PHP脆弱性とは？こんな大騒ぎの理由はなぜ？

2026年10月、世界中のWebサイトに影響を及ぼす可能性があるPHPの重大な脆弱性が発覚し、大きな話題となっています。

日本国内でも財務省やANAなどが一部サービスを停止する事態となり、突然サイトにアクセスできなくなったことで驚いた方も多いのではないでしょうか。

今回問題となったのは「PHP2Shell」と呼ばれる脆弱性で、ログインしていない第三者から攻撃される可能性が指摘されています。さらに、修正版の公開前に情報が広まったことも、混乱を拡大させた要因とされています。

なぜこれほど大規模な騒動に発展したのでしょうか。

本記事では、PHPの脆弱性が危険視される理由やサービス停止の背景、WordPress利用者が確認すべき対策についてわかりやすく解説します。

PHPとは？Webサイトの仕組みを支えるプログラミング言語

PHPとは、Webサイトの表示や機能を実現するために、サーバー側で処理を行うプログラミング言語の一つです。

特に、ブログや企業サイトの制作に広く利用されているWordPressでは、PHPが重要な役割を担っています。

例えば、ユーザーがWordPressで作成された記事にアクセスすると、PHPがデータベースから必要な情報を取得し、サイトのデザインや各種設定を反映させてページを生成します。

つまり、私たちが普段目にしているWebページは、PHPによるさまざまな処理を経て表示されているのです。

身近なものに置き換えるなら、WordPressが飲食店そのものだとすると、PHPは料理を作る調理場のような存在といえるでしょう。

利用者の目に直接触れることはありませんが、サービスを正常に提供するうえで欠かせない仕組みです。

また、PHPは世界中のWebサイトで採用されています。

W3Techsが公表した2026年10月の統計によると、サーバー側のプログラミング言語を確認できるWebサイトのうち、約69％でPHPが使用されているとされています。

この数字からも、PHPがインターネット上で広く普及していることがわかります。

そのため、PHPに関する問題が発覚した場合、影響は特定のWordPressプラグインや一部のWebサービスだけにとどまるとは限りません。

多くのWebサイトを動かす基盤技術に関係する問題であるため、内容によっては幅広いサービスに影響が及ぶ可能性があります。

今回の問題が注目されている背景には、こうしたPHPの普及率の高さと、Webサイトの運営を支える重要性があるのです。

PHP2Shellとは？発見された2つの脆弱性と危険度

今回、PHPに関連するセキュリティ上の問題として報告されているのが、「CVE-2026-109618」と「CVE-2026-109619」の2つの脆弱性です。

これらは研究者などの間で「PHP2Shell」と総称されており、いずれも深刻度を示すCVSSスコアが9.2とされています。

CVSSとは、システムの弱点がどれほど危険なのかを数値で評価する指標です。

一般的に10点に近づくほど深刻な問題と判断され、9.0以上は最高ランクの「緊急」に分類されます。

今回報告されている9.2という数値も、非常に高い危険度を示しています。

ただし、注目すべきなのは評価点数の高さだけではありません。

特に警戒されているのは、攻撃者が正規の利用者としてログインしなくても、不正な操作を実行できる可能性が指摘されている点です。

ログイン不要で攻撃される？認証なしのリモートコード実行とは

今回の脆弱性を理解するうえで重要なのが、「Unauthenticated Remote Code Execution」という専門用語です。

日本語では「認証なしのリモートコード実行」と呼ばれ、ログインによる本人確認を経ずに、外部からサーバー上でプログラムを動かせてしまう状態を意味します。

通常、Webサイトへの不正侵入と聞くと、管理者のIDやパスワードを盗み、管理画面にアクセスする方法を思い浮かべるかもしれません。

しかし、今回指摘されている問題は、それとは異なる仕組みです。

攻撃者が特別な細工を施した通信データをWebサーバーに送信することで、認証を突破する手順を踏まずに、意図しないプログラムを実行させる可能性があるとされています。

例えば、厳重に施錠された建物であっても、外部から内部の設備に直接指示を出せる抜け道が存在するような状況です。

こうした脆弱性が悪用された場合、サーバー内の情報が不正に取得されたり、Webサイトが改ざんされたりする危険性も考えられます。

提供された情報によると、PHP公式も今回の2件について、認証を必要としないリモートコード実行につながる可能性を指摘しています。

そのため、単なる表示エラーや一部機能の不具合とは異なり、Webサイトの安全性そのものに関わる問題として注意が必要です。

なお、ここで紹介した脆弱性の識別番号や公式見解については、外部検索を行っていないため、提供された情報に基づいています。

CVE-2026-109618の原因は？メモリ不足によって発生する不具合

今回報告された脆弱性の一つである「CVE-2026-109618」は、PHPがメモリ不足に陥った際の処理に問題があるとされています。

そもそもメモリとは、コンピューターがプログラムを実行するときに、必要な情報を一時的に保存しておく場所のことです。

通常、PHPがWebサイトへのアクセスによって送られてきたデータを処理する際、使用できるメモリが不足すると、安全に処理を終了する仕組みになっています。

しかし、今回指摘されている問題では、特定の状況下で処理が正常に完了せず、不完全なデータがメモリ上に残る可能性があります。

さらに、プログラムの終了処理において、その不完全な情報を正常なものとして扱ってしまうことが問題です。

これによってメモリ内部のデータが破損し、場合によっては攻撃者に不正なプログラムを実行される危険性が生じます。

つまり、単にメモリが不足するだけでなく、その後の処理に問題があることで、セキュリティ上の弱点につながると考えられています。

CVE-2026-109619とは？削除済みの情報を誤って利用する問題

もう一つの「CVE-2026-109619」も、PHPのメモリ管理に関係する脆弱性です。

Webサーバーでは、利用者からアクセスがあるたびに、必ずしも新しいプログラムが起動するわけではありません。

同じ処理担当のプログラムが、複数のアクセスを順番に受け付ける場合があります。

本来であれば、前の処理で使用した不要な情報は適切に破棄され、次の処理に影響しないよう管理されます。

ところが、今回の問題では、すでに解放されたメモリを後続の処理で参照してしまう可能性が指摘されています。

このような不具合は、一般的に「Use After Free（ユース・アフター・フリー）」と呼ばれます。

身近な例で考えると、仕事が終わって廃棄したはずの書類を、次の仕事でも有効な資料として使用してしまうような状態です。

しかも、その情報が残る状況やメモリの使われ方を攻撃者に操作されると、意図しない動作を引き起こすおそれがあります。

悪用条件が成立した場合には、不正なコードの実行につながる可能性もあるため、注意が必要です。

PHP2Shellが重大な問題として注目される理由

Webサイトやサーバーに関する脆弱性は、これまでも数多く発見されてきました。

そのため、今回の問題についても、過去に報告されたセキュリティ上の欠陥と何が違うのか、疑問に感じる方もいるでしょう。

特に懸念されるのは、PHPのメモリ管理に関わる問題であることに加え、認証を必要としない攻撃につながる可能性が指摘されている点です。

通常、管理者権限を必要とする攻撃であれば、パスワード管理やアクセス制限などが一定の防御策になります。

しかし、ログインしていない第三者からの通信によって脆弱性が悪用される場合、こうした対策だけでは十分に防げない可能性があります。

さらに、PHPは多くのWebサイトで利用されているため、影響を受ける環境が広範囲に存在することも懸念材料です。

ただし、PHPを使用しているすべてのWebサイトが攻撃可能になるわけではなく、実際の危険性はPHPのバージョンやサーバーの設定、脆弱性が成立する条件によって異なります。

今回のPHP2Shellが重要視される背景には、こうした攻撃条件の深刻さと、幅広いWebサービスへの潜在的な影響があると考えられます。

PHP2Shellが危険視される理由は？WordPress以外にも影響する可能性

今回のPHP2Shellが注目されている大きな理由は、WordPressの特定の機能やプラグインではなく、PHPそのものに脆弱性が存在すると報告されているためです。

PHP公式が影響を受ける可能性のある環境として挙げているのは、PHP-FPMやApache mod_php、php-cgi、FrankenPHP、LiteSpeedなどです。

これらはいずれも、Webサイトへのアクセスに応じてPHPの処理を実行する仕組みに関係しています。

つまり、WordPressを使用していないWebサイトであっても、PHPを利用している場合は無関係とはいえません。

また、今回の問題では、攻撃者が管理者アカウントを取得したり、ログイン情報を盗み出したりする必要がないとされています。

外部からアクセスできるWebサイトであれば、条件次第で攻撃の対象になる可能性があります。

アクセス数の少ない個人ブログでも、必ずしも安全とは限りません。

インターネット上では、攻撃対象となるサーバーを自動的に探し出すプログラムが活動しているため、サイトの知名度や訪問者数だけで危険性を判断することはできないのです。

WordPressのセキュリティ対策だけでは防げない理由

PHP2Shellで特に注意したいのが、Webサイトのアプリケーションが動作する前の段階で攻撃が成立する可能性です。

提供されたPHP公式の説明によると、Apacheのmod_phpを使用する一部の環境では、WordPressなどのプログラムが実行される前に脆弱性を悪用できるケースが確認されています。

一般的なWordPressのセキュリティ対策には、不正ログインの防止や管理画面へのアクセス制限、セキュリティプラグインの導入などがあります。

しかし、PHP本体の処理段階に問題が存在する場合、WordPress側で実施している対策だけでは攻撃を阻止できない可能性があります。

これは、建物の各部屋に防犯設備を設置していても、建物全体を管理する設備に弱点が残っているような状態です。

そのため、WordPressの更新やプラグインの管理に加えて、サーバーで動作しているPHP自体の安全性を確認することが重要になります。

PHPの設定変更だけで脆弱性を防ぐことはできる？

PHP2Shellへの対処方法として、サーバーの設定を調整する対策も挙げられています。

例えば、ファイルのアップロード状況を管理する「session.upload_progress」の無効化や、メモリ使用量に関する設定の見直し、POSTリクエストで受け付けるデータ量の制限などです。

これらの設定を変更することで、特定の攻撃が成立しにくくなる可能性があります。

ただし、こうした方法は脆弱性そのものを修正するわけではありません。

PHP公式も、設定変更による対処だけでは完全な防御にならないと説明しているとされています。

そのため、一時的なリスク軽減策として利用できる場合はあっても、根本的な解決にはPHP本体の修正が必要です。

Webサイトを安全に運営するためには、設定の見直しだけで対応を終わらせず、修正済みのPHPへ更新することが重要になります。

PHP2Shellの修正版は公開済み！更新が必要なバージョンは？

提供された情報によると、2026年10月21日にPHP公式から、今回の脆弱性に対応した修正版が公開されています。

修正済みとされるPHPのバージョンは以下のとおりです。

それぞれの系列で、上記より古いバージョンを利用している場合は、更新が必要になる可能性があります。

また、PHP 8.1以前はPHP本家の通常サポートが終了しているため、特に注意が必要です。

今回の問題に対応するため、一部の旧バージョン向けにも修正ソースが公開されているとされています。

ただし、一般的なWebサイト運営者の場合は、レンタルサーバー会社やOSの提供元が案内する修正版を適用することが現実的な対応となります。

PHPのバージョン確認で注意したいポイント

PHPを更新する際に気をつけたいのが、バージョン番号の確認方法です。

PHPには8.2、8.3、8.4、8.5といった複数の系列がありますが、数字の大きい系列を選ぶだけでは、今回の脆弱性に対応できたとは限りません。

例えば、PHP 8.3.33からPHP 8.5.11へ変更した場合、系列としては新しくなっています。

しかし、今回のPHP 8.5系列における修正版は8.5.12とされているため、8.5.11では修正が反映されていないことになります。

つまり、重要なのはPHPの系列だけでなく、最後の数字まで含めて修正済みのバージョンになっているかどうかです。

レンタルサーバーでは、PHPの細かな更新が運営会社によって自動的に実施される場合もあります。

そのため、サーバーの管理画面やPHPのバージョン情報を確認できる機能を利用し、現在稼働しているPHPが修正済みか調べることが大切です。

なお、OSやサーバー会社が独自にセキュリティ修正を適用している場合は、表示されるバージョン番号が古くても対策済みのことがあります。

その場合は、番号だけで判断せず、サーバー会社が公表しているセキュリティ情報も確認する必要があります。

今回のPHP2Shellに関する修正版の公開日やバージョン番号は、ご提供いただいた情報をもとに記載しています。外部検索による確認は行っていません。

PHPの脆弱性でサイト停止が相次いだのはなぜ？

今回のPHP2Shellをめぐって、多くのWebサイトやオンラインサービスが一時停止する事態となった背景には、脆弱性に関する情報が予定より早く外部に流出したことがあるとされています。

通常、重大なセキュリティ上の欠陥が発見された場合、研究者は開発元に非公開で報告し、修正版が完成するまで詳細な情報を慎重に管理します。

これは、対策が整う前に攻撃者が弱点を把握し、不正アクセスに悪用することを防ぐためです。

しかし、今回の問題では正式発表よりも前に一部の情報が広まったことで、修正プログラムが提供されるまでの間に攻撃が発生する危険性が懸念されました。

こうした状況を受け、PHPの開発側は深刻な脆弱性2件について修正版を公開する予定であることを緊急告知したとされています。

さらに、欧州のセキュリティ対応機関であるCERT-EUなども、直ちに修正できないシステムについては、インターネットから一時的に切り離す対応を検討するよう呼びかけました。

その結果、被害が発生する前にWebサイトやサービスを自主的に停止する動きが広がったと考えられます。

つまり、今回のサービス停止は、必ずしもサイバー攻撃による障害が原因だったわけではありません。

セキュリティ上の危険を避けるため、運営者が予防措置としてアクセスを制限したケースもあったということです。

財務省やANAも影響？日本国内で相次いだサービス停止

PHP2Shellへの警戒は、日本国内のWebサイトやオンラインサービスにも広がったと報告されています。

提供された情報によると、財務省ではPHPの脆弱性に対応するため、一部のWebコンテンツを一時的に停止する措置が取られました。

また、ANAでもセキュリティ上のリスクを考慮し、一部サービスの提供を予防的に中断したとされています。

そのほか、教育関連サービスやレンタルサーバー事業者、各種インターネットサービスでも緊急メンテナンスが実施されるなど、幅広い分野に影響が及んだとされています。

短期間に複数のWebサイトへアクセスできなくなったことで、大規模なサイバー攻撃が発生したのではないかと不安を感じた利用者もいたかもしれません。

しかし、サイトが停止しているからといって、実際に不正アクセスを受けたとは限りません。

今回のように、脆弱性が悪用される前にシステムを停止し、安全性を確認する対応もあります。

そのため、サービス停止の事実とサイバー攻撃による被害の発生は、区別して考える必要があります。

コミックシーモアのサービス停止もPHP2Shellが原因？

電子書籍サービスの「コミックシーモア」についても、今回のPHP脆弱性との関連を気にする声があるようです。

コミックシーモアでは、2026年10月15日から不正アクセスの可能性を受けて、サービスを停止する対応が行われたとされています。

ただし、この問題が発生したのは、PHP2Shellに関する情報が広く公表される前のことです。

また、10月21日の公式発表では、不正アクセスの侵入経路などについて調査を進めていることが説明されているものの、PHP2Shellが原因であると明らかにされたわけではありません。

そのため、現段階で両者に直接的な関係があると判断することはできません。

発生時期が近いことから関連性を疑いたくなるかもしれませんが、原因が確認されていない以上、別のセキュリティ事案として捉えることが適切でしょう。

小説家になろうにアクセスできなかった理由は？

小説投稿サイトの「小説家になろう」でも、一部の利用者がサイトに接続できない状況が発生したとされています。

提供された案内によると、運営側は緊急性の高い脆弱性への修正が予告されているミドルウェアへの対応として、一部の接続元に対するアクセス制限を一時的に実施しました。

ミドルウェアとは、Webサイトのシステムを動かすために、OSとアプリケーションの間などで動作するソフトウェアのことです。

今回のように重要な脆弱性が報告された場合、システムを保護する目的でアクセス制限が行われることがあります。

そのため、利用者が一時的にサイトを閲覧できなくなっても、必ずしもサービス自体に障害が発生しているとは限りません。

普段から小説家になろうを利用している方にとっては、突然作品が読めなくなることに戸惑いもあったでしょう。

しかし、アクセス制限が解除されれば、通常どおり作品を閲覧できるようになる場合があります。

今回、複数のサイトで接続障害のような状況が見られた背景には、各サービスの運営者がセキュリティ対策を優先したことも関係していると考えられます。

WordPress利用者が確認すべきPHPのバージョンと対策方法

WordPressでブログやWebサイトを運営している場合、今回のPHP2Shellに対してどのような対応が必要なのか気になるところです。

まず理解しておきたいのは、WordPress本体を最新版に更新するだけでは、PHP自体の脆弱性を修正できないという点です。

提供された情報によると、WordPress.orgも今回の問題はWordPress固有の脆弱性ではないと説明しており、この問題に対応するためのWordPress本体の更新は予定していないとされています。

そのため、最初に確認したいのが、サーバーで使用しているPHPのバージョンです。

WordPressの管理画面から確認する場合は、「ツール」から「サイトヘルス」を開き、「情報」の中にある「サーバー」の項目を確認します。

ここで、現在利用しているPHPのバージョンを調べることができます。

今回、修正済みとされているバージョンは、PHP 8.2.35、8.3.36、8.4.27、8.5.12です。

ただし、レンタルサーバーを利用している場合、PHPの細かな更新を利用者自身で実施できないこともあります。

特に共有レンタルサーバーでは、セキュリティ修正の適用をサーバー会社が管理しているケースが一般的です。

その場合は、契約しているサーバー会社の公式サイトや管理画面を確認し、今回の脆弱性への対応状況を調べることが重要になります。

また、サーバー会社が独自に修正を適用している場合もあるため、表示されるPHPのバージョン番号だけで安全性を判断しないようにしましょう。

WordPress本体やプラグインの更新も日常的なセキュリティ対策として大切ですが、今回の問題では、それらに加えてPHPの修正状況を確認することが欠かせません。

なお、各サービスの停止状況や公式発表、修正済みバージョンについては、ご提供いただいた情報をもとに構成しており、外部検索による事実確認は行っていません。

アクセス数が少ない個人サイトでも攻撃される可能性がある

Webサイトへのアクセスがほとんどなければ、サイバー攻撃の対象になる心配も少ないと考える方はいるかもしれません。

しかし、今回のPHP2Shellのような脆弱性では、サイトの知名度や訪問者数が少ないことは、必ずしも安全を意味しません。

その理由は、攻撃対象を探しているのが人間だけではないためです。

インターネット上には、膨大な数のIPアドレスやWebサイトを自動的に調査し、セキュリティ上の弱点を探し出すプログラムが存在しています。

こうしたプログラムは、人気サイトだけを狙うのではなく、攻撃できる可能性のあるシステムを幅広く探します。

そのため、閲覧者が少ない個人ブログや、長期間更新されていないWebサイトも標的になる可能性があります。

特に注意したいのが、管理者がほとんど利用しなくなった古いサイトです。

定期的なメンテナンスが行われていない場合、PHPやその他のソフトウェアが古いままになり、既知の脆弱性が放置されていることも考えられます。

つまり、アクセス数が少ないからといって対策を後回しにするのではなく、サイトの規模に関係なく適切なセキュリティ管理を行うことが重要なのです。

PHP2Shellはなぜ大きな騒動に？深刻視された背景

今回のPHP2Shellをめぐって、国内外のWebサイトやオンラインサービスで緊急対応が行われたとされています。

セキュリティ上の問題が発見されること自体は珍しくありませんが、今回の事例には複数の懸念材料が重なっていました。

まず、問題が指摘されたのは、多くのWebサイトで利用されているPHP本体です。

WordPressの特定のプラグインだけに影響するものではなく、PHPを使用するさまざまなサービスが確認や対策を求められる状況となりました。

さらに、ログインしていない第三者からの攻撃によって、サーバー上で不正なコードが実行される可能性も指摘されています。

環境によっては、WordPressなどのアプリケーションが起動する前の処理段階で攻撃が成立するおそれもあり、一般的なログイン対策だけでは十分に防げないことが懸念されました。

加えて、古いPHPにも影響が及ぶ可能性があり、設定変更だけで完全に回避できる方法がないことも問題を深刻にしています。

そして、脆弱性に関する情報が正式発表より前に外部へ広まったとされる点も、警戒が強まった理由の一つです。

攻撃手法の開発につながる情報が修正版の公開前に広がれば、対策が間に合わないシステムが狙われる危険性も高まります。

こうした複数の要因が重なったことで、世界中のWebサイト管理者が短期間で対応を迫られる事態になったと考えられます。

PHPを使うWebサイトの約70％が乗っ取られるわけではない

今回の問題を理解するうえで、PHPの普及率と実際に攻撃を受ける危険性を混同しないことも大切です。

W3Techsの2026年10月の統計では、サーバー側のプログラミング言語を判別できるWebサイトのうち、約69％がPHPを利用しているとされています。

ただし、この数字は世界中のWebサイトの約7割に今回の脆弱性が存在することを意味しているわけではありません。

PHPを使用しているサイトであっても、導入されているバージョンやサーバーの設定、PHPの実行方式などによって、実際の影響は異なります。

また、今回の脆弱性はCVSSスコア9.2という高い評価を受けているとされていますが、攻撃の成立には一定の条件や複雑さが伴います。

そのため、PHPを利用しているという理由だけで、すべてのWebサイトが直ちに乗っ取られると考えるのは正確ではありません。

一方で、攻撃が成立する条件が限られているからといって、対策を怠ってよいわけでもありません。

今回の問題では、PHP本体に修正を適用することが根本的な解決策とされています。

サイトの運営者にとって重要なのは、過度に不安を感じることではなく、利用中のPHPの状態を正しく把握し、必要な更新を確実に実施することです。

なお、ここで紹介した脆弱性の詳細や統計数値は、ご提供いただいた情報をもとにまとめたものであり、外部検索による確認は行っていません。

まとめ

今回のPHP脆弱性が大きな騒動となった背景には、PHPが世界中のWebサイトで広く利用されていることに加え、認証なしで不正なプログラムを実行される可能性があるなど、複数の深刻な問題が重なっていたことがあります。

また、修正版が公開される前に脆弱性情報が広まったことで、国内外の企業や公共機関が予防的にサービスを停止する事態にもつながりました。

ただし、PHPを利用しているすべてのサイトが直ちに攻撃されるわけではありません。

重要なのは、使用中のPHPが修正済みであるかを確認し、必要な更新を行うことです。

今回の問題をきっかけに、WordPressだけでなく、サーバー環境全体のセキュリティ管理にも目を向けることが大切といえるでしょう。