PHP脆弱性とは？php2shellで何が起きたか・危険度・個人がやること

2026年10月21日、プログラミング言語「PHP」に、重大な脆弱性（ぜいじゃくせい）が2件見つかったことが公表されました。

通称は「php2shell（ピーエイチピー・ツー・シェル）」。

日本でも、政府機関や銀行、飲食チェーンのサイトやアプリが、相次いで一時停止しました。

「結局、何が起きたの？」
「自分は何かしないといけないの？」

このような不安を感じた方も多いと思います。

この記事では、公式の情報や報道をもとに、次の5つの順番でわかりやすくまとめました。

1. 日本と世界で、いま何が起きているのか
2. どれほど深刻な問題なのか
3. 日本と世界は、どう動こうとしているのか
4. WordPressを使う個人は、どう行動すべきか
5. 普通のインターネット利用者は、どう行動すべきか

• ※この記事は、2026年10月23日朝の時点の情報に基づき作成しています。状況は日々変わりますので、最新情報も適時ご確認ください。

PHP脆弱性｜普通のインターネット利用者がやること・やらなくていいこと

サイトを運営していない方は、つまり、一般のインターネット利用者は、何をすればよいのでしょうか。

結論は、慌てなくて大丈夫です。

今回の対策は、運営者の仕事

フリーランス記者の岡田有花さんは、Yahoo!ニュースのエキスパート記事で、次のように述べています。

今回、対策を迫られたのは、PHPを使ったサイトを運営する事業者やエンジニアです。

一般の利用者が、Wi-Fiを切っても、スマホの電源を落としても、パスワードを変えても、今回の欠陥は直りません。

SNSでは、次のような「自衛策」が広がりました。

おおむね、的外れです。

• 自宅のWi-Fiを切る
• スマホの電源を落とす
• 全サイトのパスワードを変える

利用者がやるべきこと

脆弱性が悪用されて情報が漏れた場合は、利用者にも影響が出ます。

以下は、今回のPHP問題に直接関係する対策ではありません。

普段からインターネットを利用する際の「基本の備え」として、確認してくださいね。

1. パスワードの使い回しをやめる。
   1. 漏れたときの被害を、広げないためです
2. 二要素認証を設定する。
   1. 銀行、メール、SNSなどから始めます
3. ルーターなどの機器は、電源を切らない。
   1. メーカーの更新を適用する
4. サービスが止まっているときは、公式の告知を待つ。
   1. アプリを入れ直す必要はありません
5. カードの明細や、ログインの通知を、見る。
   1. 身に覚えのない請求や通知があれば、公式の窓口に連絡します

便乗詐欺に注意

今回のような混乱時には、詐欺師たちにとっては好機到来。

便乗した詐欺にも注意が必要です。

関西テレビは、ITジャーナリストの三上洋さんの解説として、一般の利用者が対応する必要は全くないものの、便乗した不審なメールへの警戒は必要だ、と伝えています。

• 「PHPの問題で、パスワードの変更が必要です」というメールやSMSの、リンクは開かない
• 確認するときは、公式アプリやブックマークから、サービスを開く
• 個人情報やカード番号を、メールのリンク先に入力しない

PHP脆弱性（php2shell）とは？日本と世界で何が起きたのか

さて、ここからは、PHPとはそもそも何か、どういう問題が見つかったのか、そして、どんな混乱が起きたのかを整理します。

PHPとは

PHPは、30年以上前に登場したプログラミング言語です。

習得しやすく、ウェブサイトの画面表示や、データベースからの情報取得などに使われています。

読売新聞によると、世界のウェブサイトの約7割で使われています（PHPの開発チームと、技術調査サービスW3Techsの情報）。

Web作成でおよそ6割のシェアを占めている（日本の倍は約8割と言われています）WordPressも、PHPで動いています。

見つかった2つの脆弱性

今回、PHPで見つかった脆弱性は、2件です。

• CVE-2026-109618
• CVE-2026-109619

PHP公式は、どちらも認証なしで、遠隔からコードを実行されうると説明しています（JPCERT/CCの注意喚起より）。

深刻度は、国際的な指標で最も高い「緊急（Critical）」です。

CVSS v4.0で9.2（最高レベルは10）、と複数のセキュリティ企業が解説しています。

悪用されると、サイトの改ざん、顧客情報の窃取、サービス停止といった被害が出るとされています。

また、この脆弱性は、10年以上前から存在していたと、Google傘下のセキュリティ会社Wizは述べています。

影響を受けるバージョン

JPCERT/CCの注意喚起によると、次のバージョンが対象です。

• 8.5系は、8.5.12より前
• 8.4系は、8.4.27より前
• 8.3系は、8.3.36より前
• 8.2系は、8.2.35より前
• 8.1以前は、通常の修正版が出ていません

今現在、PHPは「8.3以上推奨」なので「8.3だから大丈夫」・・・と理解されている向きがあるようですが、それは違うということ。

つまり、8.3系なら「8.3だから大丈夫」でははく、8.3.36以上が必要だということです。

発見から公表まで｜AIが見つけ、情報が先に漏れた

発見には、AIが使われました。

Wizは、複数のAIツールを使って見つけたと、21日のリポートで公表しました。

OpenAIも、提携するセキュリティ企業Califが、同社のAIモデルで発見したと発表しています。

Wizは、従来は世界有数のチームでも数か月かかった作業を、研究者1人が1週間で終えた、と説明しています。

公表は、予定より1日早まりました。

• 修正版の公開は、当初の22日23時（日本時間）から、21日23時に前倒しされました
• 21日未明には、脆弱性の存在が、SNSで先に広まりました
• 21日午前5時ごろ、Califが、脆弱性に関する動画を誤って公開しました。動画は消されましたが、コピーが広まりました
• 事前にパッチを受け取っていた米Chainguardが、公開禁止の取り決めを破り、6時間以上早く更新版を公開したと、PHP財団は批判しています

ITmedia NEWSなどの報道によると、PHP財団がこの経緯を公表しました。

岡田有花さんは、普段は、脆弱性情報と修正版が、ほぼ同時に出ると解説しています。

今回は、修正版の公開前に弱点の情報が漏れたため、多くのサービスが、修正版の公開前に緊急停止したのです。

世界で何が起きたか

世界でも、サイトの停止が相次ぎました。

• 欧州全体：
  • 21日、各国政府がウェブサイトを相次いで停止しました。フィンランド政府は、一般向けの政府ウェブサービスを予防的に止めました。オランダでは、国や自治体のサイト、ロッテルダム港のサイトが止まりました
• フランス：
  • パリ警視庁のサイトで、障害が出ました
• 英国：
  • 国家サイバーセキュリティセンターが、修正版の公開後に速やかに対応するよう、各組織に呼びかけました
• 米国：
  • 国家サイバー長官室が、FBI、CISA（サイバーセキュリティ・社会基盤安全保障庁）、NSAと連携して、対応を進めています

攻撃の試みも、急増しました。

米Cloudflareのマシュー・プリンスCEOによると、公表前の10時間で数千件だった悪用の試みは、公表後45分で数万件、2時間以内に数十万件、そして数百万件に達しました。

日本では、何が起きたか

日本でも、官公庁や企業が、サイトやサービスを一時停止しました。

• 官公庁：
  • 財務省、気象庁、最高裁（司法統計や裁判例検索）、マイナ総合サイト、日本弁護士連合会などが、一部機能やサイトを止めました。首相官邸のホームページも、22日午前まで止まりました
• 金融：
  • 大和証券は、口座開設や住所変更などを止めました。三菱UFJ銀行は、投資信託の口座開設などのインターネットサービスを止めました。りそな銀行は、来店予約サービスを休止しました
• 飲食・小売：
  • すき家、CoCo壱番屋、大戸屋などが、ネット注文を止めました。ゼンショーホールディングスは、傘下のほとんどのブランドで、アプリとネット予約を遮断しました
• その他：
  • JR東日本のビューカードのアプリや、ソニーストアなどが止まりました。ITmediaは、さくらのレンタルサーバ、BASE、コドモンなども緊急メンテナンスに入ったと伝えています

国内でも、攻撃は検知されています。

トレンドマイクロは、22日朝までに、脆弱性を悪用した複数の国内サーバーへの攻撃を検知しました。被害の有無は不明とのことです。

テレビ朝日系は、22日の日経平均株価が1,700円超下げたと伝え、「PHPなど影響」と紹介しました。

ただし、下落の原因がPHPだけとは限りません。

なお、蛇足ですが…

出版社の「PHP研究所」も、予防的にサイトを止め、「全然関係ありません」と投稿して話題になりました。

「PHP研究所」名前が似ているだけで、プログラミング言語のPHPとは無関係です。

PHP脆弱性はどれほど深刻か｜危険度とクライシスの程度

次に、この問題がどれほど深刻なのかを、整理します。

技術的には「最高クラス」

危険度が高いと言われる理由は、4つあります。

1. 認証が不要。ログインしていない外部の人が、攻撃できます
2. 遠隔からコードを実行されうる。サーバーを乗っ取られる恐れがあります
3. 対象が非常に広い。世界のウェブサイトの約7割で使われています
4. 10年以上、見つかっていなかった。古い環境ほど、影響を受けやすくなります

特に、PHPをApache（アパッチ：世界中で広く使われているオープンソースのWebサーバーソフトウェア）の機能として動かす「mod_php」は、リスクが最も高いとされています（オランダのNCSC）。

重要！「悪用の試み」と「被害」は別

ここは、冷静に見る必要があります。

悪用の試みは、数百万件に達しました。攻撃者が使っていることも、複数の企業が確認しています。

• セキュリティ企業watchTowrは、21日以降、悪用を観測したと報告しています
• 共同通信は、米アマゾンが公表前に悪用の形跡を確認したと報じています

一方で、被害は、確認された範囲では限定的です。

木原官房長官は、22日午前の会見で、政府機関や重要インフラ事業者に関係する被害の報告は、現時点で受けていないと述べました。

「試み」と「被害」は、別です。

また、WAF（ウェブサイトを守る仕組み）があっても、PHPの更新は必要です。

現時点の評価

筆者 tao の整理です。

• 危険度は、最大級です。認証不要、遠隔のコード実行、影響範囲の広さがそろっています
• いまの局面は、「被害が広がる前の緊急対応」です。世界中が、いっせいに防御を固めています
• 分かれ目は、更新の速さです。更新が遅れたサイトが、今後の被害の中心になります

つまり、「すでに壊滅的な被害が出ている」状況ではありません。

ただし、「放置してよい」状況でもありません。

なぜ混乱が大きくなったのか

混乱が広がった理由は、重なっています。

• 修正版の前に、情報が漏れた
• 運営者が、被害を防ぐために、先に停止した
• 首相の呼びかけや報道で、不安が広がった

前述の岡田さんは、各サービスの緊急停止は、運営者が素早く動いた結果でもある、と指摘しています。

もう一つの懸念｜AIは、攻撃にも使われる

今回の脆弱性は、AIで見つかりました。

OpenAIは、「同様の発見は今後数か月で急増する」と予測しています。

攻撃側も、AIを使っています。

• 米マイクロソフトは、中国政府と関係するとされるハッカー集団「ストーム0940」が、脆弱性を診断するAIエージェントを悪用していると発表しました。1分間に最大2,900回のログインを試み、3時間以内に管理権限を奪った例もあります
• GMOサイバーセキュリティbyイエラエは、日本国内の約80社への攻撃でも、同じAIが使われた可能性があると公表しました

日本の政府関係者は、攻撃者が先に弱点を見つければ、「一晩で日本中に被害が及ぶ」ことを懸念していた、と読売新聞は伝えています。

「PHPが原因」と決めつけない

サイバー攻撃のニュースが、すべてPHPが原因とは限りません。

実際に、複数の企業が、「PHPが原因」と発表したあとに、訂正しています（バルテック、岩井コスモ証券など）。

原因は、各社の続報で、確認する必要があります。

PHP脆弱性｜日本と世界は、いまどう動こうとしているのか

ここからは、各国や各社の動きと、今後の見通しです。

日本政府

政府は、21日から動いています。

• 21日午後1時過ぎ、国家サイバー統括室が、企業や自治体への注意喚起を始めました
• 21日夜、高市首相が、Xで「大至急のお願い」として、プログラムの更新を呼びかけました
• 22日、国家安全保障会議（NSC）の4大臣会合が開かれました
• 22日、IPAとJPCERT/CCが、注意喚起を公表しました
• 木原官房長官は、事業者に修正パッチの適用を推奨しました。すぐに適用できない場合は、サイトを一時停止することも有効な対策だ、と述べています

今後の対策も、動いています。

• 政府は、「ホワイトハッカー」の専門チームを立ち上げる、と報じられています
• 総務省は、AI攻撃への対策で、初会合を開きました
• 自民党は、23日、米企業と政府の窓口づくりや、中小企業の人材育成支援を、政府に提言する予定です

政府は、今月、金融や航空など15業種の基幹インフラを対象に、「能動的サイバー防御」を本格稼働させました。

ただ、高速で広範囲なAI攻撃には、十分に対処できない恐れがある、と読売新聞は伝えています。

世界の動き

• 米国：
  • 国家サイバー長官室が、FBI、CISA、NSAなどと連携し、技術企業とも協力しています
• 欧州：
  • 各国政府が、予防的にサイトを遮断しました。オランダのサイバーセキュリティセンターは、影響を受ける製品の一覧を公開し、更新しています
• 英国：
  • 国家サイバーセキュリティセンターが、修正版への速やかな対応を呼びかけています

開発側と企業の動き

• PHP財団：
  • 経緯を公表し、再発防止を約束しました。経験豊富なエンジニアの確保に資金が必要だとして、PHPを使う企業やプラットフォーマーに支援を呼びかけています
• Cloudflare：
  • 21日付のブログで、WAFの保護を、無料プランを含む対象環境に展開したと説明しています。ただし、WAFは追加の防御で、PHP本体の修正の代わりにはなりません
• OpenAI：
  • オープンソースのセキュリティ支援プロジェクトの一環として、2か月かけて、パートナー企業や米政府と準備したと説明しています
• レンタルサーバー各社：
  • 事業者側でPHPを更新する対応が、22日朝までに、各社で進みました（詳しくは、次の章で説明します）

これからの見通し

今後も、しばらくは、緊張が続くと考えられます。

• 修正版が出たあとも、更新が遅れたサイトを狙う試みは続きます
• AIによる脆弱性の発見が増え、同じようなことが、また起きる可能性があります。OpenAIは、そう予測しています
• 同じ週に、Oracle JavaやApache Tomcatなどの重大な脆弱性も、公表されています。更新の手間が、重なっています

一方で、ITmedia NEWSは、専門家の見方として、「長い目で見れば防御側が有利」と紹介しています。

AIで脆弱性を先に見つけて直せれば、守る側の力も強くなるためです。

PHP脆弱性｜WordPressを使う個人がやること

ここからは、WordPressなどでサイトを運営している個人の方向けです。

PHPの脆弱性は、WordPressの欠陥ではありません。

WordPress本体やプラグインの更新だけでは、直らないと解説されています（解説記事による。WordPress公式の見解は、一次情報を確認できていません）。

① PHPのバージョンを確認する

WordPressの管理画面で、次の順に開きます。

「ツール」→「サイトヘルス」→「情報」→「サーバー」

「PHPバージョン」が、表示されます。

レンタルサーバー各者の管理画面でも、確認できます。

② 修正版以上かを確認する

目安は、次の通りです。

• 8.2系は、8.2.35以上
• 8.3系は、8.3.36以上
• 8.4系は、8.4.27以上
• 8.5系は、8.5.12以上

※ 出典：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

レンタルサーバーでは、事業者が修正パッチを当てる場合があります。表示がどうなるかは、事業者ごとに異なります。

迷ったら、事業者の告知を基準にしてください。

③ レンタルサーバーの告知を確認する

解説記事の整理では、22日午前時点の対応状況は、次の通りでした。

• エックスサーバー：
  • 22日6時45分に、PHP 8.2〜8.5の全対象サーバーへの修正適用が完了。8.1以前は、独自の修正を順次適用中
• さくらのレンタルサーバ：
  • 22日6時30分に、PHPのバージョンアップが完了
• mixhost：
  • 21日に、ikサーバー全台で緊急メンテナンスが完了
• バリューサーバー：
  • 22日0時〜0時50分に、全サーバーでソフトウェア更新が完了
• ロリポップ！：
  • 緊急メンテナンス中。修正適用の完了は、22日午前の時点で、明記されていません
• カゴヤ・ジャパン、カラフルボックス：
  • 順次対応中

最新の状況は、各社の公式の告知で、ご確認ください。

④ 8.1以前は、切り替える

PHP 8.1以前には、通常の修正版が出ていません。

使っている場合は、8.2以降（できれば8.3以上 ➡ 8.3.36）に、切り替えてください。

1. 先に、バックアップを取る
2. サーバーの管理画面で、PHPのバージョンを切り替える
3. サイトの表示、管理画面、問い合わせフォームなどを、確認する
4. 不具合があれば、元に戻して、原因を直してから、もう一度切り替える

古いテーマやプラグインが、新しいPHPで動かないことがあります。

⑤ 侵害の痕跡を確認する

JPCERT/CCは、侵害の有無を調べるよう勧めています。

個人のサイトでは、次の点を見てください。

• wp-content/uploads などに、見覚えのないPHPファイルがないか
• 見覚えのない管理者ユーザーが、追加されていないか
• アクセスログに、巨大なデータ送信（multipart/form-data）が集中していないか
• 500エラーや、PHPの異常終了が、続いていないか

JPCERT/CCは、痕跡がないことだけで、攻撃を受けていないとは断定できない、と注意しています。

⑥ やってはいけないこと

• SNSの情報だけで、php.ini などの設定を自分で変える（サイトが動かなくなる原因になります）
• サーバー事業者を装ったメールのリンクから、操作する（公式サイトは、ブックマークから開きます）
• 「プラグインを入れれば防げる」と考えて、PHPの更新を後回しにする
• 切り替えで不具合が出たまま、古いバージョンに戻して放置する

⑦ すぐに対応できないときは

木原官房長官は、迅速に修正パッチを適用することが難しい場合は、サイトを一時的に止めることも有効だと述べています。

WAF（Cloudflareの無料プランなど）は、追加の防御です。PHPの更新の代わりには、なりません。

⑧ あわせて見直しておくこと

• WordPress本体、テーマ、プラグインを、最新にしておく
• 管理画面のパスワードを使い回さない
• 二要素認証を設定する
• バックアップを、自分のパソコンにも保存する

PHP脆弱性のよくある疑問

Q1．スマホやWi-Fiの電源を切るべきですか？

不要です。一般の利用者が電源を切っても、今回の脆弱性は直りません。

Q2．WordPressを更新すれば大丈夫ですか？

いいえ。PHPそのものの問題なので、PHPの更新（または事業者の修正適用）が必要です。WordPressの通常の更新は、別に続けてください。

Q3．PHP 8.3を使っていれば安心ですか？

いいえ。8.3.36以上が必要です。8.3系でも、それより前のバージョンは対象です。

Q4．古いPHP（7.x、8.0、8.1）を使っています

通常の修正版は出ていません。サポート中の8.2以降へ移行してください。

Q5．この問題は、いつまで続きますか？

終息の時期は、まだ分かりません。修正版は公開されましたが、更新が遅れたサイトを狙う試みは、続くと考えられます。

Q6．出版社の「PHP研究所」は関係ありますか？

ありません。名前が似ているだけです。

まとめ｜PHP脆弱性で、いまやること

最後に、要点を整理します。

• 2026年10月21日、PHPに、認証不要で遠隔からコードを実行されうる脆弱性が2件、公表されました（通称php2shell）
• 世界のウェブサイトの約7割に関わり、日本でも、官公庁や銀行、飲食チェーンのサイトが一時停止しました
• 危険度は最大級です。ただし、いまは「被害が広がる前の緊急対応」の局面です
• 根本対策は、修正版への更新です。8.2.35／8.3.36／8.4.27／8.5.12以上を目安にします
• WordPressの運営者は、まず、PHPのバージョンと、事業者の告知を確認してください
• 一般の利用者は、慌てず、パスワードの使い回しと二要素認証を見直し、便乗詐欺に注意してください

状況は、日々変わります。

最新の情報は、PHP公式、JPCERT/CC、IPA、各サーバー事業者の告知で、ご確認ください。

参考にした情報（一部）

• ➡ PHP公式のセキュリティアドバイザリ（2026年10月21日）
• ➡ JPCERT/CC「PHPにおける複数の脆弱性に関する注意喚起」（10月22日）
• ➡ IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
• ➡ NCSC-NL「php2shell」

このほか、読売新聞（10月22日の3本）、ITmedia NEWS、ロイター、共同通信、時事通信、FNNプライムオンライン、アスキー、Yahoo!ニュース エキスパート（岡田有花さん）、各レンタルサーバー事業者の告知を参考にさせていただきました。