PHPに緊急の脆弱性「PHP2shell」、IPAが対策を呼びかけ｜自社サイトを外注している中小企業にとっての意味
IPA（情報処理推進機構）は2026年10月22日、Webサイトづくりに広く使われているプログラム言語「PHP」に見つかった2つの脆弱性（通称「PHP2shell」）について、対策を呼びかけました。悪用されると遠隔の第三者にサーバー上で任意のコードを実行されるおそれがあり、PHPの開発元は10月21日に修正版を公開しています。
⏱ 忙しい人向け 3行まとめ
- 事実：PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）について、IPAが10月22日に注意喚起。修正版はPHP 8.2.35・8.3.36・8.4.27・8.5.12。PHP 8.1以前はサポートが終わっており、修正は提供されない
- 意味：WordPressなどPHPで動く会社のホームページ・予約フォーム・社内システムが関係しうる。中小企業の多くは自分で直すのではなく、制作会社・サーバー会社・システムの提供元に確認する立場
- アクション：自社のPHPを使うサイト・システムを書き出す／管理している会社に「PHP2shellへの対応済みか」を確認する／古いサイトは更新・移行・公開終了も含めて判断する
PHP2shellの発表内容
PHP2shellは、PHP本体に見つかった2つの脆弱性の組み合わせの通称です。IPAの注意喚起とPHP公式サイトで確認できた内容は次のとおりです（出典：IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」、PHP公式サイト「Security release」、いずれも2026年10月26日確認）。
| 項目 | 内容 |
|---|---|
| 公表 | PHPの開発元が2026年10月21日に修正版を公開。IPAは10月21日に事前準備のお願い、10月22日に注意喚起を掲載（追記があれば随時更新すると案内） |
| 脆弱性 | メモリ不足（OOM）のエラー処理に起因する脆弱性（CVE-2026-109618）と、リクエスト処理に関連する脆弱性（CVE-2026-109619） |
| 想定される影響 | 遠隔の第三者によって、任意のコードを実行される可能性がある（IPA）。PHP公式は、認証なしのリクエストで攻撃が成り立つ例が示されているとして、Apacheのmod_phpの構成でリスクが最も高いとしている |
| 影響を受けるバージョン | 8.2.35より前の8.2系、8.3.36より前の8.3系、8.4.27より前の8.4系、8.5.12より前の8.5系。調査に関わったWiz社によれば、PHP 5.4以降はいずれかの脆弱性の影響を受ける |
| 修正版 | PHP 8.2.35／8.3.36／8.4.27／8.5.12 |
| サポート終了版 | PHP 8.1以前は開発元の更新が終わっており、今回の修正は提供されない（製品の提供元が独自に修正を出す場合はある） |
| 回避策 | PHP公式は「完全な回避策はなく、更新が唯一の安全な選択肢」としている。設定変更による暫定的な緩和策も示しているが、安全になるわけではないと注記 |
IPAは、更新が難しい場合の考え方も示しています。サポートが続いているPHPへの更新や対策済みの製品への移行を検討すること、更新までは暫定対策やアクセス制限を講じること、それも難しければ外部からのアクセス遮断やサービスの一時停止が必要か判断すること、そして体制が確保できない場合は機能の縮小や公開の終了・システムの廃止も含めて検討すること、の順です。
PHP2shellは中小企業にどう関係するか
PHP2shellは、会社のホームページやWebのフォームを持っている中小企業の多くに関係しうる話です。ここからは、IPAとPHP公式の公表内容をもとにしたAI導入参謀の解釈です。
1つめは、PHPが「目に見えないところで使われている」点です。WordPressで作った会社のホームページ、問い合わせ・予約フォーム、レンタルサーバーで動かしている社内の受発注システムなどは、PHPで動いていることが多いとみられます。経営者や総務の方が「PHP」という名前を知らなくても、自社のサイトが該当している可能性はあります。
2つめは、WordPressやプラグインを更新しても、今回の脆弱性は直らない点です。直す対象はサイトの中身ではなく、サーバー側のPHP本体です。共用のレンタルサーバーならサーバー会社側で更新されることが多く、専用サーバーやクラウドで自社用に構築したものなら、制作会社や保守会社が更新する形が一般的です。「誰が直す担当か」が会社ごとに違うため、まずそこを確かめるのが現実的です。
3つめは、何年も手を入れていない古いサイトの扱いです。IPAは、長く更新していないシステムほど、改修や動作確認、担当者の不在、保守契約の終了などで対策が難しくなりやすいと指摘しています。キャンペーン用に作ったまま放置しているサイトなどは、直すより公開を終えるほうが負担が小さい場合もありそうです。
「ホームページは制作会社に任せているから大丈夫」とは限らない
制作だけを依頼して、保守契約を結んでいないケースは少なくありません。その場合、PHPの更新は誰の作業にもなっていない可能性があります。契約書や請求書で、保守の範囲に「サーバーやPHPの更新」が入っているかを確認してみてください。
PHP2shellを受けて今やるべきこと
今やることは、PHPで動いていそうなサイト・システムの洗い出しと、管理している会社への確認を、今週中に済ませることです。
- 会社のホームページ、問い合わせ・予約フォーム、採用サイト、キャンペーン用サイト、Webで使う社内システムを書き出し、それぞれどのサーバーで動き、誰が管理しているかを確認する
- レンタルサーバーを使っている場合は、サーバー会社のお知らせと管理画面で、PHPのバージョンと今回の脆弱性への対応状況を確認する
- 制作会社・保守会社・システムの提供元に「PHP2shell（CVE-2026-109618／109619）への対応状況と、PHPのバージョン」をメールで問い合わせ、回答を残しておく
- PHP 8.1以前で動いているサイトや、管理者がわからないサイトは、更新・移行・公開の一時停止や終了のどれにするかを社内で決める
サイトの改ざんや不審な動きが見つかった場合は、自己判断で消したり初期化したりする前に、IPAの「不正アクセス特別相談窓口」など公的な相談窓口に相談できます。何から手をつけるか迷う場合は、中小企業のセキュリティ対策ガイド｜まずやる5つと費用で、最初にやる対策を整理しています。監視や駆けつけを外部に任せたい場合は、IPAが登録する「サイバーセキュリティお助け隊サービス」を補助金で導入する方法もあります（セキュリティ対策の補助金）。補助金の対象・上限・締切は公募回で変わるため、最新は事務局の公式サイトで確認してください。
出典
- IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
- PHP公式サイト「Security release: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35」（2026年10月21日）
- IPA「不正アクセス対策特設サイト」
※本記事は2026年10月26日時点の公開情報にもとづきます。IPAの注意喚起とPHPの修正情報は更新される可能性があります。自社のサイト・システムが該当するかは、サーバー会社・制作会社・製品の提供元の情報で確認してください。