E.P.ラボAIを使う日々から活かす日常へ無料ウェビナーを見る

ホーム ／ ブログ

PHPの脆弱性「PHP2shell」について、ホームページを持つ個人事業主が確かめたいこと

セキュリティ

この記事は、2026年11月5日時点で公開されている公式情報をもとにまとめています。内容は更新されることがあるため、最新の情報は末尾の公式ページでご確認ください。

何が起きたか

  • 2026年10月21日、PHPの開発元であるThe PHP Groupが、PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関するアドバイザリを公表し、修正版を公開しました。
  • IPA（情報処理推進機構）によると、これらの脆弱性を悪用された場合、遠隔の第三者によって任意のコードが実行される可能性があります。この二つの組み合わせは「PHP2shell」と呼ばれています。
  • 10月22日に、IPAとJPCERT/CCがそれぞれ注意喚起を公開しました。国家サイバー統括室の注意・警戒情報アカウント（@cyber_forecast）も、これらの注意喚起を案内しています。
  • IPAの10月27日の更新では、米国CISAが公開している「悪用が確認された脆弱性の一覧（KEVカタログ）」に10月26日（現地時間）に掲載されたことが追記されました。同じ更新で、IPAは国内での攻撃被害の事例は把握していないとしています。

関係するのはどんな人か

IPAは、PHPがさまざまなウェブアプリケーションやソフトウェア製品で使われていると説明しています。WordPressの公式サイトでも、WordPressを動かすサーバーの要件としてPHPが挙げられています。

個人事業主の方の身近なところでは、たとえば次のような場合が考えられます（以下は説明のための架空の例です）。

  • WordPressで、お店や教室のホームページを運営している
  • AIツールに書いてもらった問い合わせフォームのPHPファイルを、レンタルサーバーに置いている
  • 予約や申し込みのページを、知人や制作会社に作ってもらい、そのまま使っている

また、JPCERT/CCは、PHPを組み込んだ製品や、Linuxディストリビューションが提供するPHPも影響を受ける可能性があるとしています。IPAの11月2日の更新でも、VPN機器などのウェブ管理画面にPHPが使われていることがあるとして、製品の開発元が出す情報を確認するよう案内しています。

確かめること

1. サーバーのPHPのバージョン

ご自身のサイトが動いているサーバーの管理画面や、サーバー会社からのお知らせで、PHPのバージョンを確かめます。IPAとJPCERT/CCが示している修正済みのバージョンは次のとおりです。

系列 修正済みのバージョン
8.2系 8.2.35
8.3系 8.3.36
8.4系 8.4.27
8.5系 8.5.12

2. 8.1以前を使っていないか

IPAによると、PHP 8.1以前はサポートが終了しており、今回の脆弱性の修正版は提供されません。この場合は、サポートが続いているPHPへの更新や、対策済みのサービスへの移行を検討するよう案内されています。なお、JPCERT/CCによると、開発元は8.1、8.0、7.4向けに最小限の緩和策を出しています。

3. 自分で管理していない部分

サーバー会社がPHPを管理している場合や、サイトの制作を人に任せている場合は、IPAの案内どおり、提供元や制作者が出している情報を確認します。分からないときは、「PHP2shell（CVE-2026-109618、CVE-2026-109619）への対応状況」を問い合わせると話が伝わりやすくなります。

4. 更新したあとの動作

IPAは、長く更新していないシステムでは、更新に伴ってアプリケーションの手直しや動作確認が必要になる場合があるとしています。PHPのバージョンを上げたあとは、問い合わせフォームの送信や予約ページの表示など、普段お客様が使う画面を一通り試しておくと、気づきやすくなります。

PHPだけの話ではありません（JavaScriptと関連する部品）

今回はPHPの弱点が話題になりましたが、PHPだけが特別に危ないわけではありません。ホームページは、いくつものプログラムや部品を組み合わせて作られています。どの部品にも弱点が見つかることがあり、開発元はそのたびに直した版を出しています。

よく使われるものの一つが「JavaScript」です。JavaScriptは、ホームページのボタンやメニューを動かしたり、画面の表示を切り替えたりするためのプログラムの言語です。JavaScriptで作られた、よく使われる部品のまとまりは「ライブラリ」や「フレームワーク」（ホームページを組み立てるための土台）と呼ばれます。代表的なものに次があります。

  • Node.js（ノードジェイエス）：JavaScriptをホームページの裏側のコンピューターで動かすための仕組みです。開発元は、弱点を直すための更新（セキュリティリリース）を定期的に出しています。また、版ごとに保守の期限があり、期限を過ぎた古い版には修正が出ません。
  • Vue.js（ビュージェイエス）：ホームページの画面を作るための土台です。公式の説明では、Vueと公式の関連部品は常に最新版を使うよう勧めています。
  • Next.js（ネクストジェイエス）：ホームページ全体を組み立てるための土台です。開発元は、見つかった弱点とその直し方を公式のページで公表しています。
  • Nuxt（ナクスト、Nuxt.jsとも呼ばれます）：Vue.jsを使ってホームページ全体を組み立てるための土台です。こちらも開発元が、見つかった弱点を公式のページで公表しています。

自社のホームページでこうした部品が使われているかどうかは、見た目だけではわかりません。制作会社やIT担当に、PHPとあわせて次のように問い合わせると確認しやすくなります。

「当社のホームページで使っているPHP、JavaScriptの部品（Node.js、Vue.js、Next.js、Nuxt など）の名前とバージョンを教えてください。それぞれ開発元が保守している版か、最新の修正が当たっているかもあわせて教えてください。今後の更新をどのくらいの間隔で行う予定かも伺えますか。」

困ったときの相談先

経済産業省と中小企業庁は、中小企業・小規模事業者向けに「サイバーセキュリティ特別相談窓口」（無料）を、地域のよろず支援拠点に設けています。窓口の一覧は、末尾の案内ページから開けます。IPAも「情報セキュリティ安心相談窓口」を設けています。

E.P.ラボのメモ

AIツールで作ったフォームや小さな仕組みも、動いているのはサーバーの上です。作った日に動作を確かめるのと同じように、土台になっているサーバーやPHP、JavaScriptの部品の更新も、ときどき確かめる手順に入れておくと落ち着いて対応できます。点検表に「サーバーのPHPのバージョン」と「使っている部品と、その版」を一行ずつ足しておくのも、一つの方法です。

出典（公式情報）

関連する記事

E.P.ラボ
セキュリティ

国家サイバー統括室の不正アクセス対策資料について、ホームページを持つ個人事業主が確かめたいこと

E.P.ラボ
セキュリティ

WordPressのセキュリティ更新「7.1.4」について、ホームページを持つ個人事業主が確かめたいこと

記事の一覧へ

無料ウェビナー無料相談