今話題のPHP脆弱性「PHP2shell」とは？初心者向けに分かりやすく解説
最近、PHPに関する重大な脆弱性「PHP2shell」が話題になっています。
PHPは、WebサイトやWebサービスなどの裏側で幅広く利用されているプログラム言語です。
今回の脆弱性を悪用されると、攻撃者によってサーバー上で悪意のあるプログラムを実行される可能性があります。
「PHPって聞いたことはあるけれど、自分には関係ないのでは？」
と思われる方もいるかもしれません。
今回は、PHP2shellとは何なのか、なぜ注意が必要なのか、そしてどのような対策をすればよいのかを、できるだけ分かりやすく解説します。
1．そもそも「PHP」とは？
PHPは、WebサイトやWebサービスを動かすために利用されているプログラム言語のひとつです。
例えば、Webサイトでログインしたり、問い合わせフォームを送信したり、ページの内容を表示したりする処理の一部でPHPが使われています。
普段Webサイトを利用しているだけでは、PHPを意識することはほとんどありません。
しかし、Webサイトの裏側では、PHPが重要な役割を果たしていることがあります。
2．今回の「PHP2shell」とは？
今回問題となっているのは、PHPに存在する2つの脆弱性です。
CVE-2026-109618
CVE-2026-109619
この2つの脆弱性を組み合わせた攻撃は「PHP2shell」と呼ばれています。
この脆弱性を悪用されると、遠隔にいる攻撃者によって、PHPが動作しているサーバー上で任意のコードを実行される可能性があります。
簡単に言うと、
「PHPの弱点を悪用され、サーバー上で攻撃者が用意したプログラムを実行されてしまう可能性がある」という問題です。
PHP2shell攻撃のイメージ
3．なぜ今回の問題が重大なの？
今回の問題が特に注意されている理由のひとつは、攻撃に悪用できる実証コードが公開されていることです。
JPCERT/CCによると、この脆弱性を悪用しようとする通信も観測されており、今後さらに攻撃手法が広がる可能性があるとされています。
また、2026年10月26日には、今回の2つの脆弱性が米国CISAの「KEVカタログ（実際に悪用されたことが確認された脆弱性の一覧）」にも掲載されました。
そのため、「そのうち対応すればよい」と考えず、影響を受ける環境では早めに確認・対策することが重要です。
4．どんなWebサイトや機器が影響を受けるの？
PHPは、一般的なWebサイトだけでなく、さまざまなソフトウェアや機器にも利用されています。
例えば、
・WebサイトやWebアプリケーション
・WordPressなどのWebシステム
・レンタルサーバー
・VPN機器
・セキュリティ機器
・その他、PHPを組み込んだ製品 などがあります。
そのため、
「Webサイトを運営していないから関係ない」とは限りません。
PHPを内部で利用している機器やサービスが影響を受ける可能性もあるため、企業などでは利用している製品やサービスについて確認することが大切です。
5．どのバージョンが影響を受けるの？
今回の脆弱性では、以下のバージョンより前のPHPが影響を受けます。
PHP 8.2.35より前の8.2系
PHP 8.3.36より前の8.3系
PHP 8.4.27より前の8.4系
PHP 8.5.12より前の8.5系
また、IPAによると、PHP 8.1以前はすでにサポート終了となっており、今回の脆弱性に対する修正プログラムが提供されないバージョンがあります。
古いPHPを使い続けている場合は、特に注意が必要です。
6．どう対策すればいい？
基本的な対策は、修正版のPHPへアップデートすることです。
現在公開されている修正版は、
PHP 8.2.35PHP 8.3.36PHP 8.4.27PHP 8.5.12 です。
ただし、すべての人が自分でPHPを更新する必要があるわけではありません。
例えばレンタルサーバーを利用している場合は、サーバー会社が対応していることがあります。
また、PHPを組み込んだ機器や製品を利用している場合は、製品メーカーから提供されるアップデートや案内を確認しましょう。
PHP2shellの対策ポイント
7．自分でPHPを更新できない場合は？
PHPを自分で管理していない場合は、無理に設定を変更する必要はありません。
まずは、
・利用しているレンタルサーバーの案内を確認する
・Webサイトの管理会社に確認する
・利用している機器メーカーの情報を確認する
・システム管理者に確認する
などの方法で、自分が利用している環境に影響があるかを確認しましょう。
特に企業で利用しているWebシステムやネットワーク機器については、システム管理者だけでなく、製品の提供元からのセキュリティ情報も確認することが重要です。
8．古いPHPを使い続けるのは危険？
PHPのようなソフトウェアは、脆弱性が見つかると修正版が公開されます。
しかし、サポートが終了した古いバージョンでは、新しい脆弱性が見つかっても修正プログラムが提供されない場合があります。
そのため、「今は問題なく動いているから、そのままでいい」
という考え方は注意が必要です。
長期間更新されていないシステムでは、PHPの更新だけでなく、Webサイトやシステム全体の見直しが必要になる場合もあります。
9．私たちができること
今回のPHP2shellは、主にサーバーやシステム側の対策が必要となる問題です。
そのため、一般のWebサイト利用者が直接PHPを更新するケースは多くありません。
しかし、
・利用しているサービスからのセキュリティ情報を確認する
・WordPressなどを利用している場合は更新を確認する
・Webサイトやシステムの管理者に確認する
・不審なログイン通知などがないか確認する
・古いシステムを長期間そのままにしない
といった基本的な対策は大切です。
まとめ
今回の「PHP2shell」は、PHPに存在する重大な脆弱性です。
悪用された場合、攻撃者によってサーバー上で悪意のあるプログラムを実行される可能性があります。
今回のポイントをまとめると、
・PHPはWebサイトなどの裏側で広く利用されている
・PHP2shellはPHPに存在する2つの脆弱性を組み合わせた問題
・攻撃を試みる通信も確認されている
・PHPやPHPを利用する製品を最新の修正版へ更新することが重要
・自分で更新できない場合は、サーバー会社や製品提供元に確認する
ということです。
PHPを利用しているWebサイトやシステムを管理している場合は、まず現在利用しているPHPのバージョンや、利用している製品・サービスが今回の問題の影響を受けるかを確認してみましょう。
「よく分からないからそのままにする」のではなく、まず確認することが、セキュリティ対策の第一歩です。
