「うちのホームページは大丈夫なのか」。2026年10月下旬以降、この問い合わせが続いています。きっかけは、PHPというプログラムに見つかった2件の深刻な脆弱性です。PHPは世界中のWebサイトを動かしている土台で、WordPressで作られたサイトもこれで動いています。
やっかいなのは、多くの企業にとって「誰に聞けばいいのか」が分からないことです。制作を頼んだ会社に連絡しても対応範囲外だと言われる、担当者が辞めていて連絡がつかない、そもそもサーバーを誰が管理しているのか社内で分からない。技術の問題ではなく体制の問題で止まってしまいます。この記事では、確認の手順と、止まったときの進め方を整理します。
この記事の要点
- 対象は CVE-2026-109618 と CVE-2026-109619 の2件で、総称して「PHP2shell」と呼ばれる。
- 修正済みバージョンは PHP 8.2.35／8.3.36／8.4.27／8.5.12。これより前の同系統は影響を受ける。
- PHP 8.1以前はサポート終了しており、今回の修正プログラムは提供されない。
- CISAは2026年10月26日（現地時間）に、両件を悪用が確認された脆弱性としてKEVカタログへ掲載した。
- 株式会社キャンバスは2012年創業・第15期で、累計1500件超のDX活用支援実績がある。他社制作のサイトでも相談を受け付けている。
目次
PHP2shellとは？2026年10月に公表された2件の脆弱性
PHP2shellとは、2026年10月に公表されたPHPの2件の脆弱性の総称で、遠隔の第三者によって任意のコードを実行されるおそれがあるものである。
IPA（独立行政法人 情報処理推進機構）は2026年10月22日に「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」を公開し、2026年11月2日に最終更新しています。2件の内訳は次のとおりです。
| CVE番号 | IPAによる分類 | 補足 |
|---|---|---|
| CVE-2026-109618 | メモリ不足(OOM)のエラー処理に起因する脆弱性 | GMO Flatt Securityは「OOM時のlongjmpによるRCE」と整理（同社の解説記事） |
| CVE-2026-109619 | リクエスト処理に関連する脆弱性 | 同社は「Stale Global StateによるRCE」と整理。CVSS v4.0のスコアは2件とも9.2とされる |
任意のコード実行とは、攻撃者がサーバー上で自由にプログラムを動かせる状態を指します。サイトの改ざん、個人情報の持ち出し、他サイトへの攻撃の踏み台化など、起こりうる被害の範囲が広いのが特徴です。
IPAによれば、影響を受けるのは「PHP 8.2.35より前の8.2系」「PHP 8.3.36より前の8.3系」「PHP 8.4.27より前の8.4系」「PHP 8.5.12より前の8.5系」です。さらに、調査に関与したWiz社の見解としてPHP 5.4以降のバージョンはいずれかの影響を少なくとも受けると紹介されています。緩和策を含む詳細は、PHP公式のアドバイザリ（GHSA-w8hw-w9fx-j79w／GHSA-6wmf-4rv5-p3rp）で公開されています。いずれも上記のIPAのページからリンクされています。
すでに悪用が確認されている点も押さえておく必要があります。CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）は2026年10月26日（現地時間）、両件をKEVカタログ（悪用が確認された脆弱性の一覧）に掲載しました。IPAは国内での攻撃被害の事例は把握していないとしていますが、これは「まだ来ていない」であって「来ない」ではありません（2026年11月時点）。
自社のサイトは影響を受ける？4ステップの確認手順
01 PHPのバージョンを確認する：WordPressであれば管理画面の「ツール → サイトヘルス → 情報 → サーバー」で確認できます。レンタルサーバーの管理画面にPHPバージョンの設定項目がある場合も多いです。
02 影響範囲と照合する：上の早見表と見比べます。8.2系なら8.2.35以上、8.3系なら8.3.36以上、8.4系なら8.4.27以上、8.5系なら8.5.12以上であれば、今回の2件については対応済みです。
03 誰の担当かを確認する：ここが実際にいちばん詰まります。PHPの更新はサーバー側の作業なので、サイトを作った制作会社ではなく、サーバーの契約者・管理者が動く必要があることが少なくありません。契約書や請求書から、サーバーの契約名義を確認してください。
04 期限を決めて依頼する：「確認してください」だけでは止まりがちです。対象のCVE番号と、更新先のバージョンを明記して、いつまでに回答がほしいかを添えて依頼します。やり取りはメールなど記録の残る形で行ってください。
制作会社・サーバー会社に何を聞けばいい？
専門用語が分からなくても、次の4つを聞けば状況は判断できます。そのまま転記して使ってください。
| 聞くこと | 確認できること | 回答が曖昧なときの見方 |
|---|---|---|
| 現在のPHPのバージョンは何ですか | 影響を受ける状態かどうか | 即答できない場合、バージョン管理をしていない可能性がある |
| CVE-2026-109618／109619 への対応予定はありますか | 対応の意思と時期 | 「調べます」のまま連絡が来ないなら、別の相談先を持ったほうがよい |
| PHPの更新は契約範囲に含まれますか | 誰が動くべきかの切り分け | 含まれない場合、保守契約の見直しが必要になる |
| 更新でサイトが動かなくなる懸念はありますか | 事前検証が必要かどうか | 「やってみないと分からない」なら、複製環境での検証を依頼する |
なお、制作会社が対応しないこと自体が不誠実とは限りません。サイトを作る契約と、サーバーを維持する契約は別物で、前者だけを請け負っている場合はPHPの更新が業務範囲に入っていないのが通常です。問題は、どちらの契約も結ばれていない状態に気づかないまま運用が続いていることです。
PHPのバージョンが分からない、依頼先が分からない。その段階からご相談いただけます。
自社サイトの状況を無料で相談する（株式会社キャンバス・相談無料）
対応が止まりやすい3つのパターン
2026年10月下旬以降に当社へ寄せられたご相談も、技術的な難しさではなく、この3つのどれかで止まっているものがほとんどでした。いずれも、大がかりな投資ではなく「誰がボールを持つか」を決めれば動き出します。
PHP 8.1以前を使っている場合はどうする？
IPAは「PHP 8.1以前のバージョンはEnd of life（サポート終了）を迎えています」と明記しており、今回の脆弱性に対する修正プログラムは提供されません。つまり、更新して直すという選択肢がそもそも存在しません。
取りうる道は実質的に次の3つです。
| 選択肢 | 内容 | 向いているケース |
|---|---|---|
| サポート対象のPHPへ移行する | 8.2系以降へ上げる。テーマ・プラグイン・自作プログラムの改修が伴うことが多い | サイトを今後も使い続ける場合。基本はこれが本線 |
| サイトを作り直す | 現行サイトが古く、改修費が作り直しと変わらない場合 | 公開から年数が経ち、スマートフォン対応なども古い場合 |
| 公開を止める／アクセスを制限する | 更新も作り直しも間に合わないときの緊急避難 | 更新までの時間稼ぎ。放置するよりはるかに安全 |
どれを選ぶかは、サイトが事業でどんな役割を担っているかで変わります。採用や問い合わせの入口になっているサイトを安易に止めれば、別の損失が出ます。当社のウェブコンサルティングでは、ここを費用と事業影響の両面から整理したうえでご提案しています。
株式会社キャンバスの対応
株式会社キャンバスは2012年創業、第15期を迎えるデジタルクリエイティブ／システム開発企業です。累計1500件超のDX活用支援実績があり、Webサイトの制作だけでなく、システム開発やサーバー環境の構築・運用まで一貫して手がけてきました。今回のような脆弱性対応で必要になるのは、まさにこの範囲をまたいだ判断です。
2026年10月21日に修正版が公開されて以降、当社が運用を担当しているサイトについては影響の有無を確認し、順次対応を進めてきました。あわせて、他社で制作されたサイトについてのご相談も複数いただいています。
ご相談いただいた場合、まず現状の確認から始めます。PHPのバージョン、サーバーの契約状況、サイトを構成しているプログラムを調べ、更新で済むのか、改修が必要なのかを切り分けてご報告します。これまでの制作・開発事例は制作実績でご覧いただけます。
よくある質問
Q. 自社のサイトがPHPを使っているかどうかも分かりません。確認できますか？
A. 確認できます。WordPressなどのCMSで作られたサイトはPHPで動いています。CMSを使っていない場合でも、お問い合わせフォームが動いていればPHPが使われていることが多いです。サイトのURLをお知らせいただければ、外部から分かる範囲でこちらで確認してご連絡します。
Q. 制作会社に連絡したのですが、返事がありません。どうすればよいですか？
A. サーバー会社に直接確認する方法があります。サーバーの契約者が自社であれば、管理画面からPHPのバージョンを確認し、更新できる場合があります。ただし更新によってサイトが表示されなくなることもあるため、事前にバックアップを取ったうえで行ってください。手順が分からない場合はご相談ください。
Q. PHPを更新したらサイトが壊れると聞きました。本当ですか？
A. 古いプログラムを使っている場合は起こりえます。特にPHP 8.1以前から8.2以降へ上げる場合は、テーマやプラグイン、自作プログラムの書き換えが必要になることがあります。そのため、いきなり本番環境で更新せず、複製した環境で検証してから本番へ反映するのが安全です。
Q. 更新は急ぐ必要がありますか？
A. 急ぐ必要があります。CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）は2026年10月26日（現地時間）、この2件を「悪用が確認された脆弱性」としてKEVカタログに掲載しました。IPAは国内での攻撃被害の事例は把握していないとしていますが、悪用方法が公開された脆弱性は時間とともに攻撃が広がります。
Q. すぐに更新できない場合、ひとまずできることはありますか？
A. PHPの公式アドバイザリでは、影響を受けやすい構成例と緩和策が案内されています。ただし、これらの設定変更で脆弱性を完全に回避することはできず、あくまで一時的な措置です。更新までの間は、管理画面へのアクセス制限や、場合によっては一時的なサービス停止も選択肢になります。どこまで妥協できるかは事業への影響次第なので、判断材料を一緒に整理します。
Q. 他社で制作したサイトでも見てもらえますか？
A. 対応できます。制作元が当社でないサイトのご相談も承っています。現在の状況を確認したうえで、今回の更新だけを単発で行うのか、継続的に運用を引き受けるのかを含めてご提案します。
Q. ホームページ以外にPHPが使われている可能性はありますか？
A. あります。IPAは2026年11月2日の更新で、PHPはVPN機器やセキュリティアプライアンス製品のウェブインターフェースなど、さまざまなところで利用されていると注意を呼びかけています。自社で使っている機器についても、メーカーから出る対策情報を確認してください。
まとめ
今回のPHP2shellは、修正済みバージョン（PHP 8.2.35／8.3.36／8.4.27／8.5.12）へ更新すれば対応できる脆弱性です。技術的には難しくありません。それでも対応が進まないのは、自社サイトの面倒を誰が見ているのかが曖昧なまま運用されているサイトが多いからです。
裏を返せば、今回を機にそこを整理しておけば、次に同じことが起きたときには数日で終わります。まずはPHPのバージョンを確認し、更新の担当者を決めるところからです。
「どこに聞けばいいか分からない」ところからで構いません。現状の確認からお手伝いします。
PHPの脆弱性対応について相談する（株式会社キャンバス・相談無料）
運営：株式会社キャンバス（canvas-works.jp）— AIを前提に価値をつくるデジタルクリエイティブ／システム開発企業。体験型コンテンツ開発・AI開発・自社パッケージ（ぬりえスタジアム／バッティングヒーロー／デジスポ／フライングペイント／フォトフォトAI／ディノコア創世記）を展開。