PHPの重大な脆弱性「PHP2Shell」、そもそもPHPって何なのかから調べてみた

2026年10月22日　書いた人：独身A

10月21日、ニュースに「PHPに緊急の脆弱性」という見出しが並んでいた。脆弱性（ぜいじゃくせい）は、ソフトの欠陥のうち、悪用されると危ないもののことを指すらしい。

同じ日の午後には、大手のレンタルサーバーが管理画面を止めたり、会社や役所のサイトが「緊急メンテナンス」の表示に変わったりしていた。報道 レンタルサーバーは、サイトを置いておく場所を月いくらで貸してくれるサービスのこと。サイトのデータを置いて、見に来た人に配るコンピューターを「サーバー」と呼ぶので、それを借りる、という意味になる。

正直、わたしはPHPを名前しか知らなかった。なのに見出しには「インターネットの7割に影響」とまで書いてある。

7割というなら、このサイトも入っているんだろうか。気になって、PHPの公式サイトの発表、欠陥を見つけたセキュリティ会社の報告、海外と国内の解説記事を読みあさってみた。

先に書いておくと、この記事には攻撃のやり方は書いていない。PHPとは何か、何が起きたのか、サイトを見る人と持っている人は何をすればいいのか。調べたのはその3つだけ。

PHPってそもそも何なのか

調べてみると、まずウェブページには大きく分けて2種類あるらしい。

1つは、誰が見ても同じページ。サーバーに完成品のファイルが置いてあって、見に来た人にそれをそのまま渡す。このサイトの記事はこっちで、わたしが書いたHTML（ウェブページの中身と見た目を書くための書式）のファイルを、そのまま配っている。

もう1つは、見に来た人ごとに中身が変わるページ。ネットショップのカートの中身、ログインしたあとのマイページ、検索結果、ブログのコメント欄。こういうページは完成品を置いておけないので、頼まれるたびにサーバーがその場で組み立てる。

その「組み立て方」を書くための言葉のひとつがPHPだった。データベース（会員の名前や商品の在庫などを、整理してしまっておく場所）から必要なものを取ってきて、HTMLに流し込み、できあがったページを返す。

生まれは1994年。ラスマス・ラードフさんという人が、自分のオンライン履歴書を何人が見に来たか数えるために作った、小さな道具の詰め合わせが始まりだった。名前は「Personal Home Page Tools」。1995年6月に中身を公開して、誰でも使えるようになった。発表

いまのPHPは「PHP: Hypertext Preprocessor」の略ということになっている。略した名前の中に、自分の名前がもう一度入っている。ややこしいけれど、開発者のあいだではわりと好まれる名付け方らしい。

自分の履歴書のアクセス数を数えたかっただけの道具が、30年後に世界中のサイトの土台になっている。そう思うと、少し気が遠くなる。

世界のサイトの、7割がPHP

どれくらい使われているのか。W3Techs（世界のサイトがどんな技術で作られているかを調べて公開している会社）の集計では、サーバー側で使われている言語がわかるサイトのうち、70.3%がPHPだった。発表

「言語がわかるサイトのうち」というところがポイントで、外から見て判別できないサイトは数に入っていない。ニュースの「インターネットの7割」は、たぶんこの数字のことだと思う。推測

数字を押し上げているのは、WordPress（プログラムを書かなくても、ブログやサイトを作れるソフト）だった。WordPressそのものがPHPで書かれていて、W3Techsによると、世界のすべてのサイトの39.6%がWordPressで動いている。発表 個人のブログも、会社のお知らせページも、かなりの割合で裏ではPHPが働いていることになる。

このサイトはどうかというと、さっきの図の上のほう、完成品のHTMLを置いて配っているだけなので、PHPは動いていない。7割には入っていなかった。調べはじめたきっかけの心配は、ここで早くも片づいてしまった。でも、ここからのほうが長い。

10月21日に、何が起きたのか

流れを日付順に並べると、こうなる。時刻は日本時間に直した。

1. 2026年8月19日アメリカのセキュリティ会社Wizの研究チームが、1つ目の欠陥を見つける。調査ではAIを使っていたと書いている。発表
2. 8月24日Wizが、PHPの開発チームのうち、セキュリティを担当する人たちに報告する。発表
3. 9月21日PHPの側が報告を受け入れて、公表の日に合わせて直す準備に入る。発表
4. 10月21日 0時20分ごろアメリカの掲示板サイトHacker Newsに「PHPの深刻な欠陥2つが、まもなく公表される」という投稿が出て、のちに消される。画面の写真はSNSで広がった。報道
5. 10月21日 早朝PHPが「21日23時に、深刻な欠陥2つを直した版を出す」と予告する。日本ではIPA（情報処理推進機構。国のIT安全対策の窓口になっている機関）が、更新の準備を呼びかけた。発表
6. 10月21日 午後国内で、サービスやサイトを一時的に止める動きが相次ぐ。大手のエックスサーバーは16時から、公式サイトと管理画面を止めた。お客さんのサイトとメールは動いたまま。報道
7. 10月21日 夜10時ごろ予定の23時より早く、直った版が公開される。続いてWizが調査の中身を公表した。報道
8. 10月22日 未明レンタルサーバー各社が、直った版への入れ替えを順番に進める。報道

本来は、公表はもう1日あとの予定だったらしい。報道 見つけた人と直す人が、直った版が出来上がるまで中身を伏せておく約束をしていたのに、その前に「もうすぐ出るらしい」という話だけが外に漏れた。PHPはもともと「詳しいことが表に出たり、悪用が見つかったりしたら、予定より早く出すこともある」と書いていて、実際そのとおりになった。発表

中身はわからないのに、「深刻な欠陥がある」ことと「何時に出る」ことだけは全員が知っている。日本の会社の多くにとっては、昼間から夜11時まで、ずっと身構えている一日だったんだと思う。推測

欠陥の中身を、ふつうの言葉で

PHPの公式発表によると、欠陥は2つ。どちらも「リモートコード実行」と書いてある。離れた場所から、他人のサーバーに好きな命令（コード）を実行させられる、という意味。しかも「認証なし」、つまりそのサイトにログインしていない、通りすがりの誰かでもできてしまうおそれがある。発表

好きな命令を実行させられるということは、サイトを書き換えたり、会員の情報を持ち出したり、そのサーバーを足がかりにほかへ攻撃したりもできる、ということになる。サイトの持ち主ができることは、だいたい何でもできてしまう。

深刻さは、CVSS（脆弱性の深刻さを0〜10の点数で表す、世界共通のものさし）で、2つとも9.2。9点以上は、いちばん上の「緊急」の区分に入る。発表

欠陥には、それぞれCVE（見つかった脆弱性につける、世界共通の通し番号）もついている。CVE-2026-109618と、CVE-2026-109619。「PHP2Shell」は、見つけたWizがつけた呼び名だった。シェル（Shell）は、コンピューターに直接命令を打ち込むための窓口のことなので、「PHPから、サーバーに命令を打ち込める場所まで行けてしまう」くらいの意味だと思う。推測

2つの欠陥の中身に入る前に、言葉を2つだけ。

メモリは、コンピューターが作業中のデータを一時的に置いておく場所。PHPは「ページを見せて」という頼み（リクエスト）を1つ受けるたびに、メモリの上に必要なデータを用意して、使い終わったら片付ける。1回の頼みで使っていいメモリの量には、上限が決めてある。

ワーカーは、頼みを1つずつさばくために、サーバーの中で待機しているプログラムのこと。何人分か用意されていて、同じワーカーが、次々と別の人の頼みをさばいていく。

1つ目：メモリが足りなくなったときの、片付けの欠陥（CVE-2026-109618）

公式の説明では、頼みのためのデータを用意している途中でメモリの上限にぶつかって処理が止まると、データが中途半端に用意されたまま残ることがある。そのあとの片付けの処理が、その中途半端なデータを、ちゃんとしたデータだと思って扱ってしまう。このずれに付け込まれると、命令を実行されうる、という欠陥だった。発表

2つ目：前の人の後始末が、次の人に残る欠陥（CVE-2026-109619）

こちらは、ワーカーが次々と頼みをさばく仕組みのほうで起きる。ある頼みのために使っていたメモリを片付けたあとも、「ここにデータがある」という情報だけが残ることがある。同じワーカーが次の頼みをさばくとき、本来なら最初にリセットされるはずのその情報を、リセットの前に使ってしまう。もう片付けた場所を、まだ使えると思って読みにいく形になる。発表

Wizの報告では、こちらの道筋から、命令の実行まではいかなくても、サーバーのメモリに残っているパスワードや、APIキー（ほかのサービスとつなぐときに使う、合言葉のような文字列）が読み出されるおそれもあるとしている。発表

WordPressに気をつけていても、関係なかった

やっかいなのは、どちらもWordPressのようなサイトのプログラムではなく、PHPそのものの欠陥だというところ。WizはWordPress、Drupal、Joomla（どれもサイトを作るためのソフト）の最新版で、ログインなしに命令を実行できることを確かめたと書いている。発表 サイトのほうをどれだけきちんと更新していても、土台のPHPが古ければ守れない。

PHPをサーバーにつなぐやり方はいくつかあって、公式は、よく使われるやり方（PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed）のどれも対象だとしている。なかでも危険がいちばん高いとされたのがmod_phpだった。Apache（サイトを配るためのソフトで、世界中のサーバーで使われている）の中に、PHPを直接組み込むやり方のこと。サイトのプログラムが動き出す前の段階で、攻撃が成り立つことが確かめられている。発表

AIが見つけた、という話

もう1つ話題になっていたのが、見つけ方だった。Wizは、調査のあいだずっと複数のAIのモデルを使い、欠陥探しから、攻撃が本当に成り立つかの確認、直した版が効いているかの確認まで手伝わせたと書いている。Googleも、自社のAIのGeminiが、攻撃が成り立つかの確認と、攻撃を見つける仕組みづくりに関わったと発表している。発表

30年間、世界中の人が触ってきたはずのPHPの奥から、AIを使った調査で穴が2つ出てきた。見つける側が速くなったのなら、悪用する側も速くなるんじゃないか。みんながざわついた理由の半分くらいは、たぶんそこにあると思う。推測

どの版が危なくて、どれが直った版なのか

PHPには版（バージョン）があって、「8.3.14」のように数字が3つ並ぶ。前の2つ（8.3）が系統で、最後の数字がその系統の中で何回直したか、と思えばだいたい合っている。

Googleの発表では、影響があるのは5.4から8.5.11まで。いま使われている版の、ほぼ全部になる。発表 直った版は、系統ごとにこうなっている。

PHP公式の発表と、サポート期間の一覧から。発表

8.1以前（8.1、8.0、7系、5系）は、公式の面倒を見る期間がもう終わっているので、直った版は出ない。かわりにPHPの開発チームは、7.4、8.0、8.1向けに、最小限の直し方を書いたソースコード（プログラムの元になる文章）だけを公開した。自分でPHPを組み立てられる人向けのもの。サーバーでよく使われている基本ソフトのLinux（リナックス）を配っている会社や、古い版の面倒を有料で見ている会社が、独自に直している場合もある。発表

ここで、W3Techsの数字をもう一度見てみた。PHPを使っているサイトのうち、8系が63.1%、7系が28.9%、5系が7.9%。8系の中では、8.0が5.8%、8.1が15.2%だった。発表

ざっくり計算すると、PHPを使っているサイトのおよそ半分が、公式の直った版が出ていない古い系統で動いていることになる。推測

もちろん、サーバーの会社やLinuxを配っている会社が独自に直していれば守られているし、外から見える番号だけで集計した数字なので、「半分が無防備」という意味ではない。それでも、直すには入れ替えるしかないのに、入れ替える先がない人がこれだけいる。古い版を使い続けることの怖さが、いちばんはっきり数字に出ているのはここだと思う。

もう攻撃されているのか

ここは、調べた先によって言っていることが違った。21日時点の見方を並べておく。

見ている場所が違えば、見えるものも違う。おとりのサーバーに攻撃が来ていることと、守っているお客さんのところで被害が出ていないことは、両方とも本当でありうる。推測 少なくとも、「もう狙われはじめている」と考えて動いたほうがよさそうだった。

SNSでは「直った版が出た15分後に、AIが攻撃のプログラムを作って乗っ取りが始まる」「23時15分から一斉に乗っ取られる」という話も回っていたらしい。報道

自分のサーバーの記録を確かめた人がITmediaのブログに書いた検証によると、もとはセキュリティ会社の「公開から15分以内に大量の攻撃が始まるだろう」という予想で、それが伝わるうちに、時刻つきの断定に変わっていったものだった。しかも直った版は予定より早く出ていたので、「23時15分」には根拠がなくなっていた。報道

その人のサーバーでは、公開からの1時間ほど、PHPを狙う探りはむしろいつもより少なかったそう。ただ、条件の違うサーバー1台を見ただけで、攻撃がないと言えるわけではない、とも書いていた。報道 怖がりすぎず、でも放っておかない。言うのは簡単だけど、その間に立つのがいちばん難しい。

日本で止まったもの

国内では、直った版が出る前の21日の昼間から、サービスやサイトを止める動きが相次いだ。セキュリティのニュースをまとめているブログのpiyologが数えたところ、21日の夜10時台までに確認できただけで、54の組織がサービス全体や一部の機能、自分たちのサイトを止めていた。報道

その中には、厚生労働省の介護サービス情報公表システム、ネットショップを作れるBASE、お菓子の湖池屋のサイトなども入っている。ただ、止めた理由にPHPを名指ししていないところもあって、すべてが今回の欠陥のためとは言い切れない。報道

レンタルサーバーの会社は、それぞれこんな動きだった。22日の未明までに出ていた情報なので、契約している人は、各社のお知らせを直接見てほしい。

Zennの対応状況まとめ（10月22日4時時点）と、各社の告知を伝える記事から。報道

海外では、レンタルサーバーのSiteGroundが、公表前のうちに全サーバーで該当する機能を止めて「お客さんがすることはない」と発表していた。発表 同じ欠陥でも、サーバーの会社によって、利用者にお願いすることはかなり違う。

よく見ているサイトは大丈夫？チェッカー

ここまで読んで、わたしがいちばん気になったのは、自分のサイトよりも、毎日のように見ているサイトのほうだった。よく行くネットショップ、ログインしっぱなしのサービス、ブックマークしている個人のブログ。

先に、わかったことを書いておく。今回の欠陥は、サイトを配る側（サーバー）のPHPの欠陥で、サイトを見ただけで自分のスマホやパソコンが乗っ取られる種類の話ではなかった。見る側が困るのは、そのサイトが乗っ取られたときに、そこに預けていた情報が持ち出されたり、ページが書き換えられたりする場合になる。推測

そして、見る側からは、あるサイトが直った版に入れ替え済みかどうかは、まずわからない。なので、このチェッカーは「そのサイトが危ないか」ではなく、「もしそのサイトが被害にあっていたら、自分は何を気にすればいいか」を出すようにした。

チェッカーの「PHPの手がかり」は、あくまで手がかり。アドレスに「.php」がなくてもPHPで動いているサイトはたくさんあるし、手がかりがあっても、そのサイトがもう直っているかどうかはわからない。結局、見る側にできるのは、預けているものを確かめておくことだった。

情報が漏れたというお知らせが来たときにやることは、前にダークウェブの回の最後にまとめた。パスワードを変える、使い回しをやめる、2段階のログインを入れる。いつもの話に戻ってくる。

サイトを持っている人が、やること

ここからは、ブログやお店のサイトを自分で持っている人向け。

まず、PHPの版の確かめ方。WordPressなら、管理画面の「ツール」から「サイトヘルス」を開いて、「情報」のタブにある「サーバー」を開くと、PHPのバージョンが出る。レンタルサーバーなら、管理画面の「PHP設定」や「PHPバージョン切替」のような名前の画面に、サイトごとの版が出ていることが多い。報道 数字が出たら、直った版の表と見比べる。

レンタルサーバーで、WordPressなどを動かしている人

PHPの入れ替えは、基本的にサーバーの会社の仕事。自分でサーバーの中のファイルを書き換える必要はない。よくわからないまま設定ファイルを触ると、表示が崩れたりサイトが止まったりするので、やめておいたほうがいいという解説もあった。報道

自分ですることは3つくらい。契約している会社のお知らせを見て、作業が終わったかを確かめる。管理画面で、PHPの版が8.1以前の古い値に固定されたままになっていないかを見る。固定されていると、会社がまとめて入れた直しが効かないことがあるらしい。報道 そして、WordPress本体と、テーマ（見た目のデザイン一式）、プラグイン（あとから足す追加機能）を新しくしておく。

古い版から8.2以上に切り替えるときは、古いテーマやプラグインのせいで表示が崩れることがある。切り替える前に、バックアップ（元に戻せるようにとっておく控え）を取っておくと安心。報道 8.2は公式の面倒を見る期間が今年いっぱいなので、切り替えるなら8.3以上のほうが長く使える。

自分でサーバーを管理している人

直った版への入れ替えが最優先。Linuxを配っている会社のパッケージ（ソフトを配るときの、ひとまとまりの単位）で入れている場合は、見た目の版の番号が変わらないまま、直しだけが入ることがある。番号ではなく、その会社のお知らせで、直った版になっているかを確かめるように勧められていた。報道

すぐに入れ替えられない場合のために、PHPの公式は設定で危険を減らす方法も出している。ただし同じ発表の中で「完全な解決は更新だけ」とはっきり書いている。発表

直す前に入られていなかったかも、見ておいたほうがいい。セキュリティ会社の解説では、公開しているフォルダに見覚えのないPHPのファイルが増えていないか、WordPressなどの管理者に見覚えのない人がいないか、エラーの記録にワーカーの異常な止まり方が続いていないか、といった確かめ方が挙げられていた。発表

ブログサービスや、制作会社に任せている人

noteやはてなブログ、Wix、BASEのようなサービスを使っているなら、サーバーの面倒は運営側が見ているので、お知らせを確かめるくらいでいい。制作会社に作ってもらったサイトなら、自分で調べるより、管理している人に聞いたほうが早い。聞くことは、PHPを使っているか、使っているなら版はいくつか、10月21日に公表された欠陥（CVE-2026-109618、CVE-2026-109619）の直しは入っているか。番号をそのまま伝えると、話が早いと思う。

ついでに気になったこと

「メンテナンス中」の表示にしておけば、安全？

解説記事によると、WordPressのメンテナンスモード（見に来た人に「準備中」と出す機能）では防げないそう。報道 メンテナンスモードもPHPが動いて表示しているし、mod_phpの場合はサイトのプログラムより前の段階で攻撃が成り立つので、考えてみれば当然だった。

PHPは、もう使わないほうがいいの？

わたしの感想になるけれど、そういう話ではないと思った。推測 今回は、見つけた人がこっそり報告して、PHPの開発チームが直した版を作り、公表の前にLinuxを配っている会社にも渡していた。発表 話が漏れて予定は狂ったけれど、直す仕組み自体はちゃんと回っている。危ないのは、面倒を見てもらえる期間が終わった版を、そのまま使い続けることのほうだった。

このサイトは大丈夫だった？

大丈夫だった。このサイトはHTMLのファイルを置いて配っているだけで、サーバーの面倒はCloudflare（サイトの配信を引き受けている会社）が見ている。PHPはどこにも出てこない。アドレスにも「.php」は出てこない。

調べ終わって

調べる前のわたしにとって、PHPは「エンジニアの人が使う何か」だった。

実際は、ブログのコメント欄やネットショップのカートの裏で、頼まれるたびにページを組み立てている言葉だった。履歴書のアクセス数を数えるために生まれて、いまは言語がわかるサイトの7割を組み立てている。

その土台に穴が2つ見つかり、公表の前に話が漏れて、日本でも一日のうちに50を超える組織がサイトやサービスを止めた。直す方法は、直った版に入れ替えることだけ。

サイトを持っている人がやることは、思っていたより地味だった。PHPの版の数字を、1回見に行く。わたしのサイトはPHPを使っていなかったので、見に行く場所すらなかった。それはそれで、ちょっとさみしい。

読みあさった資料の一覧

なるべくPHPの公式発表と、欠陥を見つけた会社、国の機関の資料で確かめた。ニュースや個人のブログは、公式の発表で確かめきれなかったところに「報道」とつけて使っている。

• PHP公式：Security advisory: Critical remote code execution vulnerabilities, update now（2026年10月21日）
• PHP公式：ニュースの一覧（2026年、予告と各版の公開）
• PHP（GitHub）：CVE-2026-109618のセキュリティ勧告
• PHP（GitHub）：CVE-2026-109619のセキュリティ勧告
• PHP公式：Supported Versions（サポート期間の一覧）
• PHP公式：History of PHP（PHPの歴史）
• Wiz Research：PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
• Google Cloud：Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619（2026年10月21日）
• Huntress：Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities
• watchTowr：PHP Remote Code Execution FAQ: CVE-2026-109618
• Patchstack：Major security alert: PHP vulnerable to critical RCE, attacks ongoing
• Qualys：PHP2Shell: PHP Patches Two Critical RCE Vulnerabilities（2026年10月20日）
• SiteGround：SiteGround moves early to protect customers ahead of critical PHP security release
• W3Techs：Usage statistics of PHP for websites
• W3Techs：Usage statistics of PHP version 8
• W3Techs：Usage statistics of WordPress
• IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について（2026年10月21日）
• piyolog：修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた
• ITmedia オルタナティブ・ブログ：「23:15から乗っ取り」「15分でAIが攻撃コード？」は本当か、自分のVPSのログで検証
• Zenn：PHP2Shellの対応状況まとめ：PHP本体、Linux、レンタルサーバ、KUSANAGI（2026年10月22日4時時点）
• London3：どうしたらいい？ PHPコアにおける重大な遠隔コード実行脆弱性「php2shell」
• web-soudan：メンテナンスモードでは PHP の脆弱性「php2shell」は防げません

更新履歴：2026年10月22日 公開

※この記事は2026年10月22日時点で公開されている資料と報道をもとに、専門家ではない個人が調べてまとめたものです。攻撃の方法を説明するものではありません。状況は日ごとに変わるので、最新の情報はPHPの公式サイトや、使っているサーバー・サービスの会社の発表を確認してください。