2026年10月29日、JPCERT/CCは、PHPの複数の脆弱性（通称「PHP2Shell」）についての注意喚起を更新しました。あるファイアウォール製品で、この脆弱性を使って侵入されたとみられる跡が見つかったと報告されています。
当記事では、PHP2Shellとは何か、10月29日の更新で分かったこと、WordPressのサイトや会社の機器が対象かどうかの確かめ方を、AI初心者向けにわかりやすく解説します。
PHPの脆弱性「PHP2Shell」とは？JPCERT/CCが注意喚起を更新（2026年10月29日）
公式の発表はこちら
PHPを開発するThe PHP Groupは、2026年10月21日に複数の脆弱性（CVE-2026-109618、CVE-2026-109619）を公表し、修正版を出しました。JPCERT/CC（日本のセキュリティ事故の情報を集めて調整する組織）は10月22日に注意喚起を出し、その後も情報を足しています。10月29日には、国家サイバー統括室も公式Xで「利用製品への影響を確認し、速やかな対策と侵害調査を」と呼びかけました。
>>PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（JPCERT/CC）
そもそもPHPとは？
PHPは、Webサイトの裏側（サーバー）で動くプログラミング言語です。ブログやニュースサイトで広く使われているWordPressもPHPで動いていて、世界中の多くのサイトの土台になっています。さらに、ファイアウォールなどのネットワーク機器の管理画面の中で、PHPが使われていることもあります。
何が危ないのか
今回の脆弱性が悪用されると、外からPHPの権限で好きなプログラムを動かされるおそれがあります。PHPを開発するThe PHP Groupによると、2つとも、ログインしていない相手からでも悪用されうるとされています（オランダの国のセキュリティ機関NCSC-NLの説明より）。
AIを使って見つかった脆弱性
「PHP2Shell」という名前は、脆弱性を見つけた研究チームが付けたものです。公式サイトによると、WordPressなどでログインなしにプログラムを動かせることを示すために作った攻撃用プログラムの名前で、今回の研究全体の呼び名にもなっています。
見つけたのは、Wiz Research、OpenAI Codex Security、Califです。公式サイトの見出しは「AIが、Webの土台の重大な脆弱性を見つけた」（編集部訳）で、Wiz ResearchはGemini 4 ArgonやGPT-5.6-Solなどを、脆弱性の発見、攻撃の手順の検証、修正の確認に使ったとしています。AIが守る側の道具として、重大な弱点を見つけた例と言えるでしょう。
10月29日の更新で分かったこと
ファイアウォール製品で侵入の跡、社内ネットワークへ広げようとした跡も
JPCERT/CCの10月29日の更新によると、この脆弱性を悪用した攻撃の調査で、あるファイアウォール製品の特定のバージョンが侵害されたとみられる跡が確認されたと報告されています（製品名は書かれていません）。
攻撃者は製品を調べて、バージョンごとに、今回の脆弱性と、Linux（OSの中心部分）で強い権限を奪える別の脆弱性を組み合わせた攻撃用のプログラムを作っていたとされています。さらに、侵入した機器を足がかりに、社内のネットワークへ広げようとした跡も見つかっています。ファイアウォールは本来、社内を守るための機器なので、そこが入口にされると被害が大きくなりやすいと言えます。
攻撃を試す通信が相次ぎ、試せるプログラムも多数公開
JPCERT/CCによると、この脆弱性を悪用できるとうたうプログラム（実証コード）が多数公開されていて、悪用を試みる通信を観測したという報告も相次いでいます。ただし、実際に成功するかはPHPのバージョンや環境しだいとされています。今後、新しい攻撃の方法が出てくる可能性もあるとされています。
自分は対象？影響を受けるバージョンと確かめ方
影響を受けるバージョンと修正版
| PHPのバージョン | 影響を受ける範囲 | 修正版 |
|---|---|---|
| 8.5系 | 8.5.12より前 | 8.5.12 |
| 8.4系 | 8.4.27より前 | 8.4.27 |
| 8.3系 | 8.3.36より前 | 8.3.36 |
| 8.2系 | 8.2.35より前 | 8.2.35 |
| 8.1以前 | サポート終了 | 正式な修正版はなし（7.4・8.0・8.1は最小限の修正のみ） |
PHPを組み込んだ製品や、Linuxの配布元が提供するPHPも、影響を受ける可能性があります。
WordPressでサイトを運営している人：レンタルサーバーなら対応済みのことが多い
レンタルサーバーでWordPressを使っている場合、PHPの更新はサーバー会社が行うことがほとんどです。主なレンタルサーバーの公式の案内は次のとおりです（2026年10月30日時点）。
| サーバー | 対応 | 利用者の作業 |
|---|---|---|
| エックスサーバー | 2026年10月26日までに、PHP 8.2〜8.5を修正版に更新、5.1〜8.1に修正パッチを適用 | PHPのバージョンを急いで変える必要はない |
| ConoHa WING | 2026年10月22日に、提供中のすべてのPHPに修正パッチを適用 | 必要なし |
ConoHa WINGは、バージョンの番号を上げずに修正を取り込んでいるため、WordPressの「サイトヘルス」には修正前と同じ番号（例：8.5.11）が表示されることがあると案内しています。番号だけを見て慌てなくて大丈夫です。
一方、VPS（自分で管理するサーバー）は自分で更新が必要です。エックスサーバーも、VPSには会社側でパッチを当てていないため、利用者が自分で確かめて更新するよう案内しています。ほかのレンタルサーバーを使っている人は、サーバー会社の「お知らせ」を確かめましょう。
>>PHPの脆弱性に関するお客様のご利用サーバー環境への安全対策について（エックスサーバー）
>>PHPの脆弱性への弊社対応完了のお知らせ（終報）（ConoHa WING）
会社でファイアウォールなどの機器を使っている人：保守業者・メーカーに確認を
PHPを組み込んだネットワーク機器や管理画面も対象になりえます。NCSC-NLは、PHPを使う製品の対応状況を一覧にして公開していて、2026年10月29日時点で925製品のうち、「影響あり」が223、「調査中」が348でした（英語）。
ただし、一覧はあくまで目安です。会社でファイアウォールやVPN機器などを使っている場合は、保守業者かメーカーに「今回のPHPの脆弱性の対象か」を問い合わせ、対象なら更新と、侵入されていないかの確認まで進めましょう。
>>php2shell（NCSC-NL・GitHub・英語）
今すぐやること・注意点
修正版への更新がいちばんの対策
JPCERT/CCは、十分にテストしたうえで、できるだけ早く修正版に更新することを強く勧めています。すぐに更新できない人向けの緩和策（一時しのぎの設定）もありますが、特定の攻撃の道すじをふさぐだけで、根本的な対策は更新だけだとされています。
侵入されていないかの確認
サーバーや機器を自分で管理している場合は、更新だけでなく、侵入された跡がないかの確認も求められています。JPCERT/CCが挙げている確認のポイントは次のとおりです。
- 異常に長い、または形のおかしいセッションのCookie（PHPSESSID）が返されていないか
- 不審なファイル送信のリクエストと、その前後のメモリ不足のエラーやHTTP 500エラーがないか
- PHPの処理が急に止まったり、何度も再起動したりしていないか
- 不審なプログラムの実行、外への通信、見覚えのないファイルの作成がないか
跡が見つからなくても、攻撃を受けていないとは言い切れないとされています。疑わしいときは、記録を残したうえで専門家に相談しましょう。
▶ 関連記事：国家サイバー統括室が「サイバー対応特設サイト」を開設！困ったときの相談先と個人がやること
サイトを見るだけの人は？
今回の注意喚起は、PHPを動かしているサーバーや、PHPを組み込んだ機器を管理する人に向けたものです。Webサイトを見るだけの人が、自分のパソコンやスマホのアプリを更新する話ではありません。ただし、管理画面のあるネットワーク機器（ルーターやNASなど）を使っている人は、メーカーのお知らせを一度確かめておくと安心です。発見者の公式サイトによると、攻撃されたサイトではパスワードなどの情報が漏れることもありうるため、パスワードの使い回しをやめるなど、ふだんの対策はしておきましょう。
▶ 関連記事：WordPress 7.1.4が公開！22件の脆弱性を修正、自分のサイトは対象？更新の手順
※2026年10月30日時点・JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月29日更新）、NCSC-NL「php2shell」、PHP2Shell公式サイト、エックスサーバー・ConoHa WINGの公式のお知らせの情報より
【まとめ】PHP2Shellは、サーバーと機器の「更新」と「侵入の確認」を
PHPの脆弱性「PHP2Shell」は、ログインなしで外からプログラムを動かされるおそれがあり、10月29日にはファイアウォール製品への侵入の跡も報告されました。レンタルサーバーの多くは対応済みですが、VPSや会社の機器を管理している人は、修正版への更新と侵入の確認を済ませておきましょう。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月30日時点のものです。
