はじめに｜普段使っているWebサイトが突然危険になる？
2026年10月21日、世界中のWebサイトで利用されているプログラミング言語「PHP」に、非常に危険な脆弱性が見つかったとして、緊急の修正版が公開されました。
今回の脆弱性は「PHP2shell」と呼ばれ、深刻度を表す指標では10点満点に近い9.2という高い評価を受けています。日本の情報処理推進機構（IPA）も10月22日に注意喚起を公表しました。
「PHPって何？」「脆弱性という言葉は聞いたことがあるけれど、何が危険なの？」「WordPressでブログを運営している自分にも関係があるの？」と感じる人も多いでしょう。
結論からいうと、今回の問題は企業のWebサイトだけでなく、個人のWordPressブログにも関係する可能性があります。ただし、PHPを利用しているというだけで必ず被害に遭うわけではありません。重要なのは、自分のサイトが使用しているPHPのバージョンを確認し、必要な更新を行うことです。
今回は、PHPの仕組みから今回のニュースの内容、攻撃されると何が起こるのか、初心者でも実践できる対策までわかりやすく解説します。
1．PHPとは何？スーパーに例えるとわかりやすい
PHPとは、インターネット上のWebサイトやサービスを動かすために使われるプログラミング言語です。特にWordPressをはじめ、多くのWebサービスで利用されています。
例えば、私たちがブログの記事をクリックすると、画面には文章や写真、関連記事などが表示されます。しかし、その裏側では、データベースから記事の情報を読み込んだり、必要な表示内容を組み立てたりする処理が行われています。PHPは、そうした仕事を担当するプログラムの一つです。
これを食品スーパーに例えてみましょう。
スーパーには、お客様が商品を購入するための売場があります。しかし、売場だけでお店が動いているわけではありません。バックヤードでは、商品の入荷、在庫管理、発注、価格の確認など、さまざまな作業が行われています。
Webサイトも同じです。私たちが見ている画面がスーパーの売場だとすると、PHPはバックヤードで働いている従業員のような存在です。WordPressは店舗運営の仕組み全体、データベースは商品や在庫の情報を保管する場所、サーバーは店舗の建物や設備に例えることができます。
つまり、PHPは一般の利用者からは見えにくいものの、Webサイトを正常に動かすために欠かせない重要な仕組みなのです。
2．今回のニュースでは何が起こったの？
2026年10月20日、PHPの開発チームは、重大なセキュリティ問題を修正する新しいバージョンを翌21日に公開すると事前に発表しました。そして10月21日、2件の重大な脆弱性を修正したPHPが正式に公開されました。
問題になったのは、次の2件です。
- CVE-2026-109618：メモリ不足などのエラー処理に関係する脆弱性
- CVE-2026-109619：Webサーバーのリクエスト処理に関係する脆弱性
この2件は、組み合わせによる攻撃が「PHP2shell」と呼ばれています。
少し難しく聞こえますが、要するにPHPが内部でデータを処理する際の不具合を悪用されると、攻撃者に本来許されていない操作を実行される可能性があるということです。
特に深刻なのは、条件がそろえば、攻撃者がWebサイトにログインしていなくても、インターネットを通じて不正なプログラムを実行できる恐れがある点です。
この仕組みは「リモートコード実行（RCE）」と呼ばれます。通常、Webサイトの外部にいる人が、サーバーの内部で好き勝手にプログラムを動かすことはできません。しかし、今回のような脆弱性が存在すると、その境界を突破される可能性があります。
EUのサイバーセキュリティ機関CERT-EUは、10月23日の更新情報で、攻撃を再現するための技術情報が出回り始めていることにも注意を促しました。
ただし、攻撃手法が公開されたことと、世界中のWordPressサイトが実際に乗っ取られたことは別の話です。被害規模については、確認された事実と可能性を区別する必要があります。
3．危険度9.2とはどれくらい深刻なの？
今回の脆弱性は、CVSS v4.0というセキュリティ上の深刻度を評価する仕組みで9.2と評価されています。CVSSは0から10までの数字で表され、数字が大きいほど深刻な問題であることを示します。
| 評価点数 | 深刻度 |
|---|---|
| 0.0 | なし |
| 0.1～3.9 | 低 |
| 4.0～6.9 | 中 |
| 7.0～8.9 | 高 |
| 9.0～10.0 | 緊急 |
今回の9.2は、最も高い「緊急」に分類されます。
ただし、この数字は「90%以上の確率で攻撃される」という意味ではありません。また、すべてのPHP利用サイトが同じ危険度という意味でもありません。脆弱性そのものの深刻さを表す指標であり、実際の危険性はサーバーの構成や公開状況などによって異なります。
それでも、今回の問題が軽視できないことは間違いありません。PHPの公式開発チームも、完全に代替できる防御策はなく、修正版への更新が重要だと呼びかけています。
4．PHPが攻撃されると具体的に何が起こる？
では、脆弱性を悪用された場合、どのような被害が考えられるのでしょうか。
まず一つ目は、Webサイトの改ざんです。攻撃者に不正なプログラムを動かされると、記事が勝手に変更されたり、関係のない広告が表示されたりする可能性があります。ブログの記事を読もうとした人が、まったく別の詐欺サイトへ誘導されることも考えられます。
二つ目は、個人情報の流出です。Webサイトに保存されている情報にアクセスできる状態まで侵害が進めば、会員情報やメールアドレスなどが盗まれる可能性があります。ただし、脆弱性があるからといって、保存された情報がすべて自動的に盗まれるわけではありません。
三つ目は、Webサイトの乗っ取りです。攻撃者がサーバー内部に不正なファイルを設置したり、継続的にアクセスするための仕組みを作ったりする危険があります。
四つ目は、サーバーを別の攻撃に悪用されることです。例えば、不正なメールの送信やほかのシステムへの攻撃などに利用されれば、サイト運営者自身が被害者であるにもかかわらず、第三者にも迷惑をかけてしまう可能性があります。
五つ目は、ブログや企業サイトの停止です。攻撃によって正常な動作が妨げられたり、安全確認のためにサイトを一時停止しなければならなくなったりすることも考えられます。
スーパーに例えるなら、バックヤードの管理設備に弱点があり、外部の人間が本来触れないはずの設備に不正な指示を出せてしまうような問題です。被害が発生すると、売場の表示だけでなく、商品の管理や店舗の運営全体に影響が出る可能性があります。
5．WordPressブログにも影響するの？
ここが個人ブロガーにとって最も気になる部分だと思います。
結論からいうと、WordPressはPHPを使っているため、今回の脆弱性の影響を受ける可能性があります。
WordPress公式も2026年10月21日に緊急のセキュリティ情報を公開し、サイト運営者に対してPHPの更新を呼びかけています。
ただし、ここで知っておきたい重要なポイントがあります。
今回の脆弱性はWordPress本体で見つかったものではなく、PHPそのものに存在する問題です。そのため、WordPressを最新版に更新するだけでは、今回の脆弱性への対策が完了するとは限りません。
例えば、WordPressの管理画面で「最新バージョンです」と表示されていても、サーバー側で古いPHPが動いている可能性があります。
また、CocoonなどのテーマやJetpackなどのプラグインを最新版にしていても、PHP自体が未修正であれば、今回の問題は残る可能性があります。
つまり、WordPress本体、テーマ、プラグイン、PHPは、それぞれ別々に確認する必要があるのです。
6．今回の脆弱性を修正したPHPのバージョン一覧
2026年10月21日に公開された修正版は、以下のとおりです。
| PHPの系列 | 今回の修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
例えば、PHP 8.4.26を使用している場合、今回の脆弱性を修正するには8.4.27以降の同じ系列の修正版が必要です。
なお、PHP 8.1以前の古い系列は、PHP公式による通常のセキュリティサポートが終了しています。一部のサーバー事業者などが独自に修正を提供している場合もありますが、基本的にはサポート中のバージョンへの移行を検討することが重要です。
PHP 8.2も2026年12月31日に公式サポート終了が予定されています。そのため、これから長期的にWordPressを運営するのであれば、現在の修正対応だけでなく、今後のバージョン移行も考える必要があります。
7．初心者でもできる！PHPの確認方法
WordPressの管理画面から、現在使っているPHPのバージョンを確認できます。
まず、WordPressにログインしてください。管理画面の左側にある「ツール」をクリックし、「サイトヘルス」を開きます。続いて「情報」という項目を選び、「サーバー」を開いてください。
そこに「PHPバージョン」という表示があります。
確認の流れは以下のとおりです。
WordPress管理画面 → ツール → サイトヘルス → 情報 → サーバー → PHPバージョン
表示されたバージョンを先ほどの修正版一覧と比較しましょう。
ただし、ここで一つ注意点があります。WordPressの管理画面ではPHPのバージョンを確認できますが、必ずしもPHPを更新できるわけではありません。
実際の更新作業は、エックスサーバー、ロリポップ、ConoHa WINGなどのレンタルサーバー側の管理画面で行う場合があります。サーバー会社が独自に修正版を適用しているケースもあるため、契約先の公式案内を確認してください。
8．PHPを更新する前に必ず確認したいこと
「危険ならすぐに最新版へ変更すればいい」と考えるかもしれません。確かに今回の問題への対応は急ぐべきですが、更新作業によってブログの表示や機能に問題が発生する場合もあります。
特に、長期間更新していないテーマやプラグインがある場合は注意が必要です。
まずはブログのバックアップを取り、復元できる状態にしておきましょう。記事だけでなく、画像やデータベースも重要です。
そのうえで、サーバー会社が提供している今回の脆弱性への対応状況を確認します。PHPの更新が可能であれば、修正版の適用を優先してください。
更新した後は、ブログのトップページ、個別の記事、画像、問い合わせフォーム、WordPressの管理画面などが正常に動いているか確認しましょう。
重要なのは、動作確認が必要だからといって、危険なバージョンを長期間放置しないことです。互換性などの問題で更新できない場合は、サーバー会社に緊急の対策方法を相談することが必要です。
また、WAFと呼ばれるWebサイトへの不審なアクセスを防ぐ仕組みもありますが、今回のPHP公式発表では、完全な防御を保証する代替策はないとされています。WAFを設定しただけで安心せず、修正版の適用を優先してください。
9．一般のインターネット利用者は何をすればいい？
ここまで読んで、「自分はブログを運営していないから関係ない」と感じた人もいるかもしれません。
確かに、一般のインターネット利用者が、自分のスマートフォンやパソコンに入っているPHPを更新する必要があるとは限りません。PHPは主にWebサイトのサーバー側で動いているため、基本的な修正作業はサイト運営者やサーバー管理者が担当します。
ただし、攻撃を受けたWebサイトを通じて詐欺ページへ誘導されたり、個人情報を狙われたりする可能性はあります。
そのため、一般利用者も、突然表示された不審なログイン画面や偽の警告メッセージには注意しましょう。また、複数のサービスで同じパスワードを使い回さないことや、多要素認証を設定することも重要です。
今回のニュースをきっかけに、インターネットの安全性は自分の端末だけでなく、利用しているWebサービスの管理状況にも左右されるということを理解しておきたいところです。
10．なぜ今でも重大な脆弱性が見つかるのか？
PHPは長年にわたって世界中で利用されてきた技術です。それなのに、なぜ2026年になっても重大な脆弱性が発見されるのでしょうか。
理由の一つは、プログラムの複雑さです。PHPには長い開発の歴史があり、さまざまな環境で動作するように改良が繰り返されてきました。利用される機能や組み合わせが増えれば、開発者でもすべての問題を完全に予測することは難しくなります。
また、攻撃者も新しい手法を研究しています。以前は危険性が低いと考えられていた不具合でも、別の問題との組み合わせによって重大な攻撃につながる場合があります。
今回の脆弱性については、過去に問題の兆候が指摘されながら、危険性の評価が十分でなかった経緯も報じられています。これは、セキュリティ対策が一度完成すれば終わりというものではないことを示しています。
スーパーでも、設備が導入されたときには問題がなくても、長年使用しているうちに故障や新たなリスクが見つかることがあります。冷蔵設備やレジシステムを定期的に点検するように、Webサイトも継続的な確認と更新が必要なのです。
11．AIの発達でサイバー攻撃はさらに危険になる？
最近は生成AIの発達によって、プログラミングや情報収集が以前より容易になっています。これはWebサイトを開発する人にとって便利な一方、攻撃者が情報を分析したり、不正な活動を効率化したりする用途にも利用される可能性があります。
例えば、公開された脆弱性の説明を読み解く作業や、攻撃対象となり得るシステムの特徴を調べる作業は、AIによって効率化される可能性があります。
ただし、今回のPHP2shellがAIによって発見された、あるいはAIを使った攻撃によって大規模な被害が発生したと断定できる情報は確認できません。
重要なのは、AIの存在そのものより、脆弱性の情報が公開されてから修正が完了するまでの時間です。
昔と比べて、脆弱性の技術情報はインターネット上で素早く広がります。そのため、管理者が更新を後回しにしている間に、攻撃を試みる人が増える可能性があります。
今後は企業だけでなく、個人のブログ運営者もセキュリティ対策を日常的な管理業務として考える必要があるでしょう。
12．個人ブロガーとして今回のニュースから考えたこと
私自身、WordPressでブログを運営していますが、記事の作成や検索順位、アクセス数などに意識が向きやすく、PHPのバージョンまで日常的に確認している人はそれほど多くないのではないかと思います。
ブログを運営していると、どうしても新しい記事を公開することや、より多くの人に読んでもらうことを優先しがちです。しかし、どれだけ多くの記事を作成しても、Webサイトが乗っ取られたり、読者が不正なサイトへ誘導されたりすれば、大きな問題になります。
例えばスーパーでも、売上を伸ばすための販促活動は重要ですが、食品の衛生管理や設備の安全確認を怠るわけにはいきません。Webサイトのセキュリティも、それと同じくらい基本的な管理業務なのだと思います。
特にブログを長期間運営している人ほど、過去に導入したプラグインやテーマ、サーバー設定などを見直す機会を設けることが大切です。
私も今回のニュースをきっかけに、単に記事を書くだけでなく、読者が安心して訪問できるブログを維持することについて改めて考えさせられました。
13．まとめ｜今回のPHP脆弱性で覚えておきたいこと
今回のPHP脆弱性ニュースで、特に覚えておきたいのは次の5つです。
- 2026年10月21日に、PHPの重大な脆弱性を修正する緊急アップデートが公開された。
- 脆弱性の深刻度は9.2と評価され、外部から不正なコードを実行される可能性がある。
- WordPressのサイトにも影響する可能性があるが、WordPress本体だけを更新しても解決するとは限らない。
- ブログ運営者は現在のPHPバージョンを確認し、サーバー会社の案内に従って速やかに修正版を適用する必要がある。
- 普段からバックアップを取り、WordPress・テーマ・プラグイン・PHPを適切に管理することが重要である。
今回のニュースは、プログラミングに詳しい人だけの問題ではありません。企業のWebサイトを管理している人はもちろん、個人でWordPressブログを運営している人にとっても重要な話題です。
インターネットが便利になればなるほど、Webサイトの裏側で動いている仕組みの安全性も重要になります。
難しい専門知識をすべて覚える必要はありません。まずは自分のWebサイトがどのPHPバージョンを使用しているのかを確認することから始めてみてはいかがでしょうか。
参考資料・公式情報
コメント