Webサイトの運用や保守に関する話題で、「PHPのバージョンを確認してください」「PHPの脆弱性に対応する必要があります」といった言葉を耳にしたことはないでしょうか。
2026年10月には、PHPに深刻な脆弱性が公表され、修正版への速やかなアップデートが呼びかけられました。今回の脆弱性は、悪用されると認証されていない第三者によって、サーバー上で任意のコードを実行される可能性があるものです。
しかし、そもそもPHPとは何なのか、Webサイトとどのような関係があるのか、すぐに説明できる方は意外と少ないかもしれません。今回は、PHPの基本から今回公表された脆弱性の概要、企業のWebサイト担当者が確認しておきたい対策までを、できるだけ専門用語を使わずに解説します。
1｜そもそもPHPとは？
PHPは、WebサイトやWebシステムを動かすために広く利用されているプログラミング言語の一つです。特に、Webサーバー側で処理を行う「サーバーサイド」のプログラミング言語として利用されています。
例えば、Webサイトを閲覧したときに表示されるページの内容を組み立てたり、お問い合わせフォームから送信された情報を処理したり、データベースから情報を取得して画面に表示したりする処理にPHPが使われます。
WordPressもPHPで動いています
身近な例として、世界中で利用されているCMS「WordPress」があります。WordPressはPHPを利用して動作しており、記事の表示や管理画面の処理、プラグインの機能など、さまざまな部分でPHPが使われています。
つまり、WordPressを利用しているWebサイトでは、WordPress本体やテーマ、プラグインだけでなく、それらを動かす土台であるPHPの状態にも目を向ける必要があります。
PHPは、Webサイトの見た目を整えるためだけのものではありません。ページ表示やフォーム処理など、Webサイトの裏側で動く仕組みを支える重要なソフトウェアです。
2｜なぜPHPの脆弱性がWebサイトのリスクになるのか？
PHPはWebサーバー上でプログラムを実行します。そのため、PHP自体に重大な脆弱性があり、攻撃者に悪用された場合、Webサイトの表示やデータ処理にとどまらず、サーバー上で不正なプログラムを実行されるおそれがあります。
影響の範囲はサーバーの構成や実行権限、Webサイトの設定などによって異なりますが、状況によってはWebサイトの改ざん、情報の窃取、マルウェアの設置、サーバーを足掛かりにした内部ネットワークへの攻撃などにつながる可能性があります。
今回話題となった「PHP2shell」とは？
2026年10月21日、PHPの開発チームは、2つの重大な脆弱性に関するセキュリティ情報を公表しました。これらは「CVE-2026-109618」と「CVE-2026-109619」として識別され、組み合わせて悪用される攻撃手法は「PHP2shell」と呼ばれています。
- CVE-2026-109618：メモリ不足などのエラー処理に関連する脆弱性
- CVE-2026-109619：リクエスト処理に関連する内部状態の不整合を利用する脆弱性
これらの脆弱性を悪用された場合、遠隔の第三者が認証を経ずに任意のコードを実行できる可能性があります。PHPの開発チームは、影響を受ける環境に対して修正版への速やかな更新を強く推奨しています。
IPA（情報処理推進機構）は2026年10月22日に注意喚起を公開し、その後、10月26日（現地時間）に米国CISAの「悪用が確認された脆弱性」のカタログに登録されたことも追記しています。JPCERT/CCも、脆弱性を悪用しようとする通信が観測されているとして、対策と侵害有無の調査を呼びかけています。
PHPはWebサイトだけでなく、VPN機器やセキュリティ製品などのWeb管理画面にも組み込まれている場合があります。自社で利用しているシステムや機器の提供元から、影響や対策に関する情報が出ていないか確認することも大切です。
3｜影響を受けるPHPのバージョンと修正版
今回の脆弱性について、PHPの開発チームは以下の修正版を公開しています。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
上記より前の同じ系列のバージョンは影響を受ける可能性があります。例えば、PHP 8.3系を利用している場合は、8.3.36以降への更新が必要です。
なお、PHP 8.1以前はPHPプロジェクトによる通常のサポートが終了しています。利用しているOSやサーバー事業者が独自に修正を提供している場合もありますが、修正の有無は提供元への確認が必要です。古いバージョンを使い続けている場合は、サポート対象のバージョンへの移行も検討しましょう。
4｜企業のWebサイト担当者が確認しておきたいこと
PHPの更新は、WordPressの管理画面から行うテーマやプラグインの更新とは異なり、サーバー側の設定や保守作業が必要になることがあります。特に、長期間運用しているWebサイトでは、更新によって既存機能に影響が出る可能性もあるため、手順を確認して進めることが重要です。
① 自社サイトでPHPが使われているか確認する
WordPressなどのCMSを利用している場合、PHPが使われている可能性が高いと考えられます。まずはWebサイトの構築・保守を担当している会社や、レンタルサーバー会社にPHPの利用状況を確認しましょう。
② 現在のPHPバージョンを確認する
サーバーの管理画面や、保守会社への問い合わせによって、現在利用しているPHPのバージョンを確認します。複数のサイトやサブドメインを運用している場合は、それぞれの実行環境が異なる可能性にも注意が必要です。
③ 修正版への更新が可能か確認する
利用中のPHPが影響対象であれば、サーバー環境に応じた修正版への更新を検討します。更新前には、WordPress本体・テーマ・プラグインとの互換性、フォームや検索などの主要機能への影響を確認し、バックアップを取得したうえで作業を進めることが大切です。
④ 更新後にWebサイトの動作を確認する
PHPの更新後は、トップページや下層ページの表示だけでなく、お問い合わせフォーム、ログイン機能、検索機能、管理画面など、Webサイトの主要な機能が正常に動作するかを確認します。エラーや表示崩れが発生していないかもチェックしましょう。
⑤ 更新できない場合は、理由と対応方針を明確にする
古いシステムとの互換性や保守契約の状況などによって、すぐに更新できない場合もあります。その場合は、更新できない理由、暫定的な対策、更新・移行の予定を整理し、脆弱な状態を放置しないことが重要です。必要に応じてアクセス制限やシステム移行も検討してください。
5｜「Webサイトを公開したまま」にしないための継続的な保守
今回のPHPの脆弱性は、PHPというWebサイトの土台部分も、継続的な確認と更新が必要であることを改めて示しています。
Webサイトのセキュリティ対策というと、WordPress本体やプラグインの更新、SSL/TLSによる通信の暗号化などを思い浮かべる方も多いかもしれません。しかし、それだけでは十分とはいえません。
サーバーのOS、PHP、データベース、CMS、テーマ、プラグインなど、Webサイトを構成する各要素について、サポート状況やセキュリティ情報を継続的に確認する必要があります。
また、更新作業を実施する担当者や保守会社が明確になっているか、障害発生時に復旧できるバックアップがあるか、緊急時の連絡先が整理されているかといった運用体制も重要です。
安全に運用し続けるためには、システムの状態を把握し、必要な更新を計画的に実施できる体制を整えておくことが大切です。
まとめ｜PHPの状態を確認し、Webサイトの安全性を見直しましょう
PHPは、WordPressをはじめとする多くのWebサイトやWebシステムを支える重要なプログラミング言語です。今回の「PHP2shell」のような重大な脆弱性が公表された際には、PHPを利用しているか、どのバージョンを使っているか、修正が適用されているかを速やかに確認する必要があります。
まずは、次の3点を確認してみてください。
- 自社のWebサイトや利用中のシステムでPHPが使われているか
- 現在のPHPバージョンとサポート状況を把握できているか
- 脆弱性情報が公開された際に、確認・更新できる保守体制が整っているか
「自社サイトのPHPバージョンが分からない」「サーバーの管理をどこに依頼しているか分からない」「更新が必要か判断できない」といった場合は、まずは現在の管理・保守体制を確認するところから始めましょう。
Webサイトの保守・セキュリティ対策についてお困りではありませんか？
株式会社イデアシーディーでは、Webサイトの運用状況の確認や、保守・セキュリティ対策に関するご相談を承っています。
セキュリティに関してのお問い合わせはこちら