PHPの重大な脆弱性「PHP2Shell」とは？WordPressサイトで今すぐ確認すること【2026年10月21日修正】

埼玉県川越市を拠点に、WordPressの開発・保守を手がける矢部@Edel Heartsです。

2026年10月21日（日本時間の21日23時）、PHPの開発チームから2件の重大な脆弱性に対応した修正版が公開されました。これらは「PHP2Shell」と呼ばれています。ログインしていない第三者に、サーバー上で任意のプログラムを動かされるおそれがある深刻な脆弱性です。

結論からお伝えすると、PHPで動くサイトの確実な対策は、PHPを修正版（8.5.12・8.4.27・8.3.36・8.2.35）に更新することだけです。WordPressサイトも対象に含まれます。レンタルサーバーでは、多くの場合サーバー会社が修正版への入れ替えを行います。ただし、PHP 8.1以前を使っているサイトには、公式の修正版がありません。まずは、ご自身のサイトで使っているPHPのバージョンを確認してください。

この記事は2026年10月22日朝の情報をもとにしています。各サーバー会社では、現在も対応が進められています。

PHPの脆弱性「PHP2Shell」とは？

PHP2Shellとは、PHP本体（プログラムを動かす仕組みそのもの）で見つかった2件の脆弱性を指す通称です。PHPの公式発表では、いずれも深刻度がCVSS v4.0で9.2とされています。10点満点で「緊急」にあたる水準です。

いずれも、ログインなしで、サーバー上で任意のプログラムを実行されるおそれがあります。公式発表で影響の対象とされているのは「Webのアクセスを処理するすべてのPHP」です。具体的には、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが挙げられています。レンタルサーバーでよく使われる構成は、ほぼすべて対象に含まれます。

なぜ今すぐ対応が必要なのか

今回の脆弱性は、修正版が公開される前に情報が広まってしまいました。PHP Foundationによれば、10月20日に脆弱性の番号がネット上に流れたため、公開日を22日から21日へ前倒ししたとのことです。

加えて、セキュリティ企業のSansecは、Cloudflareが10月21日の修正版公開に先立ち、初期の攻撃を検知していたと報告しています。修正内容が公開された現在は、攻撃の増加が懸念されています。様子を見るのではなく、今日のうちにバージョンを確認することをおすすめします。

WordPressサイトへの影響は？

WordPressサイトにも影響があります。問題があるのはWordPressではなくPHP本体のため、WordPressやプラグインを最新版にしていても防げません。Tenableの解説では、脆弱性を発見した研究者が、WordPressなどの広く使われているPHPのソフトで、ログインせずにプログラムを実行できることを確認しています。

ただし、PHPはWordPressの管理画面から更新できません。サーバー側で動く仕組みなので、サーバー会社またはサーバーの管理者が対応する必要があります。

レンタルサーバーのWordPressサイトで、今やること

レンタルサーバーの場合、同じ系列（8.3など）内での修正版への入れ替えは、多くの場合サーバー会社が担当します。サイト運営者は、現在使っているPHPの系列を調べ、その系列に修正版があるかを確認することから始めてください。

当社でも、修正版が公開された10月21日から22日にかけて、保守を担当するお客様のサイトと自社サイトのPHPのバージョンを確認しました。当社で利用しているエックスサーバーの環境では、10月22日の時点でWordPressのサイトヘルスに「PHP バージョン 8.2.35」と表示されており、修正版への入れ替えが済んでいました（Webサーバーは Apache）。PHPの系列を変更する際には、新しいPHPでテーマやプラグインが動作するかを確認する必要があります。特に古いテーマや自作のプラグインを使っているサイトは、切り替える前に確認しておくと安心です。

なお、エックスサーバーは、予防的な措置として10月21日16時から管理画面などを一時停止したと案内していました（サイトの表示とメールは通常どおりとのこと）。利用中のサーバー会社のお知らせにも目を通してください。

ここまでのまとめ

• PHP2ShellはPHP本体の脆弱性で、ログインなしでサーバーを乗っ取られるおそれがある
• 修正版は8.5.12・8.4.27・8.3.36・8.2.35。公開に先立って攻撃が確認されている
• 対策にはPHPの更新が必要。WordPressやプラグインの更新では防げない
• PHP 8.1以前には公式の修正版がないため、8.2以上への切り替えを検討する

PHPのバージョンを確かめる方法

PHPのバージョンは、WordPressの管理画面で確認できます。

1. 管理画面から「ツール」→「サイトヘルス」を開く
2. 「情報」タブを選び、「サーバー」の項目を開く
3. 「PHP バージョン」に表示された数字を確認する（例：8.3.36）

表示が8.3.35など、修正版より古い数字の場合は、サーバー会社の更新がまだ済んでいない可能性があります。まずはサーバー会社のお知らせを読み、不明な点があれば問い合わせてください。多くのサーバーでは、サーバーの管理画面からPHPの系列（8.1や8.3など）を選べます。ドメインによって設定が異なる場合もあります。

技術者向け：サーバーを自分で管理している場合

VPSや専用サーバーなどでPHPを自分で管理している方は、速やかに更新してください。使用中の版はphp -vで確認できます。Linuxのディストリビューションが提供する標準パッケージでは、番号を変えずに修正だけを取り込むこともあるため、配布元のセキュリティ情報も確認してください。更新を終えたら、PHP-FPMやWebサーバーの再起動も忘れずに行いましょう。

すぐに更新するのが難しい場合に向けて、PHPの公式発表では一時的な緩和策（memory_limitやpost_max_sizeの調整、session.upload_progress.enabledの無効化など）が案内されています。ただし、公式も「完全な対策は更新だけ」と説明しています。Cloudflareでは、無料プランを含め、既知の攻撃を防ぐWAFのルールが提供されています。こちらも更新までの一時的な対策として考えてください。

よくある質問

Q. WordPressを最新にしていれば大丈夫ですか？

いいえ。問題はPHP本体にあるので、WordPressやプラグインを更新しても防ぐことはできません。PHPそのものの更新が必要です。

Q. レンタルサーバーなので、何もしなくていいですか？

同じ系列内の修正版への入れ替えは、多くの場合サーバー会社が対応します。ただし、PHP 8.1以前には公式の修正版がありません。該当するサイトでは8.2以上への切り替えを検討する必要があるため、まずは使用中のバージョンを確認してください。

Q. PHPのバージョンを上げるとサイトが壊れませんか？

同じ系列内の修正版（8.3.35→8.3.36など）への更新で、表示が崩れることはほとんどありません。一方、系列を上げる（8.1→8.3など）場合には、古いテーマやプラグインが動かなくなることがあるため、切り替え前の確認をおすすめします。

不安な方へ：PHPのバージョンと対応の要否を無料で確認します

「自分のサイトでどのPHPを使っているのか分からない」「8.1以前だったが、上げるとサイトが壊れないか不安」という方は、当社へご相談ください。ご利用中のPHPのバージョンと、対応の必要性を無料で確認します。PHPの切り替えやテーマ・プラグインの動作確認が必要となる場合は、作業に入る前にお見積りをご提示します。

ログイン情報をお預かりする前でも、URLと利用中のサーバー会社をお知らせいただければ、確認をどう進めるかをご案内できます。

▶ PHPの無料確認を申し込む（お問い合わせ）

▶ すでに異変がある場合はトラブル対応へ

PHPやWordPressの重大な修正は、今回のように突然公開されることがあります。当社の保守サポート（月額3,800円から）なら、こうした情報の確認や更新作業をお任せいただけます。

更新履歴

• 2026年10月22日：公開（PHP公式の発表、PHP Foundation、各セキュリティ企業の情報をもとに作成）

この記事を書いた人

矢部 敦合同会社Edel Hearts 代表

WordPress専門の開発会社を経営。プラグイン開発・カスタマイズ・保守を専門とし、18時間におよぶUdemyのWordPress講座を開講。出典付きで回答するAIチャットボット「Edel AI Hybrid Chat」開発者。著書『WordPress はじめての最小プラグイン』（Kindle）。本ブログの記事は、実際の開発・運用で得た一次情報をもとに執筆しています。会社情報はこちら