事件・速報
2026年10月のPHP重大脆弱性（php2shell）、サイトを持っている人が確認すること
事件・速報メール漏洩チェッカー
この記事の結論PHPで動くサイト（WordPressを含む）を持っている人は、サーバーのPHPが修正済みの版になっているかを確認してください。レンタルサーバーなら管理画面でPHPの版を切り替えられます。自分で確認できない場合は、無料の「サイト安全チェック」でURLを貼るだけで版と状況を調べられます。
何が起きたのか
2026年10月、PHPに2件の脆弱性（CVE-2026-109618、CVE-2026-109619。通称 php2shell）が公表されました。条件がそろうと、ログインなどの認証なしに外部からサーバー上でプログラムを実行できる、つまりサイトを乗っ取られる可能性があるものです。PHPはWordPressをはじめ、世界のWebサイトの大半で使われているため影響範囲が広く、公的機関からも注意喚起が出ました。
自分のサイトが対象かを確かめる
- 1サイトがPHPで動いているかを知る。WordPress・EC-CUBE・多くのレンタルサーバーのサイトはPHPです。制作会社に作ってもらったサイトも、ほとんどがPHPで動いています。
- 2PHPの版を確認する。レンタルサーバー（エックスサーバー・さくら・ロリポップなど）は管理画面に「PHPバージョン設定」があります。修正済みの版（各系列の最新）になっているかを見ます。
- 3自分で確認できないときは。姉妹サービスのサイト安全チェックにURLを貼ると、外から分かる範囲でPHP・WordPress・JavaScriptの版と脆弱性を調べ、サーバー管理者や制作会社にそのまま送れる依頼文を作ります。
修正済みの版にできないとき
古いWordPressのプラグインやテーマが原因で、PHPの版を上げるとサイトが動かなくなることがあります。その場合でも、放置は最も危険です。次の順で検討してください。
- サーバー会社が「修正パッチを適用済み」と案内していないか確認する（版の数字が古いままでも、修正が当たっている場合があります）
- 制作会社・サーバー管理者に、プラグインの更新とPHPの版上げを依頼する
- すぐに対応できない場合は、一時的にサイトを停止（メンテナンス表示）してから対応する
乗っ取られていたら何が起きるか
サイトが乗っ取られると、訪問者に偽の決済画面を見せたり、問い合わせフォームに入力された情報を盗んだり、サイトを踏み台にして他のサーバーを攻撃したりします。サイトの持ち主だけでなく、サイトに問い合わせた人や購入した人の情報が漏れるのが、この種の事件の怖いところです。自分が利用したサイトが乗っ取られていたかは外から分かりにくいので、利用者側はメールアドレスの漏洩チェックを定期的に行うことが現実的な対策になります。
参考: PHP公式のセキュリティ情報、IPA（情報処理推進機構）の注意喚起。脆弱性の識別子（CVE番号）は公表時点のものです。