首相まで呼びかけた「PHPの脆弱性」とは？ホームページを持つ人に起こり得ることと、今やること
2026年10月21日、首相や警視庁、国家サイバー統括室が、X（旧Twitter）で「PHP」の脆弱性について異例の呼びかけを行いました。
ニュースでは「リモートコード実行」「CVSS」「mod_php」といった言葉が並びますが、ホームページを持つ人にとって大事なのは、自分のサイトに何が起こり得て、何を確認すればよいかです。
この記事では、今回の件を専門用語をできるだけ使わずに整理します。内容は2026年10月22日時点の情報です。
この記事でわかること
- 今回、何が起きたのか
- PHPとは何か、なぜ多くのサイトに関係するのか
- 攻撃されると、サイトに何が起こり得るのか
- ホームページを持つ人が、今確認すること
何が起きたのか
PHPの開発チームは、2026年10月20日（協定世界時）に、重大な脆弱性2件を修正する更新を予告しました。2件とも深刻度は10段階で9.2（CVSS v4.0）と評価されています。
| 日時（日本時間） | 出来事 |
|---|---|
| 10月20日〜21日 | PHPの開発チームが重大な脆弱性2件と、修正版の公開予定を告知 |
| 10月21日 | 首相、国家サイバー統括室、警視庁などが、PHPの利用確認と更新の準備を呼びかけ |
| 10月21日 午後〜夜 | 国内でも多くのサービスが、この対応と見られる一時停止・メンテナンスに入ったと報道 |
| 10月21日 23時 | 修正版（8.5.12／8.4.27／8.3.36／8.2.35）を公開 |
通称は「PHP2Shell」。正式な番号は CVE-2026-109618 と CVE-2026-109619 です。
PHPは、サイトの「厨房」
PHPは、サイトの裏側でページをその場で組み立てるプログラムの仕組みです。
お店に例えると、こうなります。
| お店 | ホームページ |
|---|---|
| お客さんの注文 | ページを見に来たアクセス |
| 厨房 | PHP |
| できた料理 | 画面に表示されるページ |
WordPressで作ったサイトも、PHPで動いています。世界のWebサイトの約7割がPHPを使っているとも言われ、影響の範囲が広いことが、今回これほど大きく報じられた理由の一つです。
何が危ないのか：外から命令を実行される恐れ
今回の脆弱性は、外から細工したアクセスを送るだけで、サーバーの上で攻撃者の命令を実行される恐れがあるものです。ログインもパスワードも必要ありません。
専門用語では「リモートコード実行（RCE）」と呼ばれ、脆弱性の中でも特に危険な種類です。
厨房で例えるなら、注文票に「厨房の金庫を開けて、中身を渡すこと」と一行書き足されて、料理人がそのとおりに動いてしまうような状態です。
原因は、PHP本体の「後片付け」
PHPの公式の説明をかみくだくと、原因は次の2つです。
- 処理が途中で止まったときの後片付け：メモリが足りずに処理が途中で止まったとき、作りかけのデータを正常なものとして扱ってしまう
- 前のアクセスの情報が残る：使い終わったはずの情報が残り、同じ仕組みが次のアクセスを処理するときに使われてしまう
注意したいのは、これがPHP本体の問題だということです。PHPの公式は、Apacheと一体で動かす方式（mod_php）で、ログインなしのアクセスによって、サイトのプログラムが動く前に攻撃が成立することを実証したとしています。PHP-FPM などほかの動かし方も、Webのアクセスを処理するものは対象です。
つまり、WordPressのプラグインやテーマを最新にしていても、土台のPHPが古ければ防げません。
攻撃されると、何が起こり得るのか
サーバーの上で命令を実行されると、攻撃者は多くのことができてしまいます。一般的に、次のような被害が起こり得ます。
| 起こり得ること | 例 |
|---|---|
| ページの改ざん | 偽のサイトや詐欺のページへ誘導される |
| データの流出 | 問い合わせの内容、会員情報、顧客情報など |
| 裏口の設置・踏み台 | 迷惑メールの送信や、ほかのサイトへの攻撃に使われる |
| 停止と説明 | サイトの停止、お客様や取引先への説明、信用の損失 |
これらは今回の件で実際に確認された被害の一覧ではなく、サーバーを乗っ取られた場合に起こり得ることの例です。
古いPHPは、直らない
影響は、10年以上前のバージョン（5.4）から最新版まで幅広く及びます。
| PHPのバージョン | 状態 |
|---|---|
| 8.5 | 修正版 8.5.12 で修正 |
| 8.4 | 修正版 8.4.27 で修正 |
| 8.3 | 修正版 8.3.36 で修正 |
| 8.2 | 修正版 8.2.35 で修正 |
| 8.1以前 | サポートが終わっていて、公式の修正版は出ない |
8.1以前については、公式の修正版は配られていません（一部の古い系統には修正の差分だけが公開されています）。Linux のディストリビューションや、サーバー会社が独自に修正を当てている場合もあるので、提供元の案内を確認してください。
また、PHPの公式は、設定の変更だけでは不十分で、更新することが唯一の安全な選択だとしています。設定で回避する方法は、一部の攻撃の経路を減らすだけです。
ホームページを持つ人が、今やること
1．PHPで動いているか確認する
WordPressで作ったサイトなら対象です。WordPressでは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPのバージョンを確認できます。
わからない場合は、サイトを作った会社や、サーバーの契約先に確認します。
2．「誰が更新するのか」を確認する
PHP本体を更新するのが誰かは、サイトの置き場所によって変わります。
| サイトの置き場所 | 更新する人 | 確認すること |
|---|---|---|
| レンタルサーバー（共用） | サーバー会社 | 会社のお知らせと、管理画面で選んでいるPHPのバージョン |
| 制作会社・保守会社に任せている | 任せている会社 | 対応済みか、今のPHPのバージョンは何か |
| 自社で管理するサーバー・VPS | 自社 | すぐに修正版へ更新する |
レンタルサーバーでは、利用者が自分でPHP本体を入れ替えることは通常できません。一方で、管理画面で古いバージョン（8.1以前）を選んだままにしていると、修正の対象から外れる可能性があります。
3．8.1以前なら、新しいバージョンへ移行する
8.1以前のままのサイトは、8.2以上への移行が必要です。古いテーマやプラグインが新しいPHPで動かないこともあるため、動作確認をしながら進めます。
すぐに移行できない場合は、一時的に公開を止めることも選択肢です。首相の呼びかけや欧州連合のCERT-EUの注意喚起でも、更新できない場合の一時停止に触れています。
4．更新したあとも確認する
更新は「これから」の攻撃を防ぐものです。更新の前に侵入されていた場合に備えて、次の点も確認します。
- 最近、身に覚えのないファイル（特に .php のファイル）が増えていないか
- 知らない管理者アカウントが増えていないか
- 知らない予約投稿や、定期的に動く処理が追加されていないか
- サーバーやPHPのログを残しておく
おかしな点が見つかったら、サーバー会社や制作会社に相談してください。
サービスを利用するだけの方へ
普段使っているサービスが一時停止していたのは、多くの場合、今回の対応のためと見られます。利用するだけの方が、PHPを更新する必要はありません。
慌てずにサービスの公式発表を確認し、今回の騒ぎに乗じた不審なメールや、偽のお知らせに注意してください。
まとめ
- PHPは、WordPressを含む多くのサイトの土台になっている仕組み
- 今回の脆弱性は、ログインなしで外から命令を実行される恐れがある
- プラグインが最新でも、土台のPHPが古ければ防げない
- 8.1以前には公式の修正版が出ない。古いまま放置したサイトがいちばん危ない
- まず「誰が更新するのか」を確認し、対応済みかを確かめる
ホームページは、作って終わりではありません。見えない土台の更新まで含めて、運用です。
縦の動画は、Instagram（@ai.sentic）のリールとYouTubeのショートでも見られます。
出典
- PHP公式サイト（2026年10月20日の予告、10月21日のセキュリティリリース）
- PHP のセキュリティ勧告 GHSA-w8hw-w9fx-j79w（CVE-2026-109618）
- PHP のセキュリティ勧告 GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）
- ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ」
- Impress Watch「国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策」
SENTICは、奈良を拠点に、Web制作・運用から動画制作、AI導入支援までを行っています。