「PHPが危ないとニュースで見たけれど、うちのホームページは大丈夫？」。制作を担当したクライアントから、そう聞かれたら何を確認して答えますか？
2026年10月21日、PHPの重大な脆弱性2件、CVE-2026-109618・CVE-2026-109619への修正版が公開されました。通称PHP2Shellです。同日には高市総理もXで対応を呼びかけました。WordPressが最新でも、その下で動くPHPの対策が済んでいるとは限りません。
まず確認したいのは、WordPressではなくPHPの対応状況
今回の問題は、WebサーバーでPHPを動かす仕組み自体にあります。条件によっては、ログインしていない相手からサーバー上でプログラムを実行されるおそれがあります。テーマやプラグインだけを更新しても、この問題の修正にはなりません。
最初に確認するのは、利用中のサーバー会社・保守担当が、どのサイトに、どの対策を、いつ適用したかです。レンタルサーバーでは事業者が修正を適用する場合もあり、管理画面でPHPの番号を選び直すことが、そのまま必要な対応になるとは限りません。
「更新済み」という返事にも、確認日と対象が必要
10月21日に公開された修正版は、PHP 8.2.35・8.3.36・8.4.27・8.5.12です。ただし、配布元が修正だけを取り込む場合もあるため、表示される番号だけで未対応と決めつけず、提供元の対応情報と照合します。
さらに10月23日、特定の設定とプログラムの組み合わせで生じる関連の問題、CVE-2026-115560が追加告知されました。21日の修正版でもこの問題は解消されておらず、PHP開発元は次の通常修正版までセッションのアップロード進捗機能を無効にすることを推奨しています。すべてのサイトで同じ条件が成立するわけではありません。設定変更は保守担当に対象と影響を確認してもらいます。
10月21日に更新したという連絡があっても、23日の追加情報まで確認したかを聞きます。対応済みかどうかは、対象サイト・対策内容・確認日をセットで判断します。
企業のサービス停止を、侵害被害と読み違えない
コドモンは10月21日、対策のため日中にサービスを一時停止しました。23日に公開した振り返りでは、攻撃を受けたための停止ではなく予防措置であり、この問題による不正アクセスや情報漏えいは確認されていないと説明しています。停止中は施設と保護者の連絡などに影響がありました。侵害が確認されていなくても、業務は止まり得ます。
Amazonは、公表4日前の10月17日に、おとりのシステムで悪用の試みを観測したと発表しました。ただし、本番環境で成功する攻撃だったかは不明としています。攻撃の試み、サービス停止、情報漏えいを混ぜずに読む必要があります。修正の適用と、適用前に侵害されていないかの確認も別の作業です。
デザイナーから保守担当へ、こう確認する
たとえば、担当サイトの対応状況が分からない段階なら、次のように確認できます。
「このサイトのPHP2Shell対応について、PHPの修正適用状況と、10月23日の追加告知への対応要否を確認してください。本番以外に公開中の旧サイト・テスト環境も対象です。未対応がある場合は、当面の保護措置と更新予定、不審なアクセスやファイル変更の確認状況も教えてください。」
クライアントには確認済みと未確認を分けます。返答例なら「現在、サーバー会社へPHPの対応状況を確認しています。未対応箇所と一時停止の必要性を確認し、本日中に進捗をご連絡します」。実際に守れる連絡時刻を添え、調査前に安全を保証しません。
WAFという通信を検査する防御機能があっても、PHPの修正が不要になるわけではありません。すぐに更新できないときは、保守担当と公開範囲の制限や一時停止も含めて判断します。表にメンテナンス画面を出すだけでは、裏側のPHPへの通信を止められていない場合があります。
納品済みサイトの相談でも、サーバー契約、保守担当、古いプログラムの状態によって必要な作業は変わります。担当サイトのURLと、サーバー会社から届いた案内、分かっている対応状況をそろえてご相談ください。更新・動作確認と、不審な形跡がある場合の調査は、作業範囲を分けて確認します。
※2026年10月26日時点の情報です。対策状況は、PHP開発元と利用中のサーバー・サービス提供元の最新案内で確認してください。