2026年10月21日、WordPressを動かしているプログラム言語「PHP」に、緊急の脆弱性（セキュリティ上の欠陥）が2件公表されました。通称は「PHP2Shell」。WordPress本体やプラグインの更新では防げず、サーバー側のPHPを直す必要がある、少し珍しい種類の問題です。
この記事では、何が起きたのかを整理したうえで、保守をお受けしているサイトに対して当社が当日の夜から翌朝までに行ったことを、時系列でまとめます。最後に、自社のホームページで確認しておきたい5つの項目も載せました。
PHPの緊急脆弱性（PHP2Shell）とは
PHPの開発元は10月21日、深刻度の評価（CVSS v4.0）がそれぞれ9.2の脆弱性2件を修正すると発表し、日本時間の23時に修正版を公開しました。識別番号はCVE-2026-109618とCVE-2026-109619です。
影響は、ログインしていない第三者が、外からサーバー上で好きなプログラムを動かせるおそれがあるというものです。乗っ取られると、ページの書き換え、不正なプログラムの設置、迷惑メールの送信など、サーバーでできることは何でもされてしまいます。
WordPressの更新では防げない理由
今回の欠陥は、PHPがブラウザから送られてきたデータを受け取る段階にあると報じられています。WordPressやプラグインの処理が始まるより前の段階なので、WordPressを最新にしても、メンテナンスモードにしても防げません。お問い合わせフォームの有無も関係なく、PHPで動いているページならどこでも入口になり得ます。
修正版のバージョン
| PHPのバージョン | 修正済みの版 | 状態 |
|---|---|---|
| 8.5 | 8.5.12 | 修正版あり |
| 8.4 | 8.4.27 | 修正版あり |
| 8.3 | 8.3.36 | 修正版あり |
| 8.2 | 8.2.35 | 修正版あり |
| 8.1以下（7.4など） | なし | サポート終了のため通常の修正版は出ない |
注意したいのは最後の行です。PHP 8.1以下を使い続けているサイトには修正版が出ないため、PHP自体を8.2以上へ切り替えるしかありません。
当社が行った対応（10月21日夜〜22日朝）
レンタルサーバーで動いているホームページの場合、PHPそのものを直すのはサーバー会社です。当社が先回りしてできることは、「万一に備えて元に戻せる状態を作ること」と「修正のあとに乗っ取りの跡がないか確かめること」の2つでした。
1. 修正版の公開前に全サイトをバックアップ（21日 夜）
攻撃がすでに観測されていたため、修正版が出る23時より前に、当社が関わっているWordPressサイト27サイト分を書き出しました。乗っ取られたあとに取ったバックアップは、改ざんごと保存してしまいます。だからこそ「修正前のこの時点」の版に意味があります。
- 道具：WordPressのプラグイン「All-in-One WP Migration」で、ページ・記事のデータと画像などのファイル一式を書き出し
- 保管先：サーバーの外（当社のPC）。インターネット上の共有フォルダには置かず、閲覧できる人も限定
- 確認：全ファイルを最後まで読み、途中で切れていないか、データベースが入っているかを機械的に検査
現場で困ったのは、画像の多いサイトほど書き出しに時間がかかることです。一番大きいサイトは約20GBあり、ダウンロードが終わったのは翌1時50分でした。途中で止まったダウンロードも2件あり、やり直しています。容量の大きいサイトは、日ごろからバックアップの取り方を決めておくべきだと改めて感じました。
2. サーバー会社の発表を確認（21日 23時〜22日 朝）
当社のお客様が多く使っている2社の動きは、次のとおりでした。
| サーバー会社 | 主な動き |
|---|---|
| エックスサーバー | 21日16時から予防措置として管理画面などを一時停止（サイトとメールは稼働）。22日朝、公式XでPHP 8.2〜8.5の全サーバーへの修正完了を発表。旧バージョンは順次適用 |
| さくらインターネット | 21日23時〜22日6時30分に、レンタルサーバの緊急メンテナンスとしてPHPを更新し、完了を告知。古いPHPの利用者にはPHP 8.3への切り替えを案内 |
エックスサーバーは公式サイト自体も止めていたため、夜のあいだはお知らせのページが開けませんでした。こうしたときは公式のXアカウントが一番早い情報源になります。
3. 乗っ取りの跡がないかを点検（22日 朝）
修正が入ったことを確かめたうえで、保守・運用をお受けしている各社のサイトを次の4つの方法で点検しました。
| 点検の内容 | 見たところ | 結果 |
|---|---|---|
| 外から見た表示 | トップページをパソコン・スマホ・Google検索経由の3通りで開き、見覚えのないプログラムや別サイトへの転送がないか | 異常なし |
| 管理者とプラグイン | 管理者ユーザーとプラグインの一覧を、前夜のバックアップと突き合わせ | 増減なし |
| PHPのバージョン | 管理画面の「サイトヘルス」で、修正済みの版になっているか | 全サイトが8.3.36または8.2.35 |
| Googleからの警告 | Search Consoleの「セキュリティの問題」 | 全サイトで検出なし |
3通りの開き方で確かめるのには理由があります。改ざんされたサイトの中には、スマホで開いたときや検索結果から来たときだけ詐欺サイトへ飛ばすものがあり、パソコンで直接開くだけでは気づけないからです。
一方で、点検にも限界があります。お問い合わせフォームの送信先は多くのサイトでテーマのファイルの中に書かれており、管理画面の一覧からは確かめられません。この部分は、テーマを含むファイル一式を前夜のバックアップと比べる形で、引き続き確認します。
4. お客様への報告（22日 朝）
サーバー会社の発表を確認してから、保守・運用中のお客様へメールで報告しました。夜のうちに送らなかったのは、「修正が入ったかどうか」まで書ける朝に1通でまとめるほうが、お客様に何度も不安なメールを送らずに済むと考えたためです。
伝えたのは、バックアップを取ってあること、お客様にお願いする作業はないこと、修正後の点検は当社で行うこと、そしてサーバー会社から案内のメールが届いたら転送してほしいこと、の4点です。点検をすべて終える前だったので、「被害はありません」とは書いていません。
なお、PHP 7.4のまま動いているサイトが1件ありました。この版には修正版が出ないため、テーマやプラグインの動作を確かめたうえで、PHP 8.2以上へ切り替えることをご提案しています。
自社のホームページで確認したい5つのこと
Web担当者がいない会社でも、次の5つは確認しておくと安心です。
- サーバーを誰が管理しているか：契約者が自社か制作会社か、管理画面に入れる人は誰かを把握しておきます。制作会社に任せきりの場合は、ホームページの持ち主と契約の確認ポイントも参考にしてください
- PHPのバージョン：WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開くと表示されます。8.1以下なら切り替えが必要です
- サーバーの外にあるバックアップ：サーバー会社の自動バックアップだけでなく、サーバーの外に、日付の分かるバックアップがあるかを確認します
- 管理者ユーザーとプラグイン：見覚えのない管理者や、入れた覚えのないプラグインが増えていないかを一覧で見ます
- Search Consoleの警告：「セキュリティの問題」に何も出ていないかを確認します。通知メールが届いたときの見分け方はSearch Consoleの通知メールへの対応要否の一覧にまとめています
このうち2と4はWordPressの管理画面、5はSearch Consoleの画面で、それぞれ数分で確かめられます。サーバーやPHPの切り替えに不安がある場合は、無理に触らず、サイトを管理している会社に相談してください。
よくあるご質問
WordPressとプラグインを最新にすれば大丈夫ですか？
今回の件に限っては、それだけでは防げません。欠陥はWordPressの手前にあるPHPにあるため、サーバー側でPHPが修正済みの版になっていることが必要です。もちろん、WordPressとプラグインの更新は日ごろの対策として引き続き大切です。
サーバー会社が「修正完了」と発表していれば、何もしなくていいですか？
自社のサイトがその対象のバージョンかどうかは確認してください。たとえば「PHP 8.2〜8.5は修正完了」という発表なら、8.1以下のサイトは対象外です。また、修正前に乗っ取られていた場合は修正後も不正なファイルが残るため、管理者やプラグインに変化がないかも見ておくと安心です。
PHP 7.4のままですが、すぐに上げてもいいですか？
上げる必要はありますが、いきなり切り替えるのはおすすめしません。古いテーマやプラグインが新しいPHPに対応しておらず、表示が崩れたり画面が真っ白になったりすることがあるためです。バックアップを取り、事前に動作を確かめてから切り替えるのが安全です。
まとめ：慌てる前に「戻せる状態」を作っておく
今回の脆弱性は、WordPressの更新では防げず、サーバー会社の修正を待つしかない種類の問題でした。待つあいだにできたのは、修正前のバックアップをサーバーの外に取ることと、修正後に点検することです。どちらも、日ごろからサーバーの管理者や管理画面に入れる人がはっきりしていれば、短い時間で進められます。
当社では、ホームページの更新や点検、こうした緊急時の対応をまとめてお受けするWebサイト保守・運用サポートをご用意しています。社内にWeb担当者を置くかどうかで迷っている場合は、Web担当を雇うか外部に任せるかの判断材料もあわせてご覧ください。自社サイトのPHPのバージョンや管理状況が分からないといったご相談は、お問い合わせからお気軽にどうぞ。
関連コラム
参考資料
- PHP公式サイト（php.net）2026年10月21日のセキュリティリリース https://www.php.net/
- さくらインターネット メンテナンス情報「[緊急]さくらのレンタルサーバ・さくらのマネージドサーバ」 https://support.sakura.ad.jp/mainte/mainteentry.php?id=39972
- エックスサーバー公式X「メンテナンス状況について③」（2026年10月22日）
