「PHPに重大な問題が見つかった」「サイトが緊急メンテナンスに入った」。そんな案内を見て、自社のホームページは大丈夫なのかと不安になった方もいると思います。
WordPressは使っていても、PHPの管理まで普段から意識しているとは限りません。制作を外注していると、誰に何を確認すればよいのかも分かりにくいですよね。
今回のPHP問題は、2026年10月に公表された重大な脆弱性「PHP2shell」です。WordPressの更新だけで対応済みと判断せず、サイトを動かすPHPの修正状況を確認する必要があります。
ただし、全サイトが侵害されたという意味ではありません。サーバー会社がすでに修正を適用している場合もあるため、まず契約サービスと対応状況を確認し、必要な更新と動作確認を進めましょう。[1][4][5]
今回のPHP問題「PHP2shell」とは？
PHP2shellは、PHPのメモリ処理に関する2件の脆弱性を組み合わせた呼称です。識別番号はCVE-2026-109618とCVE-2026-109619。悪用されると、遠隔の第三者にプログラムを実行される可能性があります。IPAは2026年10月22日に注意喚起を公開しました。[1]
PHPはWordPressを動かすプログラミング言語の一つです。今回の問題は、特定のWordPressプラグインだけの不具合ではなく、その下で動くPHPの実行環境に関わります。WordPress以外のPHPを使うシステムも確認対象です。[2][5]
「攻撃される可能性」だけの段階ではありません
2026年10月26日、米CISAはこの2件を、悪用が確認された脆弱性の一覧であるKEVカタログに追加しました。さらにJPCERT/CCは10月29日の更新で、特定製品への侵害成功を示唆する痕跡が報告されたことを紹介しています。[7][3]
一方、攻撃の成立条件は実行環境などによって異なります。「PHPを使っている会社はすべて被害を受けた」と広げて解釈するのは正確ではありません。必要なのは、影響の有無と修正状況を具体的に確認することです。[3]
PHPのどのバージョンが対象？修正版の目安
次の表は、PHP開発元が2026年10月21日に公開した、上記2件に対する修正版です。「現在の最新版一覧」ではなく、今回の2件の修正が入ったバージョンの確認表としてご覧ください。[2]
| PHPの系列 | 修正前の対象 | 修正が入ったバージョン |
|---|---|---|
| PHP 8.2系 | 8.2.35より前 | 8.2.35 |
| PHP 8.3系 | 8.3.36より前 | 8.3.36 |
| PHP 8.4系 | 8.4.27より前 | 8.4.27 |
| PHP 8.5系 | 8.5.12より前 | 8.5.12 |
「PHP 8.3だから大丈夫」という系列だけの確認では不十分です。ただし、OSやサーバー提供元が古い版に修正パッチを追加する場合もあります。表示された番号だけで安全・危険を確定せず、利用サービスの修正情報と照合してください。[2][4]
PHP 8.1以前は、今回の修正と今後の保守を分けて考える
PHP 8.1以前は、PHP開発元による通常サポートが終了しています。一部の提供元による修正や、今回の問題に対する例外的な旧版向けソース修正はありますが、それを通常サポートの再開とは考えないでください。利用環境の対応を確認しつつ、保守が続く環境への移行を検討する必要があります。[1][2]
10月23日以降の追加情報にも注意してください。
PHP開発元は、特定の設定とプログラムの動作が重なる場合に関係する別の問題、CVE-2026-115560も案内しています。10月21日の2件の修正とは区別し、保守担当者に追加確認を依頼しましょう。Windows版には10月26日付の別件の再ビルド案内もあります。「表の番号になったので、すべての確認が終わった」とは扱わないことが大切です。[2][7]
WordPressを最新版にすれば解決する？
WordPress本体の更新と、PHPの更新は別の作業です。PHPはサーバー上にあり、提供元の設定画面やサーバー管理者を通じて更新します。WordPressの管理画面に更新通知がないことだけでは、今回のPHP問題への対応完了は確認できません。[5]
役割を整理するなら、次のように分けると確認しやすくなります。担当範囲は契約ごとに異なるため、自社の保守契約と照らし合わせてください。
| 確認対象 | 確認すること | 相談先の目安 |
|---|---|---|
| PHP・サーバー環境 | 対象CVEの修正適用、稼働中環境への反映 | サーバー会社・サーバー管理者 |
| WordPress本体 | 本体の更新状況と互換性 | 制作会社・保守担当者 |
| テーマ・プラグイン | 更新状況、PHP更新後の動作 | 保守担当者・各開発元 |
| 問い合わせ・予約 | 送信、通知、予約記録が正常か | 保守担当者と自社の受付担当者 |
セキュリティプラグインを入れていても、PHPの確認は必要
WordPress公式も、サーバーの安全対策とアプリケーション側の対策を分けて考えています。また、今回の脆弱性について案内されている緩和策は、修正適用の代わりになるものではありません。WAFやプラグインがあることだけを理由に、PHPの修正確認を省かないでください。[6][3]
自分のWordPressサイトはどう確認する？
管理画面の「サイトヘルス」で現在のPHPを確認する
WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。これは状態を確認する画面であり、ここからPHPを更新するわけではありません。[8][5]
表示された情報は、対象URLと確認日時を添えて保守担当者へ共有すると話が進めやすくなります。パスワードを公開したり、詳細なサーバー情報の画面をSNSへそのまま載せたりする必要はありません。
サーバーの契約名と、修正適用の範囲を確かめる
サーバー会社名だけでなく、レンタルサーバー・VPS・クラウドなどのサービス名を確認しましょう。同じ会社でも、誰がPHPを管理するかは異なります。例えばエックスサーバーの今回の案内でも、レンタルサーバーとVPSで対応が分かれています。[4]
GPJからの提案は、確認結果を「対応済みらしい」という口頭情報で終わらせず、対象サイト・修正した内容・反映日時・追加対応の有無・確認した担当者の5点で残すことです。複数サイトを運営している場合も、同じ様式なら未確認のサイトを見つけやすくなります。
エックスサーバー利用者は？レンタルサーバーとVPSを区別
2026年10月30日に確認したエックスサーバーの公式案内では、次の対応が示されています。[4]
| 対象サービス | 公式に案内されている対応 | 利用者の確認点 |
|---|---|---|
| エックスサーバー／XServerビジネス／XServer for WordPress | 10月26日6:20までに、対象サーバーへの対応完了。PHP 8.2〜8.5は同系列の修正版へ更新。PHP 5.1〜8.1はバージョンを変えず修正パッチを適用。 | 自分の契約が対象か、追加の案内がないかを確認する。 |
| XServer VPS／VPSビジネスプラン／VPSクラウド | 提供元によるPHP修正パッチの適用は行っておらず、利用者側のソフトウェア管理が必要。 | サーバー管理者に修正適用と稼働環境の確認を依頼する。 |
同社は、上記レンタルサーバーの対象利用者について、今回の2件の対策を目的に急いでPHPのバージョンを変更する必要はないと説明しています。「古い番号を見つけたから、すぐに設定を切り替える」とは限りません。この案内を他社サービスやVPSへ一律に当てはめないでください。[4]
これは提供元の案内を整理したもので、読者の個別環境の診断ではありません。今回の修正が済んでいることと、古いPHPを将来も使い続けてよいかは、分けて判断してください。
事業者が進めたい対応｜変更する前と、変更した後
修正が必要な場合は、バックアップと互換性確認を準備する
WordPress公式は、PHPを更新する前のバックアップ、テーマ・プラグインの互換性確認などを案内しています。新しいPHPで動くかが不明なまま、本番環境の設定を一気に切り替えることは避けましょう。[5]
ただし、準備を理由に脆弱な公開状態を長く放置することも適切ではありません。すぐに修正できない場合の公開制限や一時停止の要否は、保守担当者と相談して判断してください。[1]
更新後は「ホームページが開く」だけで完了にしない
GPJが事業者の方に提案したいのは、表示確認と業務の動作確認を分けることです。次の表は、本記事用に整理した確認例です。自社で使っていない機能は除き、テストによる通知や予約が発生する項目は担当者と実施方法を決めてください。
| 確認する場所 | 完了の目安 |
|---|---|
| 公開ページ | トップ・サービス・記事・画像を、パソコンとスマートフォンで表示できる。 |
| 問い合わせフォーム | 入力・確認・完了表示に加え、管理者への通知を実際に受信できる。 |
| 予約システム | テスト予約が管理画面に記録され、通知まで確認できる。テスト枠は後で整理する。 |
| 決済・会員機能 | 利用している場合は、提供元が用意するテスト方法で動作を確認できる。 |
| 更新・自動処理 | 記事更新や、利用中のバックアップ・同期などが予定どおり動く。 |
| 作業記録 | 担当者・実施日時・確認した項目・未完了事項が残っている。 |
例えば、フォームの完了表示だけを見て終わらせず、受付担当者にテスト通知が届いたか確認する。予約機能なら、画面上の成功表示だけでなく、管理画面側の記録も見る。このように、実際の受付業務まで確かめる運用をおすすめします。
更新済みでも、侵害されていないとは限りません
修正の適用状況と、過去に侵害された形跡がないかは別の確認です。JPCERT/CCは、対策と併せて侵害の調査を勧めています。また、特定の痕跡が見つからないことだけで、攻撃を受けていないと断定できないと説明しています。[3]
不審なファイルや外部通信などが見つかった場合は、関連ログなどの証拠を保全し、影響範囲の調査や隔離を進める必要があります。自己判断でファイルを消し続けるのではなく、サーバー会社やインシデント対応の専門窓口へ連絡してください。[3]
一方、サイトの一時停止だけを見て被害と決めつけるのも避けましょう。エックスサーバーは、公式サイト・管理画面等の停止について、予防的な安全対策として案内しています。メンテナンス、障害、侵害は、発表内容を確認して区別する必要があります。[9]
サーバー会社・保守会社にそのまま送れる確認文
技術用語を詳しく説明できなくても、次のように依頼すれば、確認したい範囲を共有できます。GPJが本記事用に作成した文面です。対象URLとサービス名を差し替えてお使いください。
件名：PHP2shellの修正状況とWordPressの動作確認について
お世話になっております。以下のサイトについて、PHPの脆弱性への対応状況をご確認ください。
対象URL：［自社サイトのURL］
契約サービス：［サーバー会社・サービス名］
1．CVE-2026-109618／CVE-2026-109619の修正は適用済みでしょうか。
2．適用済みの場合、反映日時と対象環境を教えてください。
3．表示バージョンを変えずに修正している場合、その確認根拠を教えてください。
4．CVE-2026-115560など、追加確認が必要な情報への対応状況を教えてください。
5．未対応の場合、実施予定と完了までの安全対策を相談させてください。
6．更新に伴うバックアップと互換性確認は、どちらの担当範囲でしょうか。
7．不審な通信・ファイル等の確認について、実施範囲と結果を教えてください。
8．更新後のフォーム送信、通知受信、予約機能まで確認できるか教えてください。
「PHP修正済み」「侵害の調査状況」「業務機能の確認済み」を分けて、確認できた事項と未確認事項をご案内いただけますと幸いです。
「対策済みです」という回答だけで終わらせず、何の対策が済んだのかをそろえることが目的です。対応範囲や費用が契約外になる場合は、作業に入る前に確認しましょう。
PHP問題についてよくある質問
今回の問題を理由に、WordPressをやめるべきですか？
今回の問題だけで、使っているCMSの変更を決める必要はありません。まずPHPの修正状況と保守体制を確認することをおすすめします。WordPress以外にもPHPを使う製品があるため、乗り換えることと今回の対応は別の判断です。[1]
PHPを更新すれば、今後も安全と言い切れますか？
言い切れません。WordPress公式も、セキュリティをリスクの低減として説明しています。今回の修正を行った後も、本体・テーマ・プラグインの保守、バックアップ、監視、権限管理を続けることが大切です。[6]
制作会社と連絡が取れず、誰が管理しているか分かりません
まず契約書・請求書・サーバーから届いた案内を確認し、契約先と管理担当者を特定するところから始めましょう。ログイン情報をむやみに共有せず、契約サービスの窓口へ、所有者として利用できる確認手続きを相談してください。
どこまで確認したら、今回の対応を完了と扱えますか？
この記事では、対象環境への修正反映、侵害調査の実施範囲、フォーム・予約などの動作確認、未完了事項の引き継ぎを記録することを提案しています。「絶対に安全」という判定ではなく、何を確認し、何が残っているかを明確にするための管理基準です。
まとめ｜まずは「誰がPHPを管理し、何を修正したか」を確認する
今回のPHP問題で最初に取り組みたいのは、不安のまま設定を触ることではありません。自社サイトが使うサービスを把握し、PHP2shellへの修正が適用されているか、保守担当者へ確認することです。
GPJとしては、その後の確認も「サイトが表示される」で終わらせず、問い合わせや予約が正常に届くところまで整理することをおすすめします。集客のために運営しているサイトだからこそ、見た目だけでなく、受付まで動いていることを確かめたいと考えています。
サイトの管理体制や、公開後の運用を整理したい方へ
制作時の担当範囲と、公開後に誰が何を確認するかを整理したい方は、GPJのWEBサイト制作・公開後の支援方針をご覧ください。個別のご相談は無料相談フォームから受け付けています。
侵害が疑われる場合や緊急の修正対応が必要な場合は、通常の相談窓口の回答を待たず、契約中のサーバー会社・保守担当者・セキュリティ専門窓口へご連絡ください。専門的な侵害調査や緊急復旧を、本記事で対応保証するものではありません。
参考にした公式情報
以下は2026年10月30日に確認した情報です。特定環境の安全性や、今後の更新の不要を保証するものではありません。確認表・依頼文・業務確認の進め方は、GPJによる編集上の提案です。
- IPA：PHPの脆弱性対策について（PHP2shell）
- PHP開発元：2026年の公式発表（10月21日の修正版、23日の追加情報、26日のWindows版更新）
- JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（10月29日更新）
- エックスサーバー：PHPの脆弱性に関する利用サーバー環境への安全対策
- WordPress公式：PHPの確認と更新の手順
- WordPress公式：Hardening WordPress
- カナダ・サイバーセキュリティセンター：PHPの脆弱性に関する注意喚起・更新2
- WordPress公式：サイトヘルス画面
- エックスサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止に関する案内
