2026年10月21日、PHPの開発チームは、外部から不正なプログラムを実行されるおそれがある2件の重大な脆弱性を修正しました。「PHP2Shell」と呼ばれる問題で、WordPressなどのウェブサイトを動かすPHP本体が対象です。公式案内では、修正版への速やかな更新を求めています。
本稿は2026年10月22日に確認した公表情報に基づきます。攻撃の観測、侵入・情報流出の確認、予防的なサービス停止は区別して記載しています。
今回の騒動は何が発端だったのか
PHP Foundationの説明によると、メモリ不足時の処理の問題には、2024年の外部監査後に兆候が見つかっていました。しかし、具体的な攻撃経路が分からず、修正方法の互換性への影響や人員不足もあって対応が長引きました。2026年8月に遠隔からコードを実行できることが報告され、修正が最優先になりました。CalifやWizなどによる調査にはAIも使われています。
騒ぎが急速に広がった直接のきっかけは、10月20日（UTC）に脆弱性の存在と識別番号が予定より早く出回ったことです。PHP側は事前告知を早め、修正版の公開を22日から21日へ前倒ししました。その後、研究者による実証動画も誤って公開され、攻撃手法の開発が進むことへの警戒が強まりました。以上の経緯は、同財団が公表しています。
悪用されると何が起こるのか
CERT-EUの注意喚起では、2件とも深刻度はCVSSで9.2とされています。
-
- CVE-2026-109618：メモリ不足で処理が中断された際、不完全な内部データを正しいデータとして扱ってしまう問題です。
- CVE-2026-109619：異常終了した処理の古い内部状態が残り、後続の処理が解放済みのメモリを参照してしまう問題です。
条件がそろうと、攻撃者はログインせずにサーバー上でコードを実行できます。Wizの調査では、サーバーの制御奪取、サイト改ざんに加え、メモリ内のパスワードや認証トークン、APIキーなどが読み取られる危険性が示されています。サービス停止にもつながります。
PHP公式は、Apacheの「mod_php」で動く環境を特に高リスクとしています。アプリケーションの処理が始まる前に攻撃が成立する実証があるためです。PHP-FPMなども対策対象で、WordPressの管理画面に強いパスワードを設定するだけでは防げません。
実際の被害やサービスへの影響は確認されているか
Cloudflareは21日、顧客を狙う攻撃通信と、防御を回避しようとする攻撃内容の変化を観測したと報告しています。
具体的な利用上の支障としては、次の予防的な停止が当事者の発表で確認できます。いずれも10月21日の発表です。
| 組織 | 公表された影響 |
|---|---|
| オランダ国家サイバーセキュリティセンター（NCSC） | 自組織のウェブサイトを予防的に一時停止。告知時点では、同機関は悪用を観測していないとしている。 |
| ブラジル第1地域連邦裁判所（TRF1） | 電子情報システム「SEI」への外部アクセスを予防的に停止。告知時点では復旧予定は未定。 |
| ブラジル・マラニョン連邦大学（UFMA） | SEIへの外部アクセスを停止し、学内ネットワークからの利用に限定。 |
これらは利用停止という実際の影響ですが、攻撃による破壊や情報流出として報告された事例というわけではありません。
日本国内の対応と高市首相の呼びかけ
高市早苗首相も10月21日夜、Xで速やかな対応を呼びかけました。ロイターの報道によると、当時同日23時に公開予定だった修正プログラムの早急な適用を求め、直ちに対応できない場合には、ウェブサイトなどの一時停止も有効な対策になるとしています。
国内の事業者や自治体でも、情報を守るための停止やメンテナンスが案内されました。次の3例は、それぞれの公式発表でPHPの脆弱性との関係を確認できます。
| サービス・自治体 | 公表された対応と利用への影響 |
|---|---|
| コドモン | 保育・教育施設向けサービスを21日に予防的に全面停止し、修正と安全確認後、22日3時22分に一部を除いて再開。未登園の子どもを知らせる「所在確認アラート」は22日終日停止とし、施設に出欠・所在の確認を求めている。同社は、この件による不正アクセスや情報漏えいは確認されていないと説明している。 |
| さくらのクラウド | 21日から「データベース アプライアンス」のウェブ管理機能（phpMyAdmin・phpPgAdmin・pgAdmin）を停止すると発表。対象は当該管理機能で、クラウド全体の停止を示すものではない。告知時点では再開時期は未定。 |
| 岐阜県大垣市 | 21日、PHPの更新に伴うメンテナンスのため、市の「アンケートフォーム」と「お問い合わせフォーム」が利用できなくなると案内。 |
国内でも、保育施設の運営や行政への問い合わせに影響が及んでいます。ただし、これらの発表は脆弱性への予防的な対応を示すもので、攻撃による侵入や情報流出の発生を示すものではありません。
どのバージョンへ更新すればよいか
10月21日に公開された修正版は次のとおりです。利用中の系列に対応する修正版、またはそれ以降の修正を含む版へ更新してください。
| 利用中の系列 | 今回の修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1以前は公式の通常サポートが終了しています。提供元による修正の適用状況を確認し、サポート中の系列への移行を進めてください。今回、7.4・8.0・8.1向けには最小限のソース修正も公開されていますが、通常サポートが再開したわけではありません。OSやホスティング会社が独自に修正を適用する場合は、表示上の番号だけでなく、提供元の対策済み案内も確認します。
WordPress公式の案内によると、PHPのバージョンは「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。今回必要なのはPHP本体の更新です。レンタルサーバーでは、運営会社の案内と管理画面を確認してください。
WAFや設定変更は一部の攻撃経路を減らす補助策で、PHPの更新に代わる完全な解決策ではありません。すぐに更新できない場合は、英国NCSCの案内などに沿ってアクセス制限や一時停止を検討します。更新後は実際に稼働しているPHPへの反映を確認し、もしも侵入が疑われる場合にはログを保全して調査する必要があります。