PHP の脆弱性（2026 年 10 月）で自社サイトを確認する 3 点。レンタルサーバーと 8.1 以前の扱い

2026 年 10 月 21 日、PHP（多くのホームページや WordPress を動かしているプログラムの言語）に、外から認証なしでサーバーを操られるおそれのある脆弱性が 2 件公表され、同じ日に修正版が出ました。研究者が付けた通称は「php2shell」です。IPA と JPCERT/CC が 10 月 22 日に注意喚起を出しています。この記事では、IT 担当のいない会社が自社サイトについて確かめることを 3 点にまとめます。

この記事は 2026 年 10 月 31 日時点の公開情報をもとに書いています。修正版や各社の対応は更新されることがあるので、最新の情報は上の注意喚起のページで確かめてください。

今回の脆弱性で分かっていること

項目	内容
識別番号	CVE-2026-109618、CVE-2026-109619
起きうること	外部から認証なしで、サーバー上でプログラムを実行される
修正版	8.5.12、8.4.27、8.3.36、8.2.35（2026 年 10 月 21 日公開）
8.1 以前	公式のサポートが終わっており、通常の修正版は出ていない
攻撃の状況	公表の前後から、攻撃の試みが複数の事業者に観測されている。米国の CISA は 10 月 26 日に「悪用が確認された脆弱性」の一覧に加えた

実際に乗っ取りまで成功するかはサーバーの構成によるとされていますが、公式は「完全な対策は更新だけ」としています。なお、別の関連する脆弱性（CVE-2026-115560）は 10 月 21 日の修正版には含まれず、次の定例の修正版で直る予定です。

確認 1：サーバーを誰が管理しているか

最初に確かめるのは、PHP を更新する役目が誰にあるかです。ここで、やることが大きく分かれます。

• 共用のレンタルサーバー（エックスサーバー、さくらのレンタルサーバ、ロリポップ、ConoHa WING、お名前.com など）：PHP の更新はサーバー会社が行います。主要な各社は 10 月 22〜23 日に、提供中の PHP へ修正を適用したと告知しています。ただし、古い版の扱いは会社によって違い、緩和の設定を利用者に任せている会社もあります。契約しているサーバー会社の告知で、自社が使っている版が対象に入っているかを確かめてください。
• VPS・専用サーバー・クラウド：PHP の更新は、サーバーを管理している人（自社、制作会社、保守会社）の仕事です。サーバー会社は代わりに更新しません。
• ネットショップや予約などのサービスの中のページ：サービス側が対応します。各サービスの告知を見てください。

どの契約か分からない場合は、制作会社と連絡が取れないときにすること の手順で、サーバーの契約者と管理者をたどれます。

確認 2：PHP の版が 8.2 以上か

8.2〜8.5 は修正版が出ています。8.1 以前は公式のサポートが終わっていて、今回も通常の修正版は出ていません。サーバー会社が独自に修正を当てている場合もありますが、今後の脆弱性も同じ扱いになるとは限らないので、8.1 以前を使っているなら、版を上げる計画を立てる時期です。

版の確かめ方は WordPress と PHP のバージョンを確認する方法 に、サーバーごとの切り替えの手順はエックスサーバー・さくら・ロリポップ・ConoHa WING の記事にまとめています。制作会社へ頼むときの文面は PHP バージョンアップを制作会社に依頼する文例 にあります。8.2 も 2026 年 12 月 31 日でサポートが終わる予定です（PHP のサポート終了）。

確認 3：更新の前に入り込まれていないか

更新は、これからの攻撃を防ぐためのものです。更新の前にすでに不正なファイルを置かれていた場合、更新してもそのファイルは残ります。JPCERT/CC も、更新とあわせて侵害の有無を確かめるよう求めています。

自社でログを読むのは難しいので、管理している人に次の文面で確認を頼むのが現実的です。

2026 年 10 月 21 日に公表された PHP の脆弱性（CVE-2026-109618、CVE-2026-109619）について、当社のホームページの状況を教えてください。

1. サーバーの PHP の版と、修正版（8.2.35・8.3.36・8.4.27・8.5.12 以降）または修正の適用が済んだ日
2. PHP の版が 8.1 以前の場合、今後の版上げの予定と概算の費用
3. 10 月 17 日以降のアクセスの記録や、サーバー上の見覚えのないファイルの有無を確かめたか。確かめた場合はその結果
4. 今後、同じような緊急の更新が出たときに、誰が対応し、当社にどう知らせてもらえるか 認証情報（パスワードなど）は送らなくて構いません。

4 つ目は今回だけでなく、次の緊急の更新に備えるための質問です。保守契約の中身の確かめ方は ホームページの保守契約を確認する 5 つの点 にまとめています。

無料診断で分かること・分からないこと

無料診断 にドメインを入れると、サイトが応答の中で PHP の版番号を出している場合に、その版とサポート期限を表示します。版番号を出していないサイトでは「未確認」になります。版を出していないのは良い状態でもあります。

修正が当たっているか、すでに入り込まれていないかは、外からの点検では判定できません。無料診断はあくまで外から見える範囲の確認で、今回の件は確認 1〜3 をサーバーの管理者に確かめてもらうのが本筋です。外から見える範囲のほかの項目（証明書、HTTPS への転送、公開してはいけないファイルなど）は、無料診断でまとめて確かめられます。どこから手を付けるかは ホームページのセキュリティ対策は何から始めるか を参考にしてください。