PHP2Shell：本当の弱点は「PHPを使っているのを知らないサーバー」

いちばん危ないのは「うちはPHPを使っていない」と思っているサーバー

10月21日に公開されたPHPの重大な脆弱性、通称「PHP2Shell」。修正版はその日のうちに出ていて、パッチを当てる作業自体は難しくありません。差が出たのはその手前、「どこでPHPが動いているのかを把握しているか」でした。PHPは自分たちで書いたアプリだけでなく、CMS、業務パッケージ、さらにはVPN機器やセキュリティ製品の管理画面にも入っています。把握していないサーバーには、パッチは当てられません。

何が起きたか

2026年10月21日、PHPプロジェクトはPHP 8.5.12・8.4.27・8.3.36・8.2.35を公開し、認証なしで遠隔からコードを実行され得る2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正しました。深刻度はどちらもCVSS v4.0で9.2です。前日には「重大なセキュリティリリースを出す」という予告も出ていました。
PHPの公式アドバイザリによると、影響を受けるのは「Webリクエストを処理するすべてのPHP」で、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが含まれます。特にmod_phpは、アプリのコードが動く前に攻撃が成立する実証があり、最もリスクが高いとされています。
10月26日、米CISAはこの2件を「悪用が確認された脆弱性（KEV）」のカタログに追加しました。シンガポールCSAも、広範な悪用の試みと複数の実証コード（PoC）の存在を報告しています。IPAは10月27日の更新で「国内での攻撃被害の事例は把握していない」としつつ、対策済み版への移行を改めて呼びかけています。
国内では兵庫県が10月23日に緊急幹部会議を開き、県の全459サイトを調査しました。PHPを使っていなかったのが109件、対応を終えて公開を続けたのが232件、そして118件は一時的に公開を停止しています（同日12時時点）。

注目したいのは兵庫県の数字です。対応の第一歩は「どこにPHPがあるか」を数えることでした。そして、すぐに直せないものは止める判断をしています。CISAも、すぐに更新できないシステムやPHP 8.1以前を使い続けるシステムは、更新できるまでオフラインにするよう求めています。

自分が影響を受けるか

次のどれかに当てはまるなら確認してください。

自分で運用しているサーバーやコンテナでPHPが動いている（WordPressなどのCMS、Laravel等のアプリ、社内ツールを含む）。
PHP製のパッケージ製品やSaaSを自社環境に置いている、または委託先が運用している。
ネットワーク機器やアプライアンスの管理画面をインターネットに公開している。IPAは、PHPがVPN機器やセキュリティ製品のWeb画面にも使われていると注意しています。
PHP 8.1以前を使っている。PHPプロジェクトからの修正はなく、ディストリビューションやLTSベンダーのバックポートがなければ、更新か移行が必要です。

今日やること

まず数える

自分が管理するサーバー・コンテナ・ホスティングを一覧にし、それぞれでPHPが動いているかとバージョンを確認する。CISAが指摘するとおり、PHPは他のソフトウェアの部品として入っていて、外から見えないことがあります。
委託先やベンダーには「PHPが含まれるか」「どのバージョンか」「いつ修正したか」を聞く。返事が来るまでは、未対応のものとして扱う。

次に直す、直せないなら止める

インターネットに公開しているものから順に、8.5.12・8.4.27・8.3.36・8.2.35以降へ更新する。OSのパッケージで入れている場合は、ディストリビューションの更新版を確認する。
すぐに更新できない場合は、PHP公式アドバイザリにある暫定策を検討する。ただし公式自身が「更新だけが完全な解決策で、暫定策ではインストールは安全にならない」と明記しています。WAFも同じで、時間を稼ぐ手段にすぎません。
更新も暫定策も難しいなら、兵庫県のように公開を止める。止めずに乗っ取られるより、計画して止めるほうが被害は小さくなります。
更新後も、PHPのワーカーがシェルを起動したり外部からツールを落としたりしていないか、ログを見直す。

ついでに確認

PHP 8.2系は2026年12月31日でサポートが終わります。今回8.2.35で直したなら、年内に次の移行計画も立てておきましょう。

出典

PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（2026-10-21） https://www.php.net/archive/2026.php
IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」 https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
CISA「Critical Vulnerabilities in PHP Require Immediate Patching」 https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
Cyber Security Agency of Singapore「Critical Vulnerabilities in PHP (PHP2Shell)」 https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-151/
兵庫県「PHPの脆弱性への対応等に関する緊急幹部会議」資料（2026-10-23） https://web.pref.hyogo.lg.jp/kk51/documents/20261023_kaigi.pdf

確認日時: 2026-11-03 JST