2026年10月21日、PHPに関する重大な脆弱性「php2shell」が公表されました。

PHPプロジェクトは、この脆弱性を深刻度「Critical（緊急）」と評価しており、悪用された場合、認証を必要とせずに、外部からサーバー上でコードが実行されるおそれがあります。PHPを利用してWebサイトや業務システムを運用している企業は、影響の有無を確認し、早急に対応することが重要です。

本記事では、今回公表された脆弱性の概要、影響を受ける可能性のある環境、企業が確認すべきポイントについて解説します。

1. PHPの重大な脆弱性「php2shell」とは

今回公表された「php2shell」は、PHPに関連する2つの脆弱性を指します。

  • CVE-2026-109618
  • CVE-2026-109619

PHPのセキュリティアドバイザリでは、どちらもCVSS v4.0で9.2（Critical）と評価されています。悪用された場合、認証なしのリモートコード実行（RCE）につながるおそれがあります。

この脆弱性は、WordPressなどのアプリケーションではなく、PHP本体に存在します。 そのため、CMSやプラグインを最新の状態にしても、PHP自体を更新しなければ、この脆弱性への対策にはなりません。

また、Webサイトが正常に表示されていることだけで、安全性を判断することはできません。

2. 影響を受ける可能性のある環境

今回の脆弱性については、PHPの利用バージョンやサーバー環境を確認する必要があります。

特に、以下のような環境を運用している企業は、早めの確認を推奨します。

  • PHPを利用したWebサイトやWebアプリケーション
  • PHPを実行環境として利用する業務システム
  • PHPを利用するCMSや社内向けシステム
  • PHPのバージョンや更新状況を十分に把握できていないサーバー

なお、実際に影響を受けるかどうかは、PHPのバージョンや環境によって異なります。まずは、自社システムで使用しているPHPのバージョンを確認し、公式情報に基づいて影響の有無を判断することが重要です。

3. 修正版と推奨される対応

今回の脆弱性に対応する修正版が公開されています。対象となる環境では、利用中のPHPのバージョンを確認し、対応する修正版へ速やかにアップデートしてください。

PHPのブランチ修正版
PHP 8.5系PHP 8.5.12
PHP 8.4系PHP 8.4.27
PHP 8.3系PHP 8.3.36
PHP 8.2系PHP 8.2.35

※上記は、本記事の作成時点で確認した情報に基づきます。適用前に、PHP公式サイトで最新のリリース情報と対象バージョンを確認してください。

PHP 8.1以前を利用している場合

PHP 8.1以前のバージョンは、PHPプロジェクトによる公式の修正版の対象外です。利用している場合は、OSベンダーやホスティング事業者が修正を提供しているかを確認するか、サポート中のバージョンへの移行を検討してください。

企業が確認すべき3つのポイント

① 利用しているPHPのバージョンを確認する

自社のWebサイトや業務システムで使用しているPHPのバージョンを確認し、影響を受ける可能性があるかを調べましょう。

② 修正版へ速やかにアップデートする

対象となる環境では、システムへの影響を確認したうえで、修正版へのアップデートを進めることが重要です。アップデート後は、正常に動作することと、修正が適用されていることを確認しましょう。

③ 自社環境のセキュリティ状況を確認する

PHP本体の更新だけでなく、サーバーの設定や公開範囲、関連するソフトウェアの管理状況なども確認することで、リスクの把握につながります。

すぐにアップデートを実施できない場合は、ホスティング事業者やシステムの管理担当者に相談し、影響の有無や必要な対応を確認してください。

なお、PHPプロジェクトは、今回の脆弱性に対する完全な緩和策はなく、修正版への更新が最も安全な対応であると説明しています。一時的な対策を講じた場合でも、修正版への更新を最優先にしてください。

4. 脆弱性対策は、発見から対応まで継続的に行うことが重要

今回のPHPの脆弱性は、企業にとって、日頃からシステムの脆弱性を把握し、迅速に対応できる体制を整えておくことの重要性を改めて示しています。

サイバー攻撃のリスクを低減するためには、脆弱性情報を確認するだけでなく、次のような取り組みが重要です。

  • 脆弱性の把握： 自社のシステムに存在する脆弱性を確認する
  • リスクの評価： 脆弱性が自社の環境に与える影響を評価する
  • 適切な対策の実施： アップデートや設定の見直しなど、必要な対応を進める
  • 継続的な監視： システムやネットワークの状況を把握し、不審な活動の早期発見につなげる

脆弱性への対応が遅れたり、管理が不十分だったりすると、セキュリティリスクを見落とす可能性があります。そのため、定期的なセキュリティ診断や継続的な監視を通じて、自社のセキュリティ状況を把握することが大切です。

5. CyberZEALのセキュリティサービスで、企業のリスク把握と対策を支援

CyberZEALでは、企業のセキュリティ課題やニーズに応じて、脆弱性の把握からセキュリティ対策の検討までを支援しています。

脆弱性診断・ペネトレーションテスト

システムやネットワークに潜む脆弱性を確認し、セキュリティ上のリスクを把握するためのサービスです。

自社のシステムにどのような脆弱性が存在するのか、どのような対策を優先すべきかを検討する際に役立ちます。

SOC Edge

セキュリティ監視や脅威の検知・対応体制の強化を支援するサービスです。継続的な監視を通じて、不審な活動の早期発見と迅速な対応を目指します。

脆弱性への対応に加え、攻撃の兆候を把握し、セキュリティリスクを継続的に管理することも重要です。

※各サービスの対応範囲や提供内容については、サービスページをご確認ください。

▶ サービスラインアップ： https://www.cyberzeal.jp/service/

▶ SOC Edgeの詳細： https://www.cyberzeal.jp/soc-edge/

まとめ：脆弱性を把握し、迅速な対応につなげることが重要

PHPの重大な脆弱性「php2shell」への対応では、まず自社環境への影響を確認し、修正版へのアップデートを速やかに進めることが重要です。

また、今回のような脆弱性への対応を一時的な作業で終わらせず、継続的な脆弱性管理やセキュリティ監視につなげることが、企業のセキュリティ強化に役立ちます。

「自社のシステムが影響を受けるか分からない」「脆弱性の確認や対策の優先順位付けに不安がある」

このようなお悩みをお持ちの場合は、専門家によるセキュリティ診断や監視体制の見直しをご検討ください。

CyberZEALは、企業のセキュリティ課題に応じたサービスを通じて、安全なシステム運用とセキュリティ対策の強化を支援します。

脆弱性診断やセキュリティ監視についてのご相談は、CyberZEALまでお問い合わせください。

▶ ご相談・お問い合わせ： https://www.cyberzeal.jp/contact/

参考情報

※本記事は、2026年10月23日時点の公開情報に基づく一般的な情報提供を目的としています。実際の影響や必要な対策は、利用環境によって異なります。最新の情報については、各公式機関の発表をご確認ください。