【緊急】2026年10月21日に発表されたPHPの脆弱性は、すでに悪用の試みが確認されています。高市総理も自身のXで「大至急のお願い」として対応を呼びかけました。WordPressなどPHPで動くサイトをお持ちの方は、今すぐPHPのバージョンを確認してください。確認方法が分からない方は、ツクリコが無料でバージョンを確認します（ツクリコで作っていないサイトも対象です）。
「PHPに大きな脆弱性が見つかったと聞いたけれど、うちのWordPressサイトは大丈夫なのか」と不安に感じている方は多いはずです。2026年10月21日に発表されたPHPの脆弱性「php2shell」は、WordPressで作られた多くのサイトが対象になりうる深刻な問題です。発表直後から悪用の試みも確認されています。
※この記事は2026年10月22日時点の情報です。サーバー会社の対応などは変わることがあるため、契約しているサーバー会社の公式のお知らせもあわせて確認してください。
この記事では、ホームページに詳しくない経営者・担当者の方に向けて、脆弱性の中身、起こりうる被害、PHPバージョンの確認方法、バージョンごとにやることを順番に説明します。
2026年10月に見つかったPHPの脆弱性「php2shell」とは？
php2shellは、PHPというプログラム本体に見つかった、深刻度「緊急」の脆弱性2件の通称です。脆弱性とは、プログラムの中にある「セキュリティ上の弱点」のことで、攻撃者に悪用されると被害につながります。
- 発表日：2026年10月21日
- 脆弱性の番号：CVE-2026-109618、CVE-2026-109619
- 深刻度：CVSS 9.2（10点満点で、最も重い「緊急」にあたる評価）
- 修正版の公開：同日夜（日本時間）
- 影響：外部から、ログインなしでサーバー上のプログラムを勝手に実行されるおそれ（リモートコード実行）
修正版の公開と前後して、海外のセキュリティ会社から、実際に悪用を試みる攻撃を観測したと発表されています。修正前のPHPを使っているサイトは、狙われやすい状況です。
総理大臣もXで「大至急のお願い」と呼びかけ
10月21日夜には、高市総理が自身のX（旧Twitter）で、今回のPHPの脆弱性について次のように呼びかけました。
「皆様に、今夜に対応して頂きたい大至急のお願いです」
「可及的速やかに適用できるよう準備をお願いします」
出典：高市総理「大至急のお願いです」PHPの脆弱性に関する注意喚起受け 修正プログラム適用など対応呼びかけ（TBS NEWS DIG・Yahoo!ニュース、2026年10月21日）
総理大臣が直接、修正版の適用を呼びかけるほど影響の大きい問題です。会社のホームページも「うちは小さい会社だから関係ない」とは言えません。攻撃は、会社の大きさに関係なく、古いPHPのサイトを機械的に探して行われます。
そもそもPHPとは？
PHPは、ホームページを置いているサーバーの中で動くプログラムの言葉（プログラミング言語）です。WordPressの管理画面やブログの表示、お問い合わせフォームの送信などは、裏側でPHPが動くことで成り立っています。普段の画面には出てきませんが、WordPressサイトにとって土台にあたる部分です。
なぜ今回は、総理大臣まで呼びかけるほど急ぐの？
PHPの脆弱性は、これまでも何度も見つかってきました。それでも今回これほど急いで対応を呼びかけられているのは、主に次の3つの理由からです。
1. 弱点の中身が公開され、攻撃する側も知っている
脆弱性は、見つかってから修正版が出るまでの間、限られた関係者だけで扱われます。修正版が公開されると、どこに弱点があったのかという情報も世の中に出ます。今回も10月21日夜、修正版とあわせて技術的な詳しい情報が公開されました。
この時点から、攻撃する側も弱点の場所を知っている状態になります。これまで隠れていた危なさが表に出て、「直したサイト」と「まだ直していないサイト」の差がはっきりするのが、まさに今です。
2. AIを使って、攻撃の準備が早くなっている
今回の脆弱性は、セキュリティ会社がAIを使って見つけたものです。発見したセキュリティ会社のWizは、AIによって複雑な攻撃の手順も数時間で作れるようになったと説明しています（出典：Wiz「PHP2Shell」）。以前のように「情報が出てから攻撃されるまでに余裕がある」とは考えにくく、守る側も早く動く必要があります。
3. 影響を受けるサイトがとても多い
PHPは世界のWebサイトの約7割で使われているとされ（Wiz調べ）、WordPressもPHPで動いています。対象のサイトがこれだけ多く、すでに悪用の試みも観測されているため、総理大臣が「今夜のうちに」と呼びかけるほどの事態になっています。
WordPressのサイトも影響を受けるの？
WordPressはPHPで動いているため、多くのWordPressサイトが影響を受ける可能性があります。今回の脆弱性はPHP本体の問題で、PHP 5系・7系・8系と幅広いバージョンが影響を受けるとされています。
ここで大事なのは、WordPress本体やプラグインを最新に更新しても、今回の問題は直らないという点です。直すには、サーバーで動いているPHPそのものを修正版に更新する必要があります。
| 更新するもの | 今回の脆弱性への効果 |
|---|---|
| WordPress本体のアップデート | 直らない |
| プラグイン・テーマのアップデート | 直らない |
| サーバーのPHPを修正版へ更新 | 直る |
メールの送受信だけに使っているサーバーは、PHPのサイトを動かしていなければ直接の影響は基本的にありません。ただし、同じサーバーでWordPressなどPHPのサイトも動かしている場合は、そのサイトを入口にサーバー全体へ被害が広がるおそれがあるため注意が必要です。
悪用されると、どんな被害が起きるの？
悪用されると、攻撃者にサーバーを好き勝手に操作され、サイトの改ざんや情報漏えいが起こるおそれがあります。具体的には次のような被害が考えられます。
- ホームページの書き換え：内容を勝手に変えられたり、怪しいサイトへ飛ばされる仕掛けを入れられたりする
- 情報の漏えい：お問い合わせフォームで受け取った内容や、お客さまの個人情報が外部に漏れる
- 不正なプログラムの設置：ウイルスのようなプログラムを置かれ、ほかのサイトへの攻撃の踏み台にされる
- サイトの停止：サイトが表示されなくなり、問い合わせや売上の機会を失う
- メール関連の情報の流出：サーバー内にあるメールの設定や情報を取られるおそれがある
お客さまの情報が漏れると、会社としての信用にも関わります。被害が出てから対応するより、先にPHPを修正版にしておくほうが、手間も費用もずっと少なく済みます。
PHPのバージョンによって、やることが違うの？
今使っているPHPのバージョンによって、やることは大きく2つに分かれます。
| 今のPHPバージョン | 状況 | やること |
|---|---|---|
| PHP 8.2・8.3・8.4・8.5 | 公式のサポート中。修正版が出ている | 修正版（8.2.35・8.3.36・8.4.27・8.5.12）以上になっているかを確認する |
| PHP 8.1以下（7系・5系を含む） | 公式のサポートが終了。通常の修正版は出ない | サポート中のバージョン（8.2以上）へ上げる必要がある |
PHP 8.2以上を使っている場合、サーバー会社が自動で修正版を適用していることもありますが、すべてのサーバー会社・すべての契約がそうとは限りません。PHP 8.1以下の場合は、バージョンを上げる作業が必要になるため、次の章で説明する注意点をよく読んでください。
レンタルサーバーを使っていれば、サーバー会社が直してくれるの？
エックスサーバー・さくらのレンタルサーバ・ロリポップ・ConoHa WINGなどの共用レンタルサーバーでは、PHPの修正版を入れるのはサーバー会社です。利用者がPHP本体を入れ替えることはできません。各社とも10月21日から、緊急メンテナンスや管理画面の一時停止などの対応を始めています。
ただし、サーバー会社が直すのは、修正版が出ているPHP 8.2以上だけです。サイトでPHP 7.4や8.1などの古いバージョンを選んだままにしていると、そのバージョンには修正版が出ないため、サーバー会社の対応を待っていても直りません。
| サイトで選んでいるPHP | サーバー会社の対応で直るか | やること |
|---|---|---|
| 8.2・8.3・8.4・8.5 | 直る（修正版が入れば） | サーバー会社のお知らせで、修正版が入ったかを確認する |
| 8.1以下（7系・5系を含む） | 直らない | 8.2以上へ切り替える。表示や機能が崩れないか、先に確認が必要 |
古いバージョンを選んでいるサイトは、長い間更新されていないことが多く、切り替えると表示が崩れたり、お問い合わせフォームが動かなくなったりすることがあります。切り替える前に、次の章の方法で今のバージョンを確認してください。
自分のサイトのPHPバージョンはどこで確認できるの？
PHPのバージョンは、レンタルサーバーの管理画面か、WordPressの管理画面で確認できます。
レンタルサーバーの管理画面で確認する
- 契約しているレンタルサーバーの管理画面にログインする
- 「PHP設定」「PHPバージョン切替」などのメニューを開く（名前はサーバー会社によって違います）
- サイトのドメインごとに表示されているPHPのバージョンを確認する
WordPressの管理画面で確認する
- WordPressの管理画面にログインする
- 左のメニューから「ツール」→「サイトヘルス」を開く
- 「情報」タブを開き、「サーバー」の項目を開く
- 「PHPのバージョン」の欄に表示されている数字を確認する
「8.3.36」のように、小数点の後ろまで含めた数字を確認してください。サーバー会社によっては、今回の脆弱性について緊急メンテナンスなどのお知らせを出しています。自動で修正版が適用されるかどうかは、契約しているサーバー会社の公式のお知らせで確認しましょう。
自分でPHPのバージョンを上げても大丈夫？
慌てて自分でPHPのバージョンを変えるのは避けてください。古いテーマやプラグインが新しいPHPに対応していないと、次のような不具合が起こることがあります。
- サイトの画面が真っ白になり、何も表示されなくなる
- お問い合わせフォームが送信できなくなる
- WordPressの管理画面にログインできなくなる
バージョンを変える前にはバックアップを取り、変更後に表示とフォームの動きを確認できる人が作業するのが安全です。作業の流れは次のとおりです。
- サイトのデータとデータベースのバックアップを取る
- PHPのバージョンを変更する
- 主なページの表示と、お問い合わせフォームの送信を確認する
- 問題があれば、元のバージョンに戻して原因を調べる
自分で作業するのが不安な場合は、バージョンを変える前に、まず今の状態を専門家に知らせて相談してください。
ツクリコにPHPの確認・更新を相談できる？
ツクリコでは、PHPバージョンの確認を無料で受け付けています。ツクリコで作っていないサイトも対象です。他社で作ったサイトや、制作会社と連絡がつかなくなったサイトをお持ちの方こそ、ご相談ください。
ツクリコでは、10月21日の発表当日に、お客さまへ緊急の案内をお送りしました。サーバー管理画面でPHPのバージョンを見ていただき、表示されている数字（スクリーンショットでも構いません）を知らせてもらうようお願いしています。バージョンを変えると表示や機能に不具合が出ることがあるため、ご自身での変更はいったん控えていただき、まず今の状態を確認するところから始めています。
相談のときに分かると早い情報
- ホームページのURL
- 契約しているサーバー会社名（エックスサーバー・お名前.com・ロリポップなど）
- サーバー管理画面のログインURL
- ログインID
確認方法が分からない場合でも、上の情報を教えていただければ、こちらで確認します。パスワードは、必要になったときだけ、別の安全な方法で共有していただきます。確認したあと、更新が必要かどうかと、必要な対応をご案内します。
更新作業の料金
更新作業が必要な場合の料金は、サイトの作りや使っているテーマ・プラグインによって作業量が変わるため、確認したうえでお見積もりします。
拠点は大阪ですが、全国どこからでもオンラインで対応しています。今回の脆弱性はすでに悪用の試みが確認されています。PHPのバージョンが分からないままにせず、早めに確認してください。ご相談は無料相談から受け付けています。
PHPの脆弱性について、よくある質問
WordPressを最新に更新すれば大丈夫？
いいえ。今回の問題はPHP本体にあるため、WordPress本体やプラグインを更新しても直りません。サーバーのPHPを修正版にする必要があります。
お問い合わせフォームやファイルのアップロード機能がなければ大丈夫？
いいえ。PHPは、サイトのプログラムが動く前に、届いた通信の中身を読み取ります。今回の問題はその部分にあるため、フォームなどの機能の有無に関係なく、PHPで動いているサイトが対象です。
WordPressをメンテナンスモードにしておけば安全？
いいえ。メンテナンスモードは、PHPが動いたあとにWordPressが画面を切り替える仕組みです。PHPそのものの問題は防げません。
設定を変えるだけで防げる方法はある？
PHPの設定（session.upload_progress.enabled）をオフにすると、知られている攻撃の一部は防げるとされています。ただし完全には防げないため、PHPを修正版にすることが必要です（出典：GMO Flatt Security Blog）。
PHP 7.4のまま、今は問題なく動いているけれど？
表示に問題がなくても、PHP 7.4にはもう修正版が出ません。今回の脆弱性はそのまま残るため、8.2以上への切り替えが必要です。
ツクリコで作っていないサイトでも確認してもらえる？
はい。PHPバージョンの確認は無料で、ツクリコで作っていないサイトも受け付けています。他社で作ったサイトや、制作会社と連絡がつかなくなったサイトもご相談ください。
WordPressやPHPを使わないサイトに変えることもできる？
PHPの弱点が見つかるたびに、バージョンを確かめて更新するのは手間がかかります。ツクリコでは、WordPressのホームページを、見た目とページのアドレスはそのままで、WordPressやPHPを使わないサイトに作り替える「ちゃんとホームページ」を始めました。中で動いているものがなくなるので、それらを更新する作業もいらなくなります。
社内で記事を毎日のように更新したい場合など、WordPressが合うこともあります。合うかどうかも含めてお答えしますので、まずは今のホームページのURLを送るだけの無料チェックからご相談ください。ツクリコで作っていないホームページも対象です。
まとめ
PHPの脆弱性「php2shell」は、すでに悪用の試みが出ています。自分のサイトのPHPバージョンが分からない方は、まずバージョンを確認してください。慌てて自分でバージョンを変えず、分からなければ専門家に相談するのが安全です。
- 2026年10月21日、PHPに深刻度「緊急」（CVSS 9.2）の脆弱性2件が発表され、同日に修正版が公開された
- WordPress本体やプラグインの更新では直らない。サーバーのPHPを更新する必要がある
- PHP 8.2以上は修正版（8.2.35・8.3.36・8.4.27・8.5.12）以上かを確認する
- PHP 8.1以下はサポートが終わっているため、サポート中のバージョンへ上げる必要がある
- バージョンはサーバー管理画面か、WordPressの「サイトヘルス」で確認できる
- 自分でバージョンを変えると、表示やフォームが動かなくなることがある
今回の脆弱性で少しでも不安があれば、お問い合わせください。PHPのバージョン確認は無料で、ツクリコで作っていないサイトも受け付けています。
