並べます。(出典: php.net ニュース（2026年10月21日付）)

→ 横にスクロールできます

自分に関係があるか｜サイトを持つ・WordPressを使う・見るだけの3つ

関係の有無は、手元にサイトのサーバーがあるかどうかで分かれます。PHPはサーバーの側で動くので、見る側の端末にPHPの更新は出てきません。

サイトを見るだけの人について、確認できたことを書きます。2026年10月23日に確認できた範囲では、利用者情報の漏えいを公表した公式告知はありませんでした。pixivは2026年10月22日付の告知で、この脆弱性に起因する被害は確認されていないと書いています。使っているサービスから案内が出たら、その案内に従います。「PHPの脆弱性対策」をうたって端末に入れさせるアプリの案内は、サーバー側の話とは別のものです。(出典: pixiv 緊急メンテナンスのお知らせ)

運営者がまず見るもの｜契約先の公式お知らせ

運営者が最初にやるのは、契約先の公式お知らせで、パッチの適用を確かめることです。JPCERT/CCは、対策として適切なのは更新のみ、としています。(出典: JPCERT/CC AT-2026-0033)

1. 1契約しているサーバー会社の名前を確かめる
2. 2その会社の公式お知らせで、パッチの適用が完了したかを読む
3. 3利用者にお願いしている作業があるかを読む
4. 4補助として、PHPが8.1以前の版でないかを見る

多くのレンタルサーバーは、利用者の作業なしでサーバー側にパッチを当てています。ただし例外があります。ロリポップ！は、ファイルのアップロード状況を記録するPHPの機能をすべてのバージョンで無効にしたと告知していて、利用者に自分のサイトの動作確認を求めています。各社の細かい中身は、別の記事に並べます。(出典: ロリポップ！ お知らせ)

VPSや自前のサーバーのように、自分でPHPを入れている場合は、自分で修正版に更新します。JPCERT/CCは、OSや製品を出している会社の更新も確かめるよう書いています。レンタルサーバーとは分担が逆になるので、ここは運営者の側の作業です。(出典: JPCERT/CC AT-2026-0033)

侵入の有無を調べたいときの手がかりも、JPCERT/CCは挙げています。ログに、異常に長い、または形の崩れた、PHPがログイン状態の管理に使うクッキーがないか。ファイルを送るときに使われる形式の、不審なリクエストが送られていないか。PHPを動かす処理が突然止まって再起動を繰り返していないか。この3つです。痕跡が残らない攻撃もありうる、とも書かれています。確認の手順は、侵入されたかもしれないときの記事にまとめます。

補助として見るPHPの版について、公式の修正版の一覧を置きます。(出典: php.net ニュース（2026年10月21日付）、JPCERT/CC AT-2026-0033、IPA 注意喚起)

→ 横にスクロールできます

立場別の読む記事｜8本の入口

立場ごとに、読む記事を並べます。

サイトを持っている人

• 国内レンタルサーバー各社の対応状況：パッチ適用の時刻、メンテナンス、利用者の作業の有無を、会社ごとに並べます。
• 契約先の公式お知らせで影響を確かめる方法：自分のサイトに関係があるかを判断する手順です。
• サイトが侵入されたかもしれないときの確認：ログの確認と連絡先をまとめます。

WordPressを使っている人

• WordPress運営者がまず確認する5つのこと：PHPの脆弱性が出たときの点検の手順です。
• PHPのバージョンを変更する手順：動かなくなったときの戻し方も書きます。
• CVE番号と深刻度の読み方：ニュースに出てくる「修正版」「緊急」の意味です。

サイトを見るだけの人

• 使っているサイトが影響を受けたときに利用者がやること：パスワードを変える場面と変えない場面を分けます。

これから契約する人

• レンタルサーバーを選ぶときのセキュリティの物差し：自動更新、WAF、バックアップ、PHPの版の切り替えを見ます。

1. 1

   立場を決める

   サイトを持つか、WordPressを使うか、見るだけか、のどれかに丸をつけます。

2. 2

   最初の1本を読む

   上の一覧から、自分の立場の先頭の記事を開きます。

3. 3

   必要なら次へ進む

   記事の終わりにある横のリンクから、次の1本に移ります。

この脆弱性の対策ではないもの｜WordPressの更新・VPN・パスワード変更

この脆弱性はPHP本体にあります。WordPressやプラグインを更新しても塞がりません。JPCERT/CCも、対策はPHPの更新のみとしています。(出典: JPCERT/CC AT-2026-0033)

ニュースで深刻度を調べると、人によって数字が違って見えることがあります。php.netの予告は、2件とも9.2としています。php-srcのCVE-2026-109618のアドバイザリも9.2です。数字の大小より、PHPのパッチが当たったかどうかが確かめる中身になります。

WordPressの更新やパスワードの変更は、この脆弱性の対策ではなく、普段の備えです。やって損はありませんが、PHPのパッチの代わりにはなりません。VPNも、この脆弱性は防げません。サーバー側の問題だからです。

情報の確認日: 2026年10月23日

まとめ｜契約先のお知らせを開き、立場の先頭の記事に進む

1. 1自分の立場を、3つから選ぶ
2. 2立場の先頭の記事を開く
3. 3サーバー会社の告知で、適用の完了を読む