PHPの脆弱性「php2shell」とは？ホームページ運営者が今すぐ確認すべきこと

2026年10月21日、ホームページの多くで使われているプログラミング言語「PHP」に、重大な脆弱性が2件あると公表されました。通称は「php2shell（ピーエイチピー・トゥ・シェル）」です。

WordPressで作ったホームページは、ほぼすべてPHPで動いています。この記事では、専門知識がない方でも判断できるように、自社サイトに関係があるか、何を確認すればよいかを整理します（2026年10月22日時点の情報です）。

php2shellとは

php2shellは、外部の第三者がログインせずに、サーバー上で好きなプログラムを動かせてしまうおそれのある脆弱性です。サイトの改ざん、情報の抜き取り、サーバーの乗っ取りにつながります。

本来は10月22日に公表される予定でしたが、情報が事前に漏れたため前倒しになりました。悪用が始まっているとする報告もあり、日本の国家サイバー統括室も速やかな修正を呼びかけています。国内でもさくらインターネット、ロリポップ！などのレンタルサーバー会社や、複数のWebサービスが緊急メンテナンスを行いました。

自社サイトは関係ある？

PHPで動いているサイトは、すべて確認の対象です。迷ったら、次の表で判断してください。

自社サイトが何で動いているか分からない場合は、制作会社に確認するのが確実です。

レンタルサーバーを使っている場合にやること

PHP本体の修正は、レンタルサーバー会社が行います。利用者がPHPそのものを直す必要はありません。そのうえで、次の3点を確認してください。

1. サーバー会社のお知らせを確認する：メンテナンス中は、サイトや管理画面が一時的に止まることがあります。
2. 管理画面でPHPのバージョンを確認する：8.1以前を使っている場合は、8.3か8.4に切り替えます。8.2も2026年12月末でサポートが終わるため、この機会に上げておくと安心です。
3. 不審な変化がないか確認する：見覚えのないファイル、WordPressの知らない管理者ユーザー、サイトの表示の異常がないかを見ます。

PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。切り替える前にバックアップを取り、切り替え後にサイトの表示とお問い合わせフォームの送信を確認してください。

これでは防げない対策

PHP公式は、修正版への更新だけが完全な解決策だとしています。次の対策は、それだけでは安全になりません。

• WordPressのメンテナンスモード：メンテナンス画面もPHPで表示しているため、裏側で攻撃を受け付けてしまいます。
• セキュリティ系プラグイン：今回の攻撃は、WordPressやプラグインが動き始める前の段階で起きるとされています。
• PHPの設定変更だけ：一部の攻撃経路を減らせますが、設定だけでは防ぎきれないと報告されています。

更新が終わるまでサイトを止めたい場合は、サーバー側の設定（.htaccessなど）でアクセス自体を制限する必要があります。判断に迷う場合は、制作会社やサーバー会社に相談してください。

同じ日にNode.jsの修正版も出ています

PHPとは別に、Webアプリでよく使われる「Node.js」も、10月21日に脆弱性10件の修正版（26.12.1／24.22.1／22.23.4）を公開しました。うち4件が深刻度「高」です。

Vercelなどのホスティングサービスで動かしている場合は、基本的にサービス側で更新されます。自社のサーバーでNode.jsを動かしている場合は、修正版への更新が必要です。

まとめ

• WordPressなどPHPで動くサイトは、今回の脆弱性の対象です
• レンタルサーバーの場合、PHP本体の修正はサーバー会社が行います。利用者はお知らせ、PHPのバージョン、不審な変化の3点を確認してください
• メンテナンスモードやプラグインだけでは防げません

合同会社WEBSOLでは、ホームページの制作だけでなく、公開後の保守・セキュリティ対応も行っています。「自社サイトが対象か分からない」「PHPのバージョンを上げても大丈夫か確認してほしい」といったご相談は、お問い合わせからご連絡ください。

参考情報

• GMO Flatt Security：php2shellの概要と対応指針
• ITmedia NEWS：PHPの「緊急」レベルの脆弱性、修正バージョン公開
• 共同通信：PHPに重大欠陥 ウェブ7割で使用
• Uravation：Node.jsの脆弱性（2026年10月）