PHP2Shellとは？総理も呼びかけたPHPの脆弱性と、お店のホームページで確かめること

（2026年10月27日時点の情報です）

1分でわかるPHP2Shell

何に穴があったか：PHP。WordPressをはじめ、多くのホームページを動かしているプログラムです。
どんな穴か：ログインなしで、外からサーバー上の好きなプログラムを動かされるおそれがあります。ホームページの書き換え、お客様情報の盗み出し、ほかへの攻撃の踏み台に使われることがあります。
深刻さ：2件（CVE-2026-109618 / CVE-2026-109619）とも、危険度は10段階で9.2（緊急）です。
範囲：PHP 5.4以降のほぼ全部の版が対象です。ネットに公開されている対象は2,260万件以上という推計もあります（Palo Alto Networks）。
すでに悪用されています：米国の当局（CISA）は10月26日、「悪用が確認された脆弱性」の一覧に登録しました。

日時（日本時間）	出来事
2026年8月	AI（OpenAIのモデルなど）を使った調査で見つかり、PHPの開発チームへ報告される
10月17日	修正版が出る前なのに、Amazonのおとりサーバーで攻撃の試みが観測される
10月21日 0時ごろ	脆弱性の番号などがネットに漏れる。PHPは修正版の公開を前倒しすると発表
10月21日午後〜夜	国内のサーバー会社が、緊急メンテナンスやサイトの一時停止を始める
10月21日 21:55	高市首相がXで「今夜に対応して頂きたい大至急のお願い」と呼びかける。直せない場合はサイトの一時停止も有効だとした
10月21日 23時ごろ	修正版（PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）が公開される
10月22日	IPA（情報処理推進機構）が注意喚起を出す
10月26日	米CISAが「悪用が確認された脆弱性」に登録。実際に攻撃が成功したという報告も出る

ひとつのソフトの脆弱性について、首相が直接呼びかけるのは異例です。それだけ影響が広いと見られました。

答えは、ホームページがどこで動いているかで変わります。

ほとんどの場合、サーバー会社がもう直しています。

主なレンタルサーバー各社は、10月23日ごろまでに対応を終えたと発表しています。サポートが終わった古いPHPに、独自に修正を当てた会社もあります。
修正しても、画面に出るPHPのバージョン番号が変わらないことがあります。 番号だけで判断せず、サーバー会社のお知らせを確かめてください。
慌ててPHPのバージョンを上げる必要はありません。上げるときは、WordPressのテーマやプラグインが新しいPHPで動くかを先に確かめないと、画面が真っ白になることがあります。

サーバー会社は直してくれません。管理している人が、手で直す必要があります。

ホームページがどこで動いているかを確かめる。 レンタルサーバーなら、その会社の「PHP2Shell」のお知らせを読みます。分からなければ、制作会社・管理会社に聞きます。
委託先に、対応したかを聞く。 次の一文をそのまま送って大丈夫です。

「PHPの脆弱性（PHP2Shell）について、うちのホームページは対応済みでしょうか。サーバーの種類と、PHP・WordPressのバージョンも教えてください。」
おかしな変化がないかを見る。 修正前から攻撃は始まっていました。10月17日以降も公開していたサイトは、次の点を見てください。
- 知らないページや、怪しい広告が出ていないか
- 管理画面に、知らないユーザーが増えていないか
- サーバー会社から警告が届いていないか

返事が来ない、または「分からない」と言われた場合は、ホームページの預け先を見直すきっかけかもしれません。

スマホでの電話・予約導線を、まず見直す。

お店の情報を、見に来た人が次の行動へ進みやすい形に整えます。