【2026年10月】PHPの脆弱性｜ホームページで確認すること

2026年10月21日、PHPの重大な脆弱性2件と修正版が公表されました。ホームページを持つ会社の担当者向けに、自社サイトが対象かの見分け方、PHPバージョンの確かめ方、いま何をすればよいかを解説します。

「PHPの脆弱性」というニュースを見て、うちのホームページは関係あるのか、何をすればよいのか、と迷っている方に向けた記事です。専門の担当者がいない会社でも確認できる順番でまとめました。三重県津市でホームページ制作と公開後の直しを続けてきた立場から、東海（三重・愛知・岐阜）の会社の担当者が制作会社やサーバー会社に問い合わせるときの聞き方も載せています。

この記事の情報は2026年10月22日時点のものです。悪用状況やサーバー会社の対応は変わる可能性があるため、新しい情報が出たら追記します。

先に結論：まずやることは3つです。 ①契約先サーバー会社のお知らせを見る、②自社サイトのPHPバージョンを確かめる、③8.1以前やVPS・自社サーバーなら制作会社・保守会社や管理者に相談する。詳しい5項目のチェックリストは後半にまとめています。

PHPの脆弱性とホームページ：重大な欠陥が見つかり修正版が出ました

PHP（ホームページの裏側で動くプログラム言語）の開発元は、2026年10月21日に重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正した版を公開しました。

CVSSは、脆弱性の深刻度を0〜10の点数で表す共通の指標です。採点方法の版（v3.1とv4.0）や採点する機関によって点数が変わるため、版と付与元を並べて書いています。どちらの点数でも、いちばん上の区分「Critical（緊急）」に入ります。

「PHP2Shell」とは

IPA（情報処理推進機構）は、この2件の組み合わせを「PHP2Shell」と呼んで注意を呼びかけています。

PHPの開発元によると、対象はWebのリクエストを処理するすべてのPHPです。なかでも Apache の mod_php という動かし方が最もリスクが高いとされています。根本的な対策は修正版への更新だけで、設定変更による回避策は一時しのぎと位置づけられています。

悪用は確認されているか（10月22日時点）

情報源によって見方が分かれています。

• 米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、公表時点で悪用を観測していないとしました。CISAが悪用を確認した脆弱性をまとめた一覧（KEV）にも、10月22日時点で掲載はありません
• 国内のJPCERT/CCの注意喚起とIPAの情報（いずれも10月22日公開）にも、悪用を確認したという記述はありません
• カナダ政府のサイバーセキュリティセンターも活発な悪用は確認していないとしつつ、PoC（攻撃が成り立つことを示すコード）が入手できるとする公開情報を確認したと報告しています
• 一方、セキュリティ企業の watchTowr は、10月21日時点で実際の悪用を観測したと報告しています

公的機関は「未確認」、民間のセキュリティ企業の一部は「観測」という状況です。いずれにしても、CISAは修正版への即時更新を求めています。契約先が対応済みなら利用者の作業は多くありませんが、まだ確かめていなければ、後回しにせず早めに確認してください。

自社サイトは対象か：WordPressや「.php」のURLが目安です

PHPを使っているかどうかは、次の点を見ると見当がつきます。

• WordPressで作ったサイト：WordPressはPHPで動くため、PHPを使っています
• URLの末尾が「.php」のページがある：そのページはPHPで動いています
• URLに「/wp-admin/」「/wp-content/」が出てくる：WordPressのサイトです
• お問い合わせフォームや会員ページがある：ページ自体はHTMLでも、フォームの送信処理だけPHPで動いていることがあります

当てはまらなくても、PHPを使っていないとは言い切れません。制作会社が独自に作ったシステムや、PHPが組み込まれた製品の場合もあります。JPCERT/CCは、PHPを組み込んだ製品やLinuxのPHPも影響を受ける可能性があるとして、各提供元の情報を確認するよう求めています。判断がつかない場合は、制作会社や保守会社に聞くのが確実です。

PHPバージョンの確かめ方：管理画面かコントロールパネルで見られます

WordPressの場合

WordPressの管理画面で「ツール → サイトヘルス → 情報 → サーバー」と進むと、サーバーの情報の中でPHPのバージョンを確認できます（確認場所はWordPress公式ドキュメントによる）。この画面は確認用で、ここから設定は変えられません。

WordPressの推奨はPHP 8.3以上です。PHP 7.4などの古い版は公式のサポートが終わっており、脆弱性にさらされうると公式の動作要件に書かれています。

レンタルサーバーの場合

多くのレンタルサーバーでは、コントロールパネルのPHP設定画面に、いま使っているバージョンが表示されます。主な事業者の公式マニュアルやお知らせに載っている場所は次のとおりです。

画面は変わることがあり、プランによっても場所が違います。上の表にない事業者（エックスサーバーなど）も含め、契約先の公式マニュアルで確認してください。

バージョンの変更は、確認とは別の作業です。 バージョンを変えると、テーマやプラグイン、独自のプログラムが動かなくなることがあります。新しいPHPで動くかを確かめてから変更してください。

見るべきは「系列」と「対応済みかどうか」です

共用のレンタルサーバーでは、使っているバージョンのまま事業者が修正を当てる場合もあります（ConoHa WINGの告知など）。画面の番号だけで判断せず、契約先の告知もあわせて確認しましょう。

PHPの脆弱性で何をすれば良いか：まず5項目を確認します

担当者がやることは、次の5つです。

1. 契約先サーバー会社のお知らせを見る：「PHP」「脆弱性」の告知が出ていないか、対応済みか
2. PHPのバージョンを確かめる：WordPressのサイトヘルスか、コントロールパネルで
3. 8.1以前なら、制作会社・保守会社に相談する：自分でバージョンを上げる前に、サイトが動くか確かめてもらう
4. VPS・専用サーバー・自社サーバーなら、管理者に「修正版に更新したか」を聞く：事業者が更新するマネージド型でなければ、利用者側（または保守会社）が更新します
5. 8.2を使っている場合は、次の更新時期も決めておく：8.2のセキュリティサポートは2026年12月31日で終わります

サーバーの種類によって、誰がPHPを更新するかが変わります。共用サーバーは事業者がPHPを管理し、VPS・専用サーバーは自分たち（または保守会社）が管理します。マネージド型は事業者が管理を代行する形です。どれか分からなければ、契約書やコントロールパネルに出ているプラン名を確認してください。

サーバー会社の対応状況（10月22日時点・公式告知で確認できたもの）

• さくらインターネット：選択できるすべてのPHPバージョンで対応を完了。利用者の緊急対応は不要としつつ、サポート期間内の最新版への移行を勧めています
• KAGOYA：レンタルサーバー（PHP 8.2〜8.5系）は修正版へ順次更新の予定。マネージド専用・共用・WordPress専用サーバーは恒久対応を調整中で、暫定措置として公開停止やアクセス制限の検討を案内しています。悪用や情報漏えいは確認されていないとしています
• ConoHa WING：サーバーへの修正を順次適用中。利用者自身がPHPのバージョンを変える必要はないとしています
• ロリポップ！：10月21日付で、修正版の公開に先立つ予防措置のメンテナンスを告知しています。安全な運用に支障があると判断した場合は「お客様のサイトを保護するため、予告なくお客様のサイトを停止（制限）させていただく場合がございます」としています

ほかの事業者については、契約先の公式のお知らせを確認してください。対応状況は日々更新されています。

8.1以前・自社サーバーの場合：更新できるまで、公開を止めるかどうかを判断します

PHP 8.1は2025年12月31日にサポートが終わっており、今回の修正版は出ません。この場合の考え方は、各機関で次のように示されています。

• CISA：すぐ更新できない場合や8.1以前を使っている場合は、更新できるまでPHPで動くシステムをオフラインにするよう求めています。WAF（不正な通信を防ぐ仕組み）は一部の防御にとどまるとしています
• IPA：サポートされている版への更新か、対策済みの製品・サービスへの移行を検討するよう案内しています。更新までは暫定対策やアクセス制限を行い、難しければ外部からのアクセス遮断やサービスの一時停止が必要かを判断するよう求めています

VPSや自社サーバーを管理している方は、PHPの開発元が回避策（session.upload_progress.enabled=0 など）を出しています。ただし開発元自身が完全な対策は更新だけとしているため、あくまで更新までのつなぎです。設定はサーバー管理者が行ってください。

攻撃を受けた可能性を調べる確認点も、JPCERT/CCの注意喚起（参考資料）にサーバー管理者向けに載っています。痕跡がなくても攻撃を受けていないとは言い切れない、とされています。

制作・保守会社に伝えること：URL・サーバー・PHPバージョン

自分で確かめるのが難しければ、制作会社や保守会社に聞くのが確実です。次の内容を伝えると、やり取りが少なく済みます。

• サイトのURLと、WordPressなど使っている仕組み（分かる範囲で）
• 契約しているサーバー会社とプラン名
• 聞きたいこと：「PHPのバージョンは何か。8.5.12／8.4.27／8.3.36／8.2.35 以上、または修正済みか」
• 共用サーバーなら事業者側で修正済みか。VPSや自社サーバーなら、誰が更新するのか
• PHPを上げる場合、テーマ・プラグイン・独自のプログラムは動くか。バックアップと動作確認の段取り
• 問い合わせフォームや会員ページなど、PHPで動いている機能はどこか
• 8.2を使っているなら、サポートが終わる年末までにどうするか

更新漏れが乗っ取りや改ざんの入口になる、という構図は以前からあります。WordPressの改ざんについてはWordPressの乗っ取り、改ざんに注意！でも取り上げました（2018年の記事です）。

まとめ

• 2026年10月21日、PHPの重大な脆弱性2件（通称 PHP2Shell）の修正版 8.5.12／8.4.27／8.3.36／8.2.35 が公開されました
• 10月22日時点で、公的機関は悪用を確認していません。一部のセキュリティ企業は観測を報告しています
• WordPressのサイトや「.php」のページがあれば、PHPを使っています
• バージョンはWordPressのサイトヘルスか、サーバーのコントロールパネルで確認できます
• 8.1以前、VPS、自社サーバーの場合は、制作会社・保守会社や管理者への相談を急いでください

ご相談はこちら

「自社サイトがどのPHPで動いているか分からない」「作った会社と連絡が取りにくい」という場合は、サイトのURLと、分かる範囲でサーバーの契約情報を教えてください。当社は三重県津市で2002年からホームページ制作とシステム開発を続けており、確認から修正、公開後の直しまで同じ担当が対応します。東海（三重・愛知・岐阜）の会社はもちろん、オンラインで県外のご相談も受け付けています。

PHPの確認・サイト改修について相談する

関連ページ: ホームページ制作 ／ 当社の強み

参考資料

• PHP「News Archive 2026」（2026年10月20日・21日）https://www.php.net/archive/2026.php
• PHP「Supported Versions」https://www.php.net/supported-versions.php
• PHP サポート終了したバージョンの一覧 https://www.php.net/eol.php
• php-src Security Advisory GHSA-w8hw-w9fx-j79w（CVE-2026-109618）https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• php-src Security Advisory GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（JPCERT-AT-2026-0033、2026年10月22日）https://www.jpcert.or.jp/at/2026/at260033.html
• IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
• JVN「JVNVU#99905564」（2026年10月22日）https://jvn.jp/vu/JVNVU99905564/
• CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日）https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• CISA「Known Exploited Vulnerabilities Catalog」https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• NVD「CVE-2026-109618」https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-109618
• NVD「CVE-2026-109619」https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-109619
• Canadian Centre for Cyber Security「AL26-026」（2026年10月21日）https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619
• watchTowr「Frequently Asked Questions About PHP Remote Code Execution (PHP2Shell CVE-2026-109618 & CVE-2026-109619)」https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
• WordPress.org「Site Health Screen」https://wordpress.org/documentation/article/site-health-screen/
• WordPress.org「Requirements」https://wordpress.org/about/requirements/
• さくらインターネット「PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について」（2026年10月22日）https://help.sakura.ad.jp/notification/n-2700/
• さくらのレンタルサーバ「PHPのバージョンを変更したい」https://help.sakura.ad.jp/rs/2241/
• KAGOYA「【KAGOYA】PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について」（2026年10月22日）https://www.kagoya.jp/news/2026102237094/
• KAGOYA「PHPバージョンの変更」https://support.kagoya.jp/kir/manual/php_version/change.html
• ロリポップ！「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」（2026年10月21日）https://lolipop.jp/info/news/8237/
• ロリポップ！「PHP設定」https://lolipop.jp/manual/user/php-setting/
• ConoHa WING「【重要】PHPの脆弱性への弊社対応について」（2026年10月22日）https://www.conoha.jp/wing/news/?btn_id=news--news_wing-news&ap=2015054903
• ConoHa WING PHP設定のマニュアル https://support.conoha.jp/w/configphp/
• お名前.com PHP 8.5提供開始のお知らせ（PHPバージョンの設定場所を記載。2026年2月12日）https://www.onamae.com/news/article/11328/