PHPの重大な脆弱性2件（通称PHP2Shell）の修正版8.5.12・8.4.27・8.3.36・8.2.35が、予定どおり10月21日に公開されました。公開の前後から攻撃の試みが観測されており、国内では首相がXで対応を呼びかけ、レンタルサーバー各社は夜通しでメンテナンスを行いました。エックスサーバーは8.2〜8.5で修正の適用完了を発表しましたが、PHP 8.1以前のサイトとVPSは、利用者が状況を確かめる必要があります。

PHPの開発チームは2026年10月21日、事前の予告どおり、CVE-2026-109618とCVE-2026-109619の2件を修正したセキュリティリリースを公開しました。前日の記事では公開前の状況をまとめました。この記事では、公開から半日ほどの間に分かったこと、各社の対応、まだ残っている課題を、10月22日午後時点の情報で整理します。

修正版で何が直ったのですか？

PHPの公式アドバイザリによると、2件とも、ログインしていない第三者が外部からコードを実行できるおそれがあります。CVE-2026-109618では、メモリ不足の処理で中断されたリクエストのデータが、そのまま正しいものとして扱われます。CVE-2026-109619では、解放済みのメモリを指す内部の状態が残り、同じワーカーが次のリクエストでそれを使ってしまいます。

影響を受けるのは、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webのリクエストを処理するすべての構成です。中でもmod_phpは、アプリケーションのコードが動く前に攻撃が成立する実証済みの手法があり、最も危険度が高いとされています。

修正版は、サポート中の8.2〜8.5の各系列に出ました。サポートが終わった7.4・8.0・8.1には通常の修正版は出ていませんが、今回は例外として、セキュリティチームが最小限の修正をソースコードの形で公開しています。PHPを自分でビルドする人向けのものです。

公式は暫定策として、session.upload_progress.enabled を0にする、memory_limitやpost_max_sizeを見直すといった方法を挙げています。ただし、これらは攻撃の経路の一部をふさぐだけで、安全になるのは修正版への更新だけだと明記しています。

公開後、攻撃は始まっていますか？

攻撃の試みは始まっています。watchTowrは、自社のハニーポット（攻撃を観測するためのおとりのサーバー）で、10月21日時点で実際の悪用を観測したとしています。米Cloudflareの最高技術責任者は、修正版の公開前から初期の攻撃を観測しているとし、既知の手口を防ぐWAFのルールを無料プランを含む全利用者に提供しました。

一方で、侵入に成功した件数などの具体的な被害の規模は、10月22日午後時点では確認できませんでした。米CISAが悪用の確認された脆弱性をまとめた一覧（KEV）にも、10月21日時点の版では2件とも載っていません。

海外では、英国のNCSCが、すぐに更新できないシステムは更新するまで停止するよう組織に求めました。セキュリティ研究者のKevin Beaumont氏は、ここ数年で最大級の脆弱性の一つで、多数の被害につながると警告しています。発見したWizは、AIを使って古くからある欠陥を短期間で攻撃手法に仕立てられたと説明しています。

国内ではどんな動きがありましたか？

報道によると、高市早苗首相は10月21日22時ごろ、Xで修正プログラムをすぐ適用できるよう準備を求め、すぐに適用できない場合はサイトの一時停止も検討するよう呼びかけました。首相が個別のソフトウェアの脆弱性について直接呼びかけるのは異例で、ITmedia NEWSは、経営層にも危険性が伝わるとして技術者から評価する声が出ていると伝えています。

同じ夜には、ネットショップ作成サービスのBASE、Cygamesのゲーム、保育向けサービスのコドモンなども緊急メンテナンスに入ったと報じられています。

IPAは10月21日に事前準備を呼びかける注意喚起を出しましたが、10月22日午後時点でページに修正版公開後の追記はありませんでした。JPCERT/CCのサイトでも、この件の注意喚起は確認できませんでした。

レンタルサーバー各社はどう対応しましたか？

各社の公式のお知らせと公式Xアカウントで確認できた状況は次のとおりです（10月22日午後時点）。

  • エックスサーバー：10月22日6時44分、PHP 8.2〜8.5は対象のすべてのサーバーで修正の適用が完了したと公式Xで発表。旧バージョンは、準備ができたものから順次適用している
  • ロリポップ！：10月22日3時5分、修正の適用が終わるまでの間も攻撃を受けるおそれがあるとして、一部のサーバーのサイトを一時停止すると公式Xで発表。公式サイトは確認時点で表示できなかった
  • さくらインターネット：レンタルサーバ・マネージドサーバの緊急メンテナンスは10月21日22時30分に完了。VPSのメンテナンスは22日18時ごろまでの予定。お知らせにPHPへの言及はない
  • ConoHa WING：10月21日19時から22日10時までのサーバーメンテナンスを告知。PHPへの言及と完了の告知は確認できなかった
  • KAGOYA：PHP 8.2〜8.5を修正版の公開確認後に順次更新するとした10月21日の告知のあと、適用完了の告知は確認できなかった。問い合わせの増加で回答が遅れているとし、利用者の被害は確認されていないとしている
  • mixhost：10月21日22時10分からマイページを止めて緊急メンテナンスを行い、22日に完了。サーバーやサイトの表示には影響がないとしている。PHPへの言及はない

PHPと明記していない会社もあります。この記事では、お知らせに書かれていない作業内容は推測していません。

VPSやPHP 7系のサイトは今どうなっていますか？

VPSや自分で管理するサーバーは、利用者が自分で更新する必要があります。主なディストリビューションの修正パッケージはすでに出ています。Ubuntuは22.04・24.04・26.04などに通常のアップデートで、20.04以前にはUbuntu Proの延長サポート（ESM）で修正を提供しました。Debianは12（bookworm）のphp8.2と13（trixie）のphp8.4に、AlmaLinuxは8・9・10のすべてのPHPストリームに修正を出しています。Ondřej SurýのPPAも8.2〜8.5の修正版を順次提供したと報告されています。Remiリポジトリは、PHP公式の告知で当日は更新されないとされ、その後の状況は公式ブログでは確認できませんでした。

ディストリビューションの修正版は、PHPの番号を変えずに修正だけを取り込むことがあります。php -v の表示だけで判断せず、パッケージの版数をディストリビューションのセキュリティ情報と照らし合わせてください。更新後は、PHP-FPMやApacheの再起動が必要です。

PHP 7系のサイトは、共用サーバーでも修正の対象から外れる可能性が残っています。エックスサーバーは旧バージョンの修正も進めていますが、すべての会社とバージョンで修正が出るとは限りません。

中小企業は今日何をすべきか

  • 共用サーバー：契約しているサーバー会社のお知らせと公式Xを確認し、PHPの修正の適用が終わったかを確かめる。サイトが一時停止されていないかも見る
  • PHPのバージョン：WordPressの「サイトヘルス」で確認し、8.1以前なら8.3以上への切り替えを制作会社や保守担当と相談する
  • VPS：ディストリビューションやPPAの修正版を当て、PHP-FPMとWebサーバーを再起動し、パッケージの版数で修正済みかを確認する
  • 不審な変化：見覚えのないファイルや管理者ユーザー、改ざんされたページがないかを確認する。判断がつかない場合は、無料のWordPress安全診断（https://wp-mamoru.com/diagnosis/）でサイトの状態を確認する

よくある質問

修正版が出たので、もう安心ですか？

修正版が適用されていれば、今回の2件は解消します。ただし、適用されたかどうかはサーバーごとに違います。サーバー会社の告知で適用の完了を確認し、PHP 8.1以前を使っている場合は特に注意してください。

修正の適用前に攻撃された可能性はありますか？

攻撃の試みは公開前から観測されているため、可能性はあります。見覚えのないファイルや管理者ユーザー、ページの改ざんがないかを確認し、心当たりがあればサーバー会社や保守担当に相談してください。

サーバー会社がサイトを止めたのはなぜですか？

修正の適用が終わるまでの間にも攻撃を受けるおそれがあるため、ロリポップ！などが予防措置として一部のサイトを一時停止しました。首相の呼びかけや英国NCSCの勧告でも、すぐに更新できない場合の一時停止が挙げられています。

出典

執筆：WP守る 編集部　最終更新日：2026-10-22（10月22日午後時点の情報）

この記事をシェア X でポスト LinkedIn

WP守る 編集部

中小企業・店舗の WordPress を乗っ取り・改ざん・停止から守る保守サービス。脆弱性情報を毎日追い、「自分のサイトで今日確認すること」に翻訳してお届けします。