最近、ニュースやSNSで「PHP2Shell（ピーエイチピー・ツー・シェル）」という言葉を目にした方もいらっしゃるのではないでしょうか。話題になっているのはわかるけれど、結局うちは何かしないといけないの？ そう感じている方に向けて、落ち着いて確認できるよう、ポイントを整理しました。
先に結論をお伝えすると、多くの会社では「サーバー会社が対応済みかを確認する」だけで十分です。ご自分で難しい作業をする必要は、ほとんどありません。
弊社サーバーをご利用のお客様へ
弊社の共用サーバー「extreme serv.」「Palette UP」は、PHPの開発元が公表しているすべての修正（パッチ）に対応済みです。また、占有サーバーをご利用のお客様についても対応済みです。
なお、PHP 7.3以下をお使いのお客様には、弊社からご案内を差し上げています。お手数ですが、弊社からのお知らせをご確認ください。お心当たりのない方や、ご自分のPHPのバージョンがわからない方は、お気軽にお問い合わせください。
そもそも、どんな脆弱性なの？
「PHP」は、ホームページを動かすためのプログラムの言葉（プログラミング言語）です。WordPressをはじめ、日本の会社のホームページの多くがPHPで動いています。問い合わせフォームやお知らせの更新画面など、「その場で中身が変わる」部分の裏側でよく使われています。
PHP2Shellは、このPHPそのものに見つかった欠陥（脆弱性）の通称です。2026年10月21日に、PHPの開発元から修正版が公開されています。内容を一言でいうと、次のようなものです。
条件がそろうと、外部の第三者がログインせずに、サーバーの上でプログラムを動かせてしまうおそれがある。
ホームページを車にたとえると、「ある部品に不具合が見つかり、リコールが出た」という状況です。車の色や形（ホームページのデザインや中身）とは関係なく、その部品（PHP）を使っている車が対象になります。そして、修理済みの部品に交換すれば解決します。多くの場合、交換はディーラー（サーバー会社）がしてくれます。
大きく取り上げられているのは、主に次のような理由からです。
- 使われている範囲が広い：PHPは世界中のホームページで使われており、古いバージョンから最新のバージョンまで幅広く対象になっています。
- 深刻度が高いと評価されている：危険度を表す点数（CVSS）は10点満点中9.2で、「緊急」に分類されています。
- 専門機関が注意を呼びかけている：国内でもJPCERT/CC（日本の情報セキュリティの専門機関）やIPA（情報処理推進機構）が、修正版への更新を呼びかけています。
このように対象が広いため大きなニュースになっていますが、修正版はすでに出ており、多くのサーバー会社が対応を済ませています。
どういう場合が問題？
確認が必要かどうかは、「ホームページがどこで動いているか」と「誰がサーバーを管理しているか」でおおよそ決まります。
| ホームページの状況 | 確認すること |
|---|---|
| HTMLだけで作られたページで、PHPやCGIを使っていない | 基本的にありません。今回の欠陥はPHPが動くときにだけ関係するためです。ただし、問い合わせフォームだけPHPやCGIで動いていることがよくあるので、フォームがある場合は作った会社に確認しておくと安心です。 |
| Wix、Jimdo、ペライチなどのサービスで作っている | 基本的にありません。サーバーの管理はサービス側が行っています。 |
| レンタルサーバー（共用サーバー）にWordPressなどを置いている | サーバー会社のお知らせで「対応済み」かを確認します。あわせてPHPのバージョンも見ておくと安心です。 |
| 自社や制作会社がサーバー（VPS・専用サーバー・社内サーバー）を管理している | 管理している人や会社に、対応状況を聞いてみましょう。 |
| 作ったまま使っていないサイトがある | そのサイトがどこで動いているかを確かめておきましょう。 |
あわせて、次の点も知っておくと役立ちます。
- WordPressの欠陥ではありません：今回の脆弱性はPHPのものです。WordPressの管理画面で何かを更新する必要はなく、直すのはWordPressが乗っている土台（サーバーのPHP）のほうです。
- 古いPHPを使っている場合：PHP 8.1以前は、PHPの開発元による正式なサポートがすでに終わっています。今回、7.4〜8.1には最小限の修正が出ていますが、7.3以下には修正が出ていません。古いバージョンをお使いの場合は、この機会に8.3以上への切り替えを検討しましょう。
一番簡単な対処法は？
サーバー会社のお知らせを確認する
レンタルサーバーを使っている場合、いちばん簡単で確実なのは、契約しているサーバー会社のお知らせを見ることです。「PHP」「脆弱性」などの言葉で探すと見つかります。「対応完了」「お客様の作業は不要」と書かれていれば、それで確認は終わりです。
サーバー会社によっては、対策の一環として一部の機能の設定を変えている場合があります。お知らせに「動作確認をお願いします」とあれば、念のため自社の問い合わせフォームから一度テスト送信しておくとよいでしょう。
PHPのバージョンを見ておく
WordPressを使っている場合は、管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、PHPのバージョンが表示されます。サーバー会社の管理画面（コントロールパネル）で確認することもできます。
【画像】WordPressのサイトヘルス画面でPHPのバージョンを確認しているところ
| 表示されたバージョン | 目安 |
|---|---|
| 8.3、8.4、8.5 | サーバー会社が対応済みであれば、そのままで問題ありません。 |
| 8.2 | 今回の修正の対象ですが、PHP 8.2は2026年12月末でサポートが終わる予定です。次のタイミングで8.3以上への切り替えを検討しましょう。 |
| 7.4、8.0、8.1 | 開発元から最小限の修正は出ていますが、サポートはすでに終わっています。機会を見て、8.3以上への切り替えをおすすめします。 |
| 7.3以下（5.6など） | 今回の修正は出ていません。早めに8.3以上へ切り替えることをおすすめします。 |
PHPのバージョンは、レンタルサーバーの管理画面から切り替えられることがほとんどです。ただ、古いテーマやプラグインが新しいPHPに対応しておらず、表示が崩れることもあります。切り替えるときはバックアップを取ってから行い、ご不安な場合は制作会社やサーバー会社に相談してください。
自社や制作会社がサーバーを管理している場合
サーバーの管理をお願いしている人や会社に、次のように聞いてみてください。専門的な内容がわからなくても、この一言で通じます。
PHPの脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）の対応状況を教えていただけますか？
あわせて、念のため不審な動きがないかも見ていただけると助かります。
「PHPを修正版に更新した」という答えであれば、対応は済んでいます。参考までに、修正版のバージョンは8.5.12、8.4.27、8.3.36、8.2.35（またはそれ以降）です。サーバーのOSの提供元が配っている修正版の場合は、番号が異なることもあります。
念のため見ておきたいこと
対応が済んでいれば基本的には問題ありませんが、気になる方は、ふだんホームページを見るついでに次の点を確認してみてください。
- 見覚えのないページや文章、広告が表示されていないか
- ホームページを開いたとき、別のサイトに移動してしまうことはないか
- WordPressの管理画面に、見覚えのないユーザーやプラグインがないか
もし気になる点があれば、ご自分で調べようとせず、サーバー会社や制作会社に相談するのがいちばんです。
これからどうしたらいいの？
PHPに限らず、ソフトウェアの欠陥が見つかって修正版が出ることは、珍しいことではありません。今回のように大きく報道されることはまれですが、仕組みとしてはパソコンやスマホの「アップデート」と同じです。
次に同じようなニュースが出たときに迷わないよう、時間のあるときに次の4つを整えておくと安心です。
1. 「どこに聞けばいいか」を決めておく
サーバー会社なのか、制作会社なのか、社内の誰かなのか。「こういうニュースが出たら、ここに聞けばいい」という連絡先を1つ決めておくだけで、ずいぶん気が楽になります。制作会社と保守の契約を結んでいる場合は、その中に「PHPなどの更新」が含まれているかも確認しておくとよいでしょう。
2. サーバー会社からのメールを受け取れるようにしておく
今回のような大切なお知らせは、サーバー会社に登録しているメールアドレスに届きます。そのアドレスを、今の担当者がきちんと見られる状態にしておきましょう。
3. PHPは「サポート中のバージョン」を使う
サポートが続いているバージョンであれば、今回のように欠陥が見つかっても、開発元から修正版が届きます。PHPのバージョンは、1〜2年に一度見直す習慣をつけておくのがおすすめです。そのためにも、テーマやプラグインを新しく保ち、使っていないものは削除しておきましょう。
4. 使っていないサイトは整理する
昔のキャンペーンサイトや、移転前の旧サイトが残っていないでしょうか。使っていないサイトは確認の手間が増えるだけなので、この機会に整理しておくと、次からの確認がぐっと楽になります。
まとめ
- PHP2Shellは、ホームページを動かす「PHP」そのものに見つかった欠陥で、修正版はすでに公開されている
- WordPressの欠陥ではないので、WordPress側での作業は不要。直すのはサーバーのPHP
- レンタルサーバーなら、サーバー会社のお知らせで「対応済み」かを確認すれば十分
- 自社や制作会社がサーバーを管理しているなら、対応状況を聞いてみる
- これからに備えて、「どこに聞けばいいか」を決め、PHPのバージョンをときどき見直す
- 弊社の「extreme serv.」「Palette UP」、および占有サーバーは対応済み。PHP 7.3以下をお使いのお客様にはご案内を差し上げているので、弊社からのお知らせをご確認ください
「うちのサーバーがどこにあるのかわからない」「PHPのバージョンを上げたいけれど、表示が崩れないか心配」「使っていないサイトを整理したい」という方は、Modulloの問い合わせページからお気軽にご相談ください。今のホームページの状況を拝見したうえで、必要な対応をご提案します。
参考情報
- JPCERT/CC：PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
- IPA：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）
※この記事の内容は、2026年10月30日時点の情報をもとにしています。最新の状況は上記の参考情報をご確認ください。
