PHPの重大な脆弱性「PHP2Shell」、AIが見つけた穴に中小企業のサイトはどう備えるか

1. 何が起きたか

PHPの開発チームは2026年10月21日、重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正した8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう求めました。ログインしていない第三者が遠隔からサーバー上でプログラムを実行できるおそれがあり、Webのリクエストを処理するPHPはPHP-FPM、Apacheのmod_php、LiteSpeedなど構成を問わず対象だとしています（PHP公式サイト）。PHP 8.1以前には修正版が出ず、開発チームは7.4から8.1向けに最小限の緩和策だけを示しています（JPCERT/CCの注意喚起）。

調査に加わったWizは、過去10年に出たPHPはバージョン5.4までさかのぼって少なくとも1件の影響を受けると説明し、最新版のWordPress、Drupal、Joomlaでログインなしにプログラムを実行できることを実証したと公表しています。サーバーのメモリから、パスワードや認証用の鍵が読み取られるおそれもあるとしています（Wizの解説）。調査会社W3Techsの統計では、サーバー側の言語が分かるサイトの69.2%がPHPを使い、そのうち26.8%は修正版の出ないバージョン7です（W3Techs）。

2. 国内でも首相が「今夜」の対応を呼びかけた

高市早苗首相は10月21日夜、Xで、公開しているサイトがPHPを使っているかを確認し、同日23時（日本時間）に出る修正版をすぐ適用できるよう準備してほしいと呼びかけました。すぐ適用できない場合は、サイトを一時的に止めることもリスクを下げる手段だとしています（首相のX投稿）。翌22日には、自身の公式サイトも止めて対応したと書き、サイト管理者に国家サイバー統括室の注意・警戒情報のアカウントをフォローするよう求めました（首相のX投稿）。

IPAは22日に対策の続報を出し（IPA）、JPCERT/CCは同日の注意喚起で、PHPが国内で広く使われていることを確認したとして、修正版の適用に加えて侵害を受けていないかの調査も求めました。調べる点として、不自然に長いPHPSESSIDのCookie、不審なmultipart/form-data形式のリクエストとその前後のメモリ上限エラー、PHPのプロセスの異常終了を挙げ、痕跡がなくても攻撃を受けていないとは言い切れないとしています（JPCERT/CC）。

当社の見方　影響が大きいのは、制作会社に作ってもらったまま保守契約がなく、レンタルサーバーで古いPHPのまま動いている中小企業のサイトだと当社は見ています。問い合わせフォームや会員ページから顧客の情報が抜かれれば、謝罪と調査の費用に加え、取引先から情報管理の説明を求められます。大手は今回、夜のうちに止めて直しましたが、管理する人が決まっていない会社は、気付くまでの数日間ずっと無防備です。まず、自社サイトのPHPのバージョンと、更新を頼める相手を今週中に確かめてください。

3. AIが見つけたことの意味

Wizは、欠陥自体は何十年も前からあったが、攻撃に使えることを示すには人間の研究者では手に負えないほど複雑な手順が必要で、最先端のAIモデルがその壁を大きく下げたと書いています。複数のアプリケーション向けに動く攻撃手順を数時間で作れたとしています（Wizの解説）。TechTargetの報道によると、OpenAIは自社のモデルGPT-5.6 Solが発見を助けたと説明し、過去2か月、開発者や研究者と修正の準備を進めてきたとしています（TechTarget）。

AP通信によると、OpenAIは今回の脆弱性について、すでに見つけて修正を進めている重大な脆弱性のひとつにすぎず、同様の発見はこの先数か月で急増すると見込んでいると述べました。欧米では政府機関などがサイトを一時的に止めて更新にあたったと報じています（AP通信の記事）。

当社の見方　AIで穴を見つける速さが上がれば、守る側が使えるAIと同じものを、攻撃する側も使うと当社は考えています。これまで「複雑すぎて実際には狙われない」とされてきた古いシステムが、短期間で攻撃の対象になります。更新を年に一度の作業として先送りしてきた会社ほど、公表から攻撃までの短い間に追いつけなくなります。どのサーバーで何が動いているかの一覧と、公表された日のうちに更新できる体制を持つかどうかで、被害の差がはっきり分かれると見ています。

4. 中小企業がいま確認すべきこと

自社サイト、予約フォーム、ネットショップ、社内の管理画面のうち、PHPで動いているものを洗い出す（WordPressで作ったサイトはPHPで動いています）
それぞれのPHPのバージョンが8.5.12、8.4.27、8.3.36、8.2.35以降か、レンタルサーバーの管理画面か制作会社に確認する
8.1以前なら、更新先のバージョンと作業の日程を制作会社かサーバー会社と決める
JPCERT/CCが挙げた痕跡（不自然なCookie、メモリ上限エラー、プロセスの異常終了）がないか、ログを見てもらう
次に同じことが起きたとき誰が更新するのか、保守の担当と連絡先を決めておく

当社の展望

今後6か月から2年で、AIが古いソフトウェアの穴を次々に掘り起こし、修正版の公表から数時間で攻撃が始まるのが当たり前になると当社は見ています。同じ時期に、消費者の代わりにAIが店や業者を探して比べる使い方も広がります。止まっているサイト、改ざんされたサイト、安全かどうか判断できないサイトは、AIが比べる段階で候補から外されていくでしょう。守りは人手で追いかけるものから、AIに見張らせて当日中に直す仕組みへ移ります。どこで何が動いているかを一覧にし、更新と監視をAIと保守担当に任せる仕組みを先に作った会社が、取引先とAIの両方から選ばれ続けます。いまが布石を打つ時期です。

この記事に関するよくあるご質問

PHP2Shellとは何ですか。自社のサイトも関係ありますか

2026年10月21日に修正版が出たPHPの重大な脆弱性2件の通称で、ログインなしにサーバーを乗っ取られるおそれがあります。WordPressなどPHPで動くサイトはすべて対象になりうるため、PHPが8.5.12、8.4.27、8.3.36、8.2.35以降になっているかを確認してください。

PHPが古いバージョンのままの場合、どうすればよいですか

PHP 8.1以前には修正版が出ないため、サポートされているバージョンへの移行が必要です。すぐに移行できない場合、首相やCERT-EUは、サイトを一時的に止めることもリスクを下げる手段として挙げています。あわせて、JPCERT/CCが示す侵害の痕跡がないかログを確認してください。

参考

自社の業務で試したい場合

記事で取り上げた内容を自社の業務に当てはめた場合の進め方と費用は、お問い合わせフォームからご相談いただけます。

お問い合わせ記事一覧へ

AI 週報 2026年10月19日号：使い方の差が広がり、モデルの単価は下がる