PHP脆弱性への対応｜PHP2shellで中小企業が今やること

2026年10月、Webサイトや業務システムで広く使われているプログラミング言語「PHP」に、とても危険な弱点（脆弱性）が見つかりました。結論から言うと、PHPを使っているなら、修正版に更新することが一番の対策です。

古いPHPのままで更新できない場合は、外からのアクセスを制限するなどの応急処置をして、早めにバージョンアップの計画を立てる必要があります。この記事では、ITが専門でない経営者・担当者の方に向けて、何が起きたのか、今日なにを確認すればよいのか、制作会社に何を頼めばよいのかを、できるだけやさしく説明します。

何が起きたのか（2026年10月のPHP脆弱性）

2026年10月21日、PHPの開発チームが2つの脆弱性（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開しました。2つを組み合わせた攻撃は「PHP2shell」と呼ばれています。

CVSSは、脆弱性の深刻さを10点満点で表す世界共通の指標です。9.2点は「緊急（Critical）」にあたります。

2026年10月の動き

• 10月21日

  PHPが修正版を公開

  PHP 8.5.12・8.4.27・8.3.36・8.2.35で、2つの脆弱性が直りました。

• 10月22日

  IPAとJPCERT/CCが注意喚起

  IPA（情報処理推進機構）とJPCERT/CC（JPCERTコーディネーションセンター）が、修正版の適用を呼びかけました。

• 10月23日

  関連する別の問題が公表

  CVE-2026-115560。まだ修正版はなく、設定の変更で守るよう案内されています（くわしくは後述）。

• 10月26日

  「実際に悪用された」と認定

  米国の政府機関CISAが、2つの脆弱性を「実際に悪用が確認された脆弱性」の一覧に加えました。

• 10月27日

  国内の被害は「把握していない」

  IPAは、この時点で国内での被害事例は把握していないとしています。

政府の国家サイバー統括室もSNSで、修正版をできるだけ早く適用するよう呼びかけ、対応が難しい場合はWebサイトを一時停止することも有効な対策だとしています。実際に、大手のWebサービスでも一時停止して緊急メンテナンスを行う例が相次ぎました。

攻撃されると、何が起きる？

PHP2shellのこわいところは、ログインしなくても、インターネットの外側から攻撃できることです。流れを図にすると、次のようになります。

1弱いサイトを探すプログラムで自動的に探します

2細工したアクセスログインは必要ありません

3サーバーで勝手に実行攻撃者のプログラムが動きます

4被害書きかえ・情報の流出など

自分の会社は関係ある？まずはここを確認

「PHPなんて使っているかわからない」という方も多いと思います。次のどれかに当てはまれば、PHPを使っている可能性が高いです。

• ホームページをWordPressで作っている（WordPressはPHPで動いています）
• レンタルサーバーで、会社のサイトやお問い合わせフォームを動かしている
• 予約・受発注・会員管理などのWebシステムを、制作会社に作ってもらった
• システムの説明に「Laravel（ララベル）」「CakePHP（ケイクピーエイチピー）」という名前が出てくる

PHPのバージョンの確認方法

専門知識がなくても、次の方法でおおよそ確認できます。

修正版のバージョン一覧

今日やること・制作会社に頼むこと

1. PHPを使っているシステムを洗い出す

   ホームページ、フォーム、社内システムなど、思いつくものを書き出します。

2. 担当の会社に連絡する

   「今回のPHPの脆弱性（PHP2shell）の対応はどうなっていますか」と聞きます。

3. 修正版への更新をお願いする

   本番に入れる前に、テスト用の環境で動作を確認してもらいましょう。

4. すぐ更新できないなら応急処置

   管理画面へのアクセスを社内だけに制限する、使っていないシステムを止める、場合によってはサイトを一時停止する、などです。

5. 攻撃の跡がないか調べてもらう

   JPCERT/CCは、PHPの処理が何度も異常終了していないか、不審なファイルや通信がないかの確認を呼びかけています。ログ（サーバーの記録）の確認をお願いしましょう。

古いPHP（7.4・5系など）のままの場合

いちばん困るのがこのケースです。PHP 8.1以前はすでにサポートが終わっていて、普通の修正版は配られません。

• PHPの開発チームは7.4・8.0・8.1向けに最小限の修正を公開していますが、自分たちでPHPに組み込む必要があり、専門的な作業になります。
• IPAが紹介しているセキュリティ会社の調査では、PHP 5.4以降は今回の脆弱性の少なくとも一つの影響を受けるとされています。

IPAは、修正版への更新が難しい場合、アクセス制限やサービスの一時停止を検討すること、そして長い目では「そのシステムは本当に必要か」「入れかえや移行ができるか」「保守を続ける予算と人がいるか」を見直すよう呼びかけています。

つまり、古いPHPのシステムは「とりあえずのパッチ」でしのいでも、いずれPHP 8系へのバージョンアップが必要になります。費用や進め方はPHPバージョンアップの費用と進め方でくわしく説明しています。

「頼める相手がいない」ときは

実際によく聞くのは、こんな声です。

• 作った会社と連絡がとれない
• 仕様書などの資料がない
• 社内の担当者が辞めて、だれも中身がわからない

このような場合でも、あきらめる必要はありません。システムの中にあるプログラム（ソースコード）を読めば、どう動いているかを調べ直すことができます。くわしくはシステム保守の引き継ぎ｜資料がない・開発会社と連絡がとれない時をご覧ください。

よくある質問

Digi Dinosにご相談ください

Digi Dinos（デジダイノス）は、ベトナムと日本（横浜）に拠点を持つソフトウェア開発会社です。創業から8年、150件以上のプロジェクトを手がけてきました。日本語で対応できるチームが、古いPHPシステムの脆弱性対応・バージョンアップ・保守の引き継ぎをお手伝いします。

PHP以外の言語で作られた古いシステムも対応しています。