PHPの脆弱性（2026年10月）｜制作会社・保守会社に確認すること

01うちのホームページはPHPの脆弱性の影響を受ける？

WordPressで作ったサイトや、問い合わせフォームをPHPで動かしているサイトは、サーバーのPHPが修正版になるまで影響を受ける可能性があります。サイトがどの仕組みで作られているか分からない場合は、制作会社に構成を聞くのが確実です。

2026年10月21日付でphp.netが公開した修正版（8.5.12／8.4.27／8.3.36／8.2.35）は、ログインなしで外部からプログラムを動かされるおそれのある深刻な問題を2件（番号はCVE-2026-109618と同109619）直したものです（php.net：2026年10月21日のセキュリティ告知）。影響を受けるのは各系列でこれらより前の版だと、開発元のGitHubのセキュリティ情報（1件目・2件目）に書かれています。

PHPはWordPressや問い合わせフォームの裏側で動くプログラム言語で、見た目からは使っているか分かりません。作り方ごとの目安は次のとおりです。

表の「関係」は、php.netの告知と各サービスの一般的な仕組みをもとに当サイトが整理した目安です（確認日 2026-10-23）。

IPA（情報処理推進機構）は、10月21日の「事前準備のお願い」（IPAの事前準備の告知）に続いて、22日に修正版への更新を求める注意喚起を出しました（IPAの10月22日の注意喚起）。海外では、Amazonのセキュリティブログが公表前から悪用の試みを観測していると報告しています（AWS Security Blog）。慌てる必要はありませんが、確認は先延ばしにせず進めます。

02制作会社・保守会社には何を聞けばいい？

最初に聞くのは「うちのサイトはPHPを使っているか」「サーバーのPHPはいつ修正版になるか」「その作業は今の契約の範囲内か」の3点です。そのあとで、PHPの版の切り替えやWordPressの更新が必要かどうかを確かめます。

次の質問はそのまま使えます。「控えておくこと」の欄を埋めていけば、社内への説明にも使えます。

問い合わせはメールなど記録が残る方法で送ります。夜間や休日は、契約書の緊急連絡先と受付時間を先に確かめます。

03保守契約に、サーバーの更新や緊急対応は含まれている？

契約書や見積書の「保守」の内訳に、サーバー側の更新、CMSの更新、緊急時の対応の3つが書かれているかで見分けます。「保守一式」としか書かれていない場合は、今回の作業が含まれるかを制作会社に文書で確かめます。

表は契約書を読むときの観点の整理で、特定の契約の内容を示すものではありません。保守に何が含まれるかは、それぞれの契約で決まります。

VPSや専用サーバーで構築したサイトは、PHPの更新そのものが契約者側（またはその委託先）の作業になるため、保守契約にサーバーの更新が入っているかが特に大切です。

保守の月額に何が含まれるかの一般的な見方は保守費用の記事、WordPressの更新やバックアップの確認点はWordPress保守の記事で詳しく扱っています。

04保守契約に入っていない場合は誰が直す？

共用レンタルサーバーのPHP本体は、サーバー会社が更新するのが基本です（時期は各社のお知らせで確認します）。ただし、PHPの版の切り替え、WordPressやプラグインの更新、その後の動作確認は、サイトの持ち主である自社が判断し、自分で行うか、制作会社などに単発で依頼します。

2026年10月23日朝に各社の公式サイトを確認した時点では、下の表のうちKAGOYAを除く5社が、修正の適用を終えたと告知していました。主な会社の案内は次のとおりです。

ここにない会社は、確認の時点で本件の公式な案内が見当たらなかったもので、対応がないという意味ではありません。並び順に意味はありません。

共用サーバーでは、同じ系列の中の細かな修正をサーバー会社が利用者の操作なしに行う例があり、エックスサーバーは10月19日にも全プランのPHPを更新しています（エックスサーバーの10月19日のお知らせ）。今回、ConoHa WINGとmixhostは版の番号を変えずに修正を取り込んだと案内しており、画面に出る番号が古いままでも修正済みのことがあります。8.1から8.3へといった版の切り替えは、持ち主が管理画面で選び、動作確認も必要です。

サーバーの契約者が制作会社の場合、お知らせは自社には届きません（名義の記事）。

単発で頼むときは、作業内容・費用・作業日・バックアップ・作業後の報告を見積もりで確かめてから依頼します。依頼先が従業員のいない個人なら、取引条件を書面やメールで示す義務があります（フリーランス法の記事）。

PHP 8.1以前は開発元の通常の更新の対象外です（7.4〜8.1向けの最小限の修正はソースコードでのみ公開。php.net）。8.1以前を選んでいるサイトは、8.2以降への切り替えを制作会社に相談します。

05担当者が自分で確認できることは？

技術的な作業をしなくても、サーバー会社と契約者の確認、サーバー会社のお知らせ、契約書の保守の範囲、WordPressの版の4つは、担当者が自分で確かめられます。

1. サーバー会社と契約者を確かめる：サーバー会社からの請求書や領収書、契約時の書類を探します。見つからなければ制作会社に聞きます。
2. サーバー会社のお知らせを読む：メールのリンクからではなく、ブックマークや検索で開いたサーバー会社の公式サイトで、メンテナンスやセキュリティのお知らせを読みます。
3. 契約書の保守の範囲を見る：前の見出しの表の言葉が、契約書・見積書・請求書の明細にあるかを確かめます。
4. WordPressの版を見る：管理画面に入れる場合は、ダッシュボードの「更新」の画面で、WordPress本体の版と更新が残っていないかを見られます。

サーバーの管理画面でPHPの版も見られますが、10月21日〜22日には管理画面を一時停止した会社があり、再開の状況は各社のお知らせで確かめます。版を自分で切り替えるとサイトが表示されなくなることがあるため、切り替えは制作会社と相談してから行います（各社の仕様はサーバー料金データ）。

06WordPressで話題になった wp2shell とは違う？

別物です。wp2shellは2026年7月に話題になったWordPressそのものの欠陥の呼び名で、今回の2件はWordPressの下で動くPHPの欠陥です。WordPressのサイトなら、どちらも直っているかを確かめます。

IPAの注意喚起（7月22日掲載）では、wp2shellの元になったのはCVE-2026-60137とCVE-2026-63030の2件で、7.0.0〜7.0.1と6.9.0〜6.9.4が対象、6.8系は前者の1件だけが対象です。直った版は7.0.2・6.9.5で、6.8.6では前者だけが直っています。

IPAは、自動更新が無効だったり失敗したりする環境もあるとして、管理画面で版を確かめるよう案内しています。WordPress本体を更新してもPHPの脆弱性は直らず、その逆も同じです。

07困ったときの相談先は？

サイトの中身は制作会社・保守会社へ、PHPの適用時期は契約しているサーバー会社へ、改ざんや情報の漏えいが疑われるときはIPAの企業・組織向けの相談窓口へ相談します。

• 制作会社・保守会社：PHPを使う部分の確認、版の切り替え、WordPressやフォームの更新。
• サーバー会社：修正の適用が済んだか、利用者に追加の依頼があるか。問い合わせが集中しやすいため、お知らせを先に読みます。
• IPA 企業組織向けサイバーセキュリティ相談窓口：被害が疑われるときの初動の助言や、インシデント対応を行う専門業者の一覧の紹介（事案の調査・解析は行わないとしています。IPA：相談・届出窓口一覧）。
• IPA 情報セキュリティ安心相談窓口：一般の方向けの、ウイルスや不正アクセスの技術的な相談（IPA：安心相談窓口）。

JPCERT/CCは10月22日に本件の注意喚起を出し、更新したあとも攻撃を受けた跡がないかを確かめるよう呼びかけています（JPCERT/CCの注意喚起）。同じ日のIPAの注意喚起は、PHPを長く更新していないシステムについて、担当者だけでなく事業責任者や経営層も交えて、保守の体制や移行、公開の終了まで含めて検討するよう求めています（IPA：PHPの脆弱性対策について）。

保守会社を見直す場合は、緊急時の受付体制と更新の範囲を同じ質問で比べます（セキュリティ保守の記事）。

よくある質問

「php2shell」という呼び名は公式のもの？

この呼び名は、php.netの10月21日の告知には使われていません。IPAの10月22日の注意喚起では2件の組み合わせの呼び名として紹介され、セキュリティ企業のブログでは研究者の投稿で使われた呼び名と説明されています（GMO Flatt Security Blog）。やり取りではCVE番号を書き添えると取り違えを防げます。

PHP 8.2を使っています。修正版になれば当面は安心ですか？

今回の2件は8.2.35で修正されます。ただし、php.netのサポート期間の一覧では、PHP 8.2のセキュリティ修正の提供は2026年12月31日までです（php.net：Supported Versions）。8.3以降への切り替えの時期も制作会社と相談しておきます。

サーバー会社の管理画面に入れません。ホームページは止まっていますか？

会社によって違います。エックスサーバーは10月21日16時から管理画面などを止めていた間も、利用者のサーバーは動き続け、Webサイトの表示やメールに影響はないと案内し、22日9時30分から順に再開しています（エックスサーバー：10月22日のお知らせ）。一方、ロリポップ！は修正が終わるまで一部のサーバーでサイトの表示そのものを止め、22日13時頃に再開しました（ロリポップ！公式X）。契約しているサーバー会社のお知らせで確かめます。