PHPの重大な脆弱性（php2shell）への当社の対応について

保守の案内向けに配信しております。

平素より大変お世話になっております。株式会社グレート・ビーンズです。

2026年10月21日（日本時間）、ホームページを動かすプログラム「PHP」の重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619、通称「php2shell」）について、開発元が修正バージョンを公開しました。すでに実際の攻撃が確認されているとの報告もあります。
当社で保守を担当しているサイトへの影響と、当社の対応についてご報告いたします。

結論

• 当社で保守を担当しているサイトの多くはPHPで動いているため、影響を受ける可能性があります。
• 万一に備えて、10月21日の夜から、保守を担当しているサイトのバックアップ（ファイルとデータベースの控え）を順に取っています。
• PHP本体の修正は、サーバー会社が行うものです。レンタルサーバー各社が、緊急メンテナンスや影響の調査を進めています。
• 各サーバー会社の対応を確かめたうえで、サイトごとの方針を早急に決定し、改めてご案内いたします。

どのような脆弱性か

PHPは、WordPressをはじめ、多くのホームページを動かしているプログラムの仕組みです。今回の脆弱性は、外部から特殊な通信を送られることで、サイトの乗っ取りにつながるおそれがあるものです。

• ログインや管理画面での操作がなくても、外部から直接狙われる可能性があります
• PHPの幅広いバージョンが対象です
• 修正バージョン（8.2.35／8.3.36／8.4.27／8.5.12）が、10月21日に公開されました
• PHP 8.1以前は公式のサポートがすでに終わっているため、修正バージョンが出ていません

当社としてのリスク評価

一般的なリスク：高（緊急）

危険度（CVSS）は10点満点中9.2で、もっとも高い「緊急（Critical）」に当たります。WordPressのサイトでも、ログインなしで乗っ取れることが確かめられたとの報告があり、サイトの設定やプラグインの構成に関係なく狙われる可能性があります。そのため、緊急度の高いものと判断しました。

当社がすでに始めていること

10月21日の夜から、当社で保守を担当しているサイトについて、バックアップ（ファイルとデータベースの控え）を順に取っています。

• 万一、改ざんなどの被害が起きた場合でも、この控えからサイトを元の状態に戻せるようにするためです
• サイトを止めずに行っています
• 取り終えたあと、サイトごとに控えがきちんと取れているかを確かめます

サーバー会社の対応状況

PHPは、サイトを置いているサーバーの側に入っているプログラムです。レンタルサーバーをお使いの場合、修正バージョンへの更新は、サーバー会社が行います。

レンタルサーバー各社は、緊急メンテナンスや管理画面の一時停止、影響の調査などを進めています。修正バージョンへの更新の予定を発表した会社もありますが、修正バージョンが出ていないPHP 8.1以前の扱いは、まだ多くの会社で決まっていません（10月22日0時時点）。

PHP 8.1以前については、サーバー会社の判断で独自の修正が入る場合や、PHPが新しいバージョンへ引き上げられる場合が考えられます。PHPが引き上げられると、サイトの作りによっては表示や動作に影響が出るおそれがあります。その場合も、当社で影響を確かめて対応します。

今後の方針

各サーバー会社の対応がそろい次第、次の順で進めます。

1. バックアップを取る（実施中）
   保守を担当しているサイトの控えを順に取っています。
2. サーバー会社の対応を確かめる
   サイトごとに、修正バージョンへ更新されるか、PHPが引き上げられるかなど、サーバー会社の対応を確かめます。
3. サイトごとの方針を早急に決定し、ご案内する
   対応が必要なサイトのお客様には、方針とあわせて個別にご連絡いたします。お客様や他社が管理しているサーバー（クラウドや自社のサーバーなど）の場合は、サーバーの管理者による更新が必要になるため、あわせてご相談させていただきます。

お客様へのお願い

• サーバー会社から、PHPやメンテナンスに関するお知らせが届いた場合は、当社にも転送してください。サーバーをお客様名義でご契約の場合、お知らせはお客様に届きます。
• サーバーの管理画面で、PHPのバージョンを変更しないでください。古いPHPから一気に引き上げると、サイトが表示されなくなることがあります。変更が必要な場合は、当社へご相談ください。
• サイトの表示がおかしい、見覚えのないページがあるなど、気になる点があれば、すぐにご連絡ください。

参考（公式情報）

• PHP：セキュリティ勧告（CVE-2026-109618）（英語）
• PHP：セキュリティ勧告（CVE-2026-109619）（英語）
• PHP：修正バージョンの公開のお知らせ（英語）
• GMO Flatt Security：php2shellの解説
• Sansec：php2shellの調査（WordPressなどでの成立の報告）（英語）

※本記事は2026年10月22日0時時点の公式情報をもとにしています。

ご不明な点がございましたら、お気軽にお問い合わせください。

保守サポートをお申し込みいただければ、ご利用いただけます。

スポットでも対応できますので、まずはお尋ねください。