「php2shell」とは何か——PHPの脆弱性で、国内の主要サービスが止まった理由
独自分析
2026年10月22日 07:30更新｜出典：PHP Foundation、GMO Flatt Security、SecurityWeek、piyolog、ITmedia、電撃オンライン ほか
PHPに見つかった重大な脆弱性「php2shell」への対応で、2026年10月21日は、国内のサービスが次々と止まった。ゲーム、通販、行政のシステム、レンタルサーバーまで、止まった範囲は広い。いま分かっていること、まだ分からないこと、そしてサイトを運営している人が確認しておきたいことを、順番に整理する。
Contents
php2shellとは何か
php2shellは、PHPのエンジン部分に見つかった2件の重大な脆弱性につけられた通称だ。識別番号はCVE-2026-109618とCVE-2026-109619。深刻度の目安であるCVSS v4.0は、2件とも9.2で、最も重い「Critical」に入る。
PHP Foundationの説明を、できるだけ平たく言い直すとこうなる。
メモリの上限に、ちょうど悪いタイミングで達すると、PHPの内部に「中途半端な状態のデータ」が残る。PHPはそれを正しいものと思い込み、メモリを壊してしまう。Apache + mod_phpの環境では、ログインなどの認証なしで送れるリクエストでも、アプリのプログラムが動き出す前に引き起こせると説明されている。
致命的なエラーが起きたとき、内部の記録が、すでに片づけたはずの前のリクエストのメモリを指したまま残る。次のリクエストがそれを使うと、メモリの「使い終わった場所」を触ってしまう（use-after-free）。研究者は、実際のアプリケーションに対する任意コードの実行を実演したという。
ポイント
たとえるなら、混雑した店で店員がメモを取り違え、前のお客さんのメモを今のお客さんの対応に使ってしまうようなものだ。これは分かりやすくするためのたとえで、仕組みそのものとは違う。大事なのは、WordPressなどのアプリに落ち度はなく、問題はその下で動くPHP自体にある、という点だ。
修正版は次のとおり。
古い版については、公式の発表と報道で少し食い違う。SecurityWeekは、7.4、8.0、8.1にも最小限の修正（バックポート）が出たと伝えている。ただ、私が今回確認できた範囲では、PHP Foundation自身のページには「サポート中のすべてのブランチ」としか書かれていなかった。一方、エックスサーバーは22日の告知で、公式修正版がない古いPHPには、独自の修正を作って、検証が済んだものから順に適用していると案内している。古い版の扱いは会社ごとに違うと思ったほうがいい。古いPHPで動かしているサイトは、サーバー会社や公式の案内を直接確認してほしい。
なぜ止まる前に騒ぎになったのか
今回の特徴は、修正版が出る前に、情報が漏れ始めたことだ。修正が出る前の数時間は、守る側にとって、いちばん手を打ちにくい時間になる。
独自考察
脆弱性の修正は、攻撃者に知られないよう、日付を揃えて静かに配る約束で進められる。今回はその約束が、番号の流出、動画、先出しのイメージと、三段階で崩れた。守る側が準備する時間は、予定よりかなり短くなったと思う。これは今回に限らず、次の大きな脆弱性でも起こりうる。
攻撃は始まっているのか
ここは、情報源によって見方が分かれる。どちらか一方だけを見ると、実態を読み違えるので、並べて書く。
SecurityWeekによると、watchTowrは、修正版が出るころに、自社のセンサーへ最初の攻撃の試みが来たと報告した。Hadrianは「大規模に悪用されているのを確認した」と書いている。PatchstackとCloudflareも、公開日の早い時間に攻撃の試みを観測したという。Patchstackのページでは「複数の悪用を確認」とも書かれている。
watchTowr自身は、成功した攻撃はまだ見ていないと話している。PHP Foundationも、公開の時点で実際に動く攻撃コードは見つけていないとしつつ、実証コードが出回っていることは認めている。日本のIPAやHuntressなども、悪用は確認していないとされる（piyologの整理による）。
まとめると、「攻撃の試みは始まっている」ことは、ほぼ共通している。一方で、「実際に乗っ取られた例が出ているか」は、まだはっきりしない。試みと成功は別のものだ。ただ、時間がたつほど、成功の報告が増える可能性は高いと思う。
国内で何が止まったのか
piyologの集計では、21日の22時台までに、国内の54組織がサービスの停止や緊急メンテナンスを告知したという。確認できた例は次のとおり。なお、停止の理由にPHPを明記していない組織もある。
どの組織も、現時点で「被害が出たから止めた」とは言っていない。修正版が出る前に、念のため止めたケースが多い。
WordPressとレンタルサーバーへの影響
WordPressで動くサイトは、PHPの上に乗っている。GMO Flatt Securityは、WordPress、Laravel、Symfonyなどの構成で攻撃が再現したと書いている。つまり、WordPressも影響を受ける側に入る。
ここで間違えやすい点がある。WordPress本体やプラグインを最新にしても、今回の穴はふさがらない。直すべき場所は、WordPressより下のPHPだ。
レンタルサーバー各社の動きは、21日夕方の時点で、次のとおりだった（21日の状況はskypenguin.netの調査による）。
他社の情報は21日夕方のもので、22日になって状況は変わっているはずだ。契約しているサーバー会社の最新のお知らせを、必ず見てほしい。
サイト運営者が今できる備え
特別な道具がなくても、今日から確認できることを選んだ。
応急処置について
GMO Flatt Securityは、php.iniで「session.upload_progress.enabled=0」と「fatal_error_backtraces=0」の2つを無効にする方法を挙げている。ただ、これは実証された攻撃の一部を減らすだけで、別の経路は残る可能性があるとも書いている。PHP Foundationも、緩和策は特定の攻撃経路への露出を減らすだけで、安全にするものではないとしている。あくまで時間稼ぎとして考えたほうがいい。
止めたのは正しかったのか
今回の対応には、二つの見方があると思う。
修正版が出る前は、守る手段がほとんどない。しかも実証動画が出回り、攻撃の試みも観測されていた。個人情報や決済を扱うサービスなら、数時間止めるほうが、乗っ取られたあとの対応より安く済む可能性がある。
成功した攻撃が確認されていない段階で、介護情報のような生活に関わるシステムまで止まった。利用者が困る場面もあった。サービスごとに危険度を見分けて、止める範囲を絞る方法もあったのではないか、という意見は出てくるだろう。
独自考察
どちらが正しいかは、そのサービスが何を預かっているかで変わると思う。大事なのは、止めるか止めないかを、その場で慌てて決めないことだ。「PHPが動いている場所を把握しているか」「更新の担当者が決まっているか」を、普段から確認しておく。今回止まった組織の多くも、まずそこを洗い出すところから始めたはずだ。小さなサイトの運営者こそ、一度、自分のサイトのPHPがいつ誰によって更新されるのかを確かめておいたほうがいい。
今後の注目点
・実際に乗っ取られた例が、国内外で確認されるか
・サーバー会社各社の、PHP更新の完了時期と利用者への案内
・古いPHP（8.1以前）を使い続けているサイトの扱い
・エックスサーバーなどが進める、古いPHP向けの独自修正がいつ全部そろうか
・同じ種類の穴が、ほかにも見つかるか（Wizは、2件の番号が、すべての変種を含むわけではないと指摘している）
よくある質問
php2shell（ピーエイチピー・ツー・シェル）とは何ですか？
PHPのエンジン部分に見つかった、重大な脆弱性2件（CVE-2026-109618とCVE-2026-109619）の通称です。外部から細工したリクエストを送られると、サーバー上で好きなコードを動かされる恐れがあります。深刻度は、2件とも9.2とされています。
WordPressを最新にすれば安全ですか？
いいえ。今回の問題はWordPressの外側、その下で動くPHPにあります。WordPress本体やプラグインを更新しても解消しません。PHPを修正版（8.5.12、8.4.27、8.3.36、8.2.35など）に上げる必要があります。
レンタルサーバーを使っている場合は何をすればよいですか？
まず、契約しているサーバー会社の案内を確認してください。PHPの更新を会社側が行うのか、利用者の操作が必要なのかで、やることが変わります。あわせて、現在のPHPのバージョンと、更新前のバックアップを確認しておくと安心です。
まとめ
php2shellは、PHPのエンジン部分に見つかった、深刻度9.2の脆弱性2件の通称だ。WordPressを含む多くのサイトが乗っているPHPの問題なので、WordPressを更新しても解消しない。攻撃の試みは観測されているが、成功した例はまだはっきりしない。まずPHPのバージョンを確認して、サーバー会社の案内に従って更新する。それだけでも、一度やっておきたい。
主な出典
- PHP Foundation「Today’s PHP security release and how we’re strengthening PHP security」
- GMO Flatt Security「php2shell」
- SecurityWeek「PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors」
- Patchstack「PHP major vulnerability alert（10/2026）」
- piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」
- ITmedia NEWS「PHPに「緊急」レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ」
- 電撃オンライン「【PHP脆弱性】『ウマ娘』など複数ゲームが21日23時より緊急メンテ」
- エックスサーバー【公式】X「【重要なお知らせ】予防的な安全対策のため、当社アカウント管理画面等へのアクセスを一時停止しております」
- skypenguin.net「PHPの重大な脆弱性、レンタルサーバー各社の対応は？」
© 2026 AI Global Times. All rights reserved.
プライバシーポリシー ｜ 運営者情報 ｜ AI利用ポリシー ｜ ファクトチェック基準 ｜ お問い合わせ