PHP本体に見つかった最重大級の脆弱性「PHP2Shell」|自社サイトのPHPバージョン確認が今すぐ必要な理由

2026年10月20日から21日にかけて、世界中のWebサイトを支える言語「PHP」そのものに、重大な脆弱性が見つかったというニュースが駆け巡りました。名付けられた呼び名は「PHP2Shell」。自社のホームページやECサイト、顧客管理システムをWordPressなど”PHPで動くシステム”で運用している経営者であれば、プログラムの中身を知らなくても、一度は内容を知っておく価値があるニュースです。

何が起きたのか：PHP言語そのものの脆弱性

PHP2Shellは、特定のアプリやプラグインの不具合ではなく、PHP言語のランタイム（実行の仕組み）そのものに存在していた脆弱性です。CVE番号はCVE-2026-109618とCVE-2026-109619の2件で、深刻度を示すCVSSスコアは10点満点中9.2（最も危険な「クリティカル」ランク）。ログインなどの認証なしに、外部から任意のコードを実行されてしまう可能性がある不具合とされています。

PHP開発チームは当初、計画的な情報公開（責任あるディスクロージャー）を準備していましたが、10月20日に詳細が意図せず外部に流出。急遽、翌10月21日にPHP 8.5.12／8.4.27／8.3.36／8.2.35という緊急修正版がリリースされました。影響を受けるバージョンの範囲は広く、過去10年ほどにリリースされたPHPのほぼすべてのバージョンが、いずれかの脆弱性の対象になっているとされています。

なぜ厄介なのか：自社のコードが安全でも防げない

通常のセキュリティニュースでは「このプラグインが危ない」「この設定が甘い」といった、アプリ側の対策で防げる話が多いものです。しかしPHP2Shellは言語本体の問題のため、自社サイトのプログラムをどれだけきちんと作っていても、サーバー側のPHPが古いバージョンのままなら影響を受けます。特に「Apache＋mod_php」という昔からよくある構成のサーバーでは、リスクがより高いと指摘されています。

WordPressを含む多くのCMS・業務システムはPHPで動いているため、「自社サイトはWordPressだから関係ない」ではなく、「自社サイトを動かしているサーバーのPHP自体が新しいかどうか」を確認する必要がある、という点が今回のポイントです。

発見の経緯：セキュリティ研究にもAIが使われている

今回の脆弱性は、セキュリティ企業Wizの研究者が独自に発見・報告したものと、OpenAIが支援する脆弱性発見プログラム「Patch the Planet」の中で、AIモデルを使った調査によって見つかったものが組み合わさって公表に至った経緯があります。Wizは8月19日に最初の不具合を発見し、8月24日に報告。そこから約2カ月かけて修正版の準備が進められていました。セキュリティの最前線でAIが調査の一部を担うようになっている、という点でも注目された事例です。

経営者が見落としやすい点

  • 「うちはエンジニアに任せているから大丈夫」とは限らない：自社サイトの運用を制作会社やホスティング会社に委託している場合、委託先がサーバー側のPHPバージョンまで自動的に更新してくれているかどうかは、会社によって対応が異なります。
  • パッチが出た＝即解決ではない：修正版の提供が始まったのは10月21日ですが、実際にサーバーへ適用されるまでにはタイムラグがあります。すでに悪用の試みが観測され始めているとの報告もあり、対応の早さが被害の有無を左右します。
  • 「気づいたら直す」では遅い領域：認証なしで侵入できる脆弱性のため、気づいた時には既に侵入されている可能性もあります。

今日からできる対応

  1. ホスティング会社・制作会社に確認の連絡を入れる：「自社サイトのPHPバージョンはいくつか、PHP2Shell（CVE-2026-109618／CVE-2026-109619）の修正は適用済みか」を今週中に確認する。
  2. レンタルサーバーなら自動更新の有無を確認する：多くのレンタルサーバー事業者はサーバー側のPHPを自動更新していますが、古いプランや自社運用のサーバーでは手動対応が必要な場合があります。
  3. 侵入の痕跡確認もセットで依頼する：パッチを当てるだけでなく、「パッチ適用前に不審なアクセスがなかったか」のログ確認まで依頼すると安心です。

専門知識がなくても、「誰に何を確認すればいいか」を知っているだけで対応は始められます。これも、日々の業務の中で「何を自分で把握し、何を任せているパートナーに確認すべきか」を棚卸ししておく発想そのものです。

まとめ

PHP2Shellは、自社のアプリやサイトの作り込みとは関係なく、PHPというインフラレベルの土台に見つかった脆弱性です。完璧に理解する必要はありませんが、「自社サイトを動かしているPHPは最新か」を一度ホスティング先・制作会社に確認しておくこと。それだけで、今回のリスクへの対応としては十分な一歩になります。

出典：PHP ships emergency patches for critical PHP2Shell flaws(BleepingComputer)、PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet(Wiz)、PHP2Shell: Patches Land as First Exploitation Attempts Hit Sensors(SecurityWeek)、PHP2Shell: Critical PHP vulnerabilities patched, update now!(Help Net Security)、CVE-2026-109618 & CVE-2026-109619: Two Vulnerabilities Allow Unauthenticated RCE in PHP(ox.security)