PHPの重大な脆弱性「php2shell」に関する注意喚起と対応について

2026年10月21日、PHPにおける重大な脆弱性2件の詳細と修正版が公表されました。PHPを利用している環境では、修正の適用状況を確認し、必要な更新を速やかに行うことが推奨されています。

PHPは、WordPressをはじめとするホームページやWebシステムで広く使用されています。今回の脆弱性は、独自開発のシステムだけでなく、企業・店舗のホームページにも影響する可能性があります。

本記事では、公表された情報をもとに、確認が必要となる環境と対応上の注意点をまとめています。

※掲載内容は2026年10月22日時点の情報です。最新の修正版や各サービスの対応状況については、提供元の案内をご確認ください。

公表された脆弱性の概要

今回公表された脆弱性は、次の2件です。

いずれも、認証されていない外部の第三者によって、サーバー上で任意のコードが実行されるおそれがあるものです。攻撃が成立する条件は、PHPの動作方式や設定、アプリケーションの構成などによって異なります。

これらの脆弱性は「php2shell」とも呼ばれており、GMO Flatt Securityの解説記事でも、概要や検証結果、対応方針が公開されています。

脆弱性の公表は、すべての利用環境ですでに被害が発生していることを意味するものではありません。ただし、サイトが正常に表示されていても、修正が適用されているとは限らないため、対策状況の確認が必要です。

PHPが使用されている場合、次のような環境でも確認が必要となります。

WordPressは、サーバー上のPHPによって動作しています。そのため、WordPress本体やプラグインが更新されていても、PHP側の対策が完了しているとは限りません。

一方、PHPが使用されていることだけを理由に、未対策であると断定することもできません。サーバー事業者やOSの配布元によって、すでに修正が適用されている場合があります。

今回の脆弱性に対応した修正版として、次のバージョンが公開されています。

各系列で修正版より古いバージョンが使用されている場合は、提供元による修正の適用状況を確認する必要があります。

また、PHP 8.1以前はPHPプロジェクトによる通常のサポートが終了しています。上記の表に含まれていないことは、影響を受けないことを意味しません。提供元の修正対応を確認するとともに、サポート対象バージョンへの移行を検討する必要があります。

なお、既存のバージョンに修正部分のみが適用される場合もあります。表示されるバージョン番号だけでは判断せず、提供元の告知や修正済みパッケージの情報を確認することが重要です。

サーバー事業者から公開されているセキュリティ情報やメンテナンス情報で、契約中のサービスの対応状況を確認する必要があります。

事業者側で修正が適用済みの場合は、利用者による追加の更新作業が不要なこともあります。利用中のサービスやサーバーが告知の対象に含まれているか、確認が必要です。

利用者側で導入したPHPや、Dockerコンテナ内で使用されているPHPについて、管理担当者による確認が必要です。

サーバー基盤の更新が行われていても、アプリケーションの実行環境まで更新されているとは限りません。実際に稼働している環境への修正適用を確認する必要があります。

管理担当者に、次の事項を確認することが推奨されます。

PHPの更新に伴い、古いテーマやプラグイン、独自プログラムで不具合が発生する場合があります。WordPress公式の更新案内でも、更新前のバックアップや互換性確認、ホスティング事業者への確認が案内されています。

対応に当たっては、主に次の準備・確認が必要です。

同じ系列の修正版への更新で対応できる環境もあり、すべての環境で直ちに大幅なバージョン変更が必要となるわけではありません。

ただし、不具合の回避を目的として脆弱な旧版へ戻した場合、動作が復旧しても脆弱性への対策が完了したことにはなりません。更新が難しい場合は、管理担当者や提供元と対応方針を検討する必要があります。

※WordPressの更新案内には古い推奨バージョンの記述が残っています。更新先の選定には、PHP公式の最新情報と利用環境の対応状況をご参照ください。

株式会社マリートでは、PHPの利用環境の確認や更新支援に関するご相談を承っております。