PHP2Shellとは？PHPの重大な脆弱性とWordPressで今すぐ確認したい対策

2026年10月21日、PHPの重大な脆弱性「PHP2Shell」に対応するセキュリティ更新が公開されました。PHPはWordPressをはじめ、多くのWebサイトで利用されているプログラミング言語です。

今回の問題は、条件がそろうと攻撃者がログインせずにサーバー上で不正なプログラムを実行できる可能性があるという深刻なものです。

WordPressでブログを運営している方も、まずは利用中のPHPのバージョンを確認する必要があります。PHP2Shellの仕組みから、影響するバージョン、レンタルサーバーでの対応方法まで順番に説明します。

PHP2Shellとは？何が問題になっているのか

PHP2Shell（ピーエイチピー・トゥ・シェル）は、PHP本体で発見された2件の重大なセキュリティ上の欠陥をまとめて呼ぶ名称です。

PHPは、Webサイトを表示したり、フォームから送信された情報を処理したりするために使われています。WordPressもPHPで動作するシステムの一つです。

今回の問題はWordPressの特定のプラグインだけに存在するものではありません。PHPそのものに脆弱性があるため、PHPを利用する幅広いWebサイトが影響を受ける可能性があります。

PHPの開発元は2026年10月21日に緊急の修正版を公開し、Webリクエストを処理するPHP環境の管理者に速やかな更新を呼びかけています。

PHP2Shellで発見された2つの脆弱性

CVE（共通脆弱性識別子）は、セキュリティ上の欠陥を区別するための番号です。CVSS（脆弱性の深刻度を評価する共通指標）では、両方とも9.2と評価されています。

この数値は、実際にすべてのサイトが攻撃されたことを意味するものではありません。ただし、対処を急ぐ必要がある重大な問題と判断されています。

攻撃されると何が起きる？

PHP2Shellでは、RCE（リモートコード実行：外部からサーバー上でプログラムを実行すること）が問題になります。

攻撃が成功した場合、攻撃者はPHPを動作させているサーバーの実行権限の範囲で、不正な処理を行える可能性があります。

• Webサイトのファイルや設定情報を不正に読み取る
• サーバー上のファイルを改ざんする
• 不正なプログラムを設置する
• Webサイトの正常な動作を妨害する
• サーバーがアクセスできる機密情報を取得する

これらは想定される影響であり、すべての環境で同じ被害が発生するという意味ではありません。実際の影響は、サーバーの構成やPHPプロセスの権限などによって異なります。

PHP2Shellの影響を受けるバージョンと修正版

PHP開発元は、PHP 8.2から8.5までの各系列について修正版を公開しています。

使用中のPHPが次の修正版より古い場合は、修正が適用されているかを確認してください。

この表はPHP開発元が2026年10月21日に公開した情報に基づいています。

Linuxディストリビューション（Linuxを配布・管理する製品群）やレンタルサーバーの事業者によっては、バックポート（新しい修正を古いバージョンのソフトウェアへ適用すること）が行われる場合があります。その場合、表示されるPHPのバージョン番号だけでは修正済みか判断できないことがあります。

レンタルサーバーを利用している方は、PHPのバージョンだけでなく、サーバー事業者がPHP2Shellへの修正を適用済みかどうかも確認してください。

公式発表はPHP公式のセキュリティ告知で確認できます。

WordPressもPHP2Shellの影響を受ける？

WordPressもPHPを利用するため、PHP2Shellの影響を受ける可能性があります。

ただし、WordPressを使用しているすべてのサイトが同じ条件で攻撃されるわけではありません。実際の危険性は、PHPの修正状況やWebサーバーの構成などによって変わります。

特に注意したいのは、WordPress本体やプラグインが最新でも、サーバー側のPHPが未修正なら問題が残る可能性があることです。

WordPressを更新するだけでは解決しない

WordPressの更新とPHPの更新は、それぞれ別の作業です。

• WordPress本体の更新：WordPress自体の機能や不具合を修正します。
• プラグインの更新：追加機能に関する修正を適用します。
• テーマの更新：デザインやテーマ固有の機能を修正します。
• PHPの更新：サーバーで実行されるPHP本体を更新します。

PHP2ShellはPHP本体の脆弱性であるため、WordPressの更新だけで修正できるものではありません。

また、WordPressのログイン画面を保護する対策だけでは、今回の問題を完全に防ぐことはできません。PHP公式は、Apacheのmod_php環境ではアプリケーションのコードが実行される前に攻撃が成立する経路を確認しています。

WordPressでPHPのバージョンを確認する方法

WordPressを利用している方は、まず管理画面からPHPのバージョンを確認してみてください。

通常のWordPress管理画面では、次の順番で確認できます。

1. WordPressの管理画面にログインします。
2. 左側のメニューから「ツール」を開きます。
3. 「サイトヘルス」を選択します。
4. 「情報」タブを開きます。
5. 「サーバー」の項目を展開します。
6. 表示される「PHPバージョン」を確認します。

例えば「8.3.35」と表示されている場合、PHP開発元が公開した8.3系列の修正版「8.3.36」より古いバージョンです。

ただし、サーバー事業者が独自に修正を適用している場合もあるため、最終的な修正状況は提供元の情報と照合してください。

管理画面に表示されるPHPのバージョンは、WordPressが実際に利用しているPHP環境を把握するための重要な手掛かりになります。

管理画面に入れない場合は？

WordPressへログインできない場合は、レンタルサーバーの管理パネルでPHPの設定を確認する方法があります。

PHPのバージョンを表示・変更する機能は、利用するサーバーによって名称や操作方法が異なります。

管理パネルで見つからない場合は、サーバー会社の公式マニュアルやサポート窓口を利用してください。

なお、PHPのバージョンを表示するためだけに、Web上からアクセスできる場所へ詳細なPHP環境情報を公開するファイルを設置する必要はありません。

PHP2Shellへの対策方法｜サイト運営者が今すぐ行うこと

PHP2Shellへの根本的な対策は、修正が適用されたPHPを利用することです。

WordPressを運営している場合は、次の順番で確認すると対応を進めやすくなります。

1. PHPの現在のバージョンと修正状況を確認する

最初に、WordPressのサイトヘルスやレンタルサーバーの管理パネルから、利用中のPHPバージョンを確認します。

そのうえで、レンタルサーバー事業者からPHP2Shellに関するセキュリティ情報が発表されていないかを調べてください。

確認するポイントは、現在のバージョン、修正の適用状況、利用者自身による操作が必要かどうかの3点です。

2. PHPを変更する前にバックアップを取得する

PHPの更新はセキュリティ上重要ですが、WordPressのテーマやプラグインとの互換性に影響する場合があります。

更新前にはWordPressのファイルとデータベースをバックアップし、復元できる状態を確保してください。

バックアップには、記事データが保存されるデータベースだけでなく、テーマ、プラグイン、アップロードした画像なども含める必要があります。

バックアップ機能がレンタルサーバーに用意されている場合は、その保存範囲と復元方法も確認しておきましょう。

ただし、バックアップの準備に長時間かかるからといって、重大なセキュリティ更新を無期限に先延ばしにすることは避けてください。自分で安全に対応できない場合は、サーバー管理者へ早急に相談することが適切です。

3. 修正版のPHPへ更新する

レンタルサーバーの管理画面でPHPのバージョンを選択できる場合は、提供されている修正済みバージョンを確認します。

PHP 8.3系列なら8.3.36以降、PHP 8.4系列なら8.4.27以降が今回の修正版です。

ただし、バージョンを大きく変更すると、古いWordPressテーマやプラグインが正常に動かなくなる場合があります。

そのため、サーバー事業者の案内に従い、可能であれば検証環境（公開サイトに影響を与えず動作を試せる環境）で互換性を確認してください。

自分でPHPを管理しているVPS（仮想専用サーバー）などでは、OSやPHPの導入方法に合った修正パッケージを適用し、必要なPHPプロセスの再起動まで確認します。

単に更新ファイルを取得しただけでは、稼働中のプロセスに修正が反映されていない場合があります。

4. 更新後にWordPressの動作を確認する

PHPの更新が終わったら、WordPressの動作を確認します。

• トップページや主要な記事が正常に表示されるか
• WordPress管理画面へログインできるか
• 画像やCSSなどの表示に問題がないか
• お問い合わせフォームなどの主要機能が動作するか
• ECサイトの場合、注文などの重要な機能が正常に動作するか

エラーが発生した場合は、PHPのエラーログやWordPressのデバッグ情報などを利用して原因を調べます。

なお、サイトが正常に表示されることと、脆弱性が修正されていることは別です。動作確認とあわせて、更新後のPHPの修正状況も確認してください。

PHPをすぐに更新できない場合はどうする？

PHPの更新が難しい場合でも、何もしないまま運用を続けることは推奨されません。

PHP開発元や各国のセキュリティ機関は、修正版への更新を最も重要な対策として案内しています。

更新まで時間が必要な場合は、サーバー管理者と相談して、インターネットからのアクセスを一時的に制限するなどの対応を検討してください。

WAFを導入していれば安全？

WAF（Web Application Firewall：Webサイトへの不正な通信を検知・遮断する仕組み）は、特定の攻撃を防ぐために役立つ場合があります。

AWSも2026年10月21日に、PHP2Shellへの攻撃リスクを軽減するためのAWS WAFの利用方法を公開しています。

ただし、WAFが検知できない攻撃方法が存在する可能性もあります。

WAFはPHPの脆弱性そのものを修正するものではなく、PHPの更新に代わる完全な対策ではありません。

セキュリティ関連企業のサイバーセキュリティクラウドも、WAFによる対策とPHPの更新を区別するよう注意を呼びかけています。

設定変更だけで防げる？

PHP2Shellでは、メモリ管理やリクエスト処理に関係する問題が確認されています。

一部の設定変更によって特定の攻撃経路の危険性を下げられる場合はありますが、それだけで全ての攻撃経路を防げるわけではありません。

例えば、PHPの特定機能を無効化しただけで完全に安全になったと判断することは避けてください。

PHPの設定変更は既存機能にも影響するため、管理者が公式の情報に基づいて実施する必要があります。

PHP2Shellで既に攻撃されていないか確認するには？

修正版を適用することは今後の攻撃を防ぐために重要ですが、更新前に侵入されていた場合、PHPの更新だけで不正なファイルや変更が消えるとは限りません。

そのため、外部からアクセスできるPHP環境を運用していた場合は、必要に応じて不審な動作がなかったかを確認します。

不審なログやファイルを確認する

サーバー管理者が確認できる代表的な項目には、次のようなものがあります。

• PHPのメモリ不足や異常終了が短時間に繰り返されていないか
• 通常とは異なる大量のPOSTリクエストが発生していないか
• 見覚えのないPHPファイルが追加されていないか
• WordPressのテーマやプラグインに不審な変更がないか
• サーバー上に不審なプロセスや定期実行処理が存在しないか

ただし、これらの兆候があるからといって、PHP2Shellによる攻撃だと確定できるわけではありません。通常の処理や別の不具合でも似た現象が発生することがあります。

逆に、目立ったエラーがなくても侵入の可能性を完全に否定することはできません。

侵入が疑われる場合の対応

不正なファイルや操作の痕跡が見つかった場合は、サーバー管理者やセキュリティ担当者へ連絡し、必要に応じて外部からのアクセスを制限します。

原因を調べる前に不審なファイルやログを無差別に削除すると、被害の調査に必要な証拠が失われる可能性があります。

被害状況を確認したうえで、不正な変更の除去、認証情報の変更、バックアップからの復旧などを検討します。

個人のWordPressサイトであっても、侵入が疑われる場合はサーバー会社へ相談することが重要です。

PHP2Shellに関するよくある疑問

WordPressを使っているだけで必ず被害に遭いますか？

いいえ。WordPressを利用しているだけで、必ず攻撃が成功するわけではありません。

PHPのバージョンや修正の適用状況、サーバーの構成などによって危険性は異なります。ただし、WordPressがPHPを使用する以上、PHP2Shellを無関係な問題として扱うことはできません。

WordPressのセキュリティプラグインだけで防げますか？

セキュリティプラグインはWordPressへの不正なアクセスを防ぐために役立つ場合がありますが、PHP本体の脆弱性を修正するものではありません。

今回の問題ではアプリケーションが処理を開始する前に攻撃が成立する経路も報告されているため、PHPの更新を優先してください。

レンタルサーバーを利用している場合も自分で更新する必要がありますか？

利用しているサービスによって異なります。

サーバー事業者がPHPの修正を管理している場合もあれば、利用者自身が管理画面からバージョンを切り替える必要がある場合もあります。

また、事業者が修正をバックポートしている場合は、PHPの表示バージョンだけで判断できないことがあります。

まずはサーバー会社が公開しているPHP2Shellへの対応状況を確認してください。

PHP2Shellは既に悪用されていますか？

2026年10月21日時点で、セキュリティ研究者による攻撃実証が公開されており、実際の攻撃とみられる動きについても報告があります。

ただし、攻撃の試行が観測されたことと、個々のWebサイトで侵入や被害が確認されたことは別です。

被害の発生状況は変化する可能性があるため、最新の情報はPHP開発元やセキュリティ機関の発表に基づいて判断する必要があります。

まとめ｜PHP2Shellへの対応で最も重要なのはPHPの修正状況

PHP2Shellは、PHP本体に存在する2件の重大な脆弱性です。WordPressなどPHPを利用するWebサイトにも影響する可能性があり、PHP開発元は2026年10月21日に修正版を公開しました。

WordPress利用者は、まず「ツール」から「サイトヘルス」を開き、現在のPHPバージョンを確認してください。その後、レンタルサーバー事業者の案内と照合し、修正が適用されているかを確認します。

PHPの更新が必要な場合は、バックアップと互換性を確認しながら、できるだけ早く修正版へ移行することが重要です。

WAFやセキュリティプラグインは補助的な対策として利用できますが、今回の脆弱性に対する根本的な修正はPHP側の更新です。

公式の最新情報は以下から確認できます。

あわせて読みたい記事

次に知りたいことや、役立つ情報をまとめました。

【新着NEWS】最新ネット情報

PHPに重大な脆弱性2件、2026年10月21日に修正版公開｜WordPress運営者が確認すべき対策

PHPに深刻度9.2の脆弱性2件が発見され、2026年10月21日に修正版が公開されました。WordPress運営者が確認すべきPH…

記事を読む →

関連記事の一覧を見る →