PHP2shellとは？ WordPressサイトが今すぐ確認すべきこと
2026年10月、PHPに重大な脆弱性「PHP2shell」が見つかり、実際に攻撃も確認されています。WordPressのサイトにどんな影響があるのか、サイトを持つ会社やお店が今すぐ確認すべきことを、専門用語をなるべく使わずにまとめました。
01PHP2shellとは
PHP2shell（PHP2Shell）は、2026年10月21日にPHPの開発チームが修正版を公開した、2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）の呼び名です。PHPは、WordPressをはじめ多くのWebサイトで使われているプログラミング言語です。
この脆弱性を突かれると、ログインしなくても、外部からサーバー上でプログラムを実行されるおそれがあります。情報の漏えいや、サイトの改ざん、サーバーの乗っ取りにつながる可能性があるため、深刻度は10段階中9.2（CVSS v4.0）と「緊急」に評価されています。
- 10月17日：修正版の公開より前に、攻撃の試みが観測されたと報告
- 10月21日：PHPの開発チームが修正版を公開
- 10月26日：米国の政府機関（CISA）が「実際に悪用が確認された脆弱性」の一覧に追加
02WordPressのサイトは影響を受けるの？
WordPressはPHPで動いているため、サーバーのPHPが古いままなら、影響を受けます。セキュリティ企業の検証では、初期状態のWordPressでも、ログインなしでプログラムを実行できたと報告されています。
注意したいのは、WordPress本体やプラグインを更新しても、この問題は直らないことです。直すには、WordPressの土台になっているサーバーのPHPそのものを、修正済みのバージョンに更新する必要があります。
03今すぐ確認すべき5つのこと
- サーバーのPHPのバージョンを確認するレンタルサーバーの管理画面などで確認できます。修正済みのバージョンは、8.5.12、8.4.27、8.3.36、8.2.35です（それぞれの系列で、これ以降なら修正済み）。PHP 8.1以前は公式のサポートが終わっているため、早めに新しい系列への切り替えを検討してください。
- レンタルサーバー会社のお知らせを確認する共用のレンタルサーバーでは、PHPの更新はサーバー会社が行います。対応済みかどうか、お知らせやサポートページを確認しましょう。
- 管理を任せている会社に確認するサイトの管理を制作会社などに任せている場合は、PHP2shellへの対応状況を問い合わせてください。
- おかしな変化がないか確認する見覚えのないページやファイル、管理ユーザーが増えていないか、サイトが書き換えられていないかを確認します。攻撃が確認されたからといって、すべてのサイトが被害を受けたわけではありませんが、念のため確認しておきましょう。
- すぐに更新できない場合は、公開の一時停止も検討する英国の政府機関（NCSC）は、すぐに修正できないシステムはいったんネットから切り離すことも検討するよう呼びかけています。
04「更新を頑張る」から「狙われにくい仕組み」へ
WordPressのサイトを安全に保つには、本体やプラグインに加えて、今回のようにサーバーのPHPの更新まで続ける必要があります。けれど、更新や管理の担当者がいない会社やお店も多いのが実情です。
そこでCODE4では、PHPもWordPressも使わず、完成したページをそのまま配信する「静的なサイト」をおすすめしています。表示のたびにPHPを動かさないので、今回のようなPHPの脆弱性の影響を受けず、ログイン画面や管理画面といった入口もありません。
この仕組みで、デザインから構築・管理までをお任せいただけるのが、月額制ホームページです。今のWordPressサイトからの乗り換えもご相談いただけます。
05まとめ
- PHP2shellは、ログインなしで外部からプログラムを実行されるおそれがある、PHPの重大な脆弱性です。
- WordPressのサイトも、サーバーのPHPが古ければ影響を受けます。WordPressの更新だけでは直りません。
- まずはPHPのバージョンと、サーバー会社・管理会社の対応状況を確認しましょう。
自分のサイトが大丈夫か分からない場合も、お気軽にご相談ください。
※この記事は2026年11月時点の情報をもとにしています。最新の情報は、PHPの公式発表やご利用のサーバー会社のお知らせをご確認ください。