PHPの重大な脆弱性php2shellとは？修正版はいつ、何をすべきか

PHPの重大な脆弱性とは？分かっていること・修正版で判明したこと

PHPは、ブログや会社のサイト、ネットショップなどの「裏側」でページを組み立てるプログラミング言語です。世界で最も使われているブログ・サイト作成ソフト「WordPress」もPHPで動いています。そのPHP本体に、2件の重大な脆弱性があることが分かりました。

発端は、PHPの公式サイトに載った「Upcoming Critical PHP Security Release」という予告です。セキュリティの修正版を出す前に「いつ出すか」だけを先に知らせ、各自が準備できるようにする異例の告知でした。

出典：php.net（予告）、php.net（Security advisory）、CERT-EU Security Advisory 2026-018、IPA、GMO Flatt Security Blog。CVSSは脆弱性の深刻度を0〜10で表す共通の物差しで、9.0以上が最も深刻な「Critical」です。

「php2shell」という呼び名はどこから？

「php2shell」は、PHPの公式発表に出てくる名前ではありません。セキュリティ研究者の投稿などで使われている通称で、GMO Flatt Securityは公式ブログで「外部からの任意コード実行脆弱性（RCE）と見られます」と説明しています。RCEとは、ネット越しに相手のサーバーで好きなプログラムを動かせてしまう種類の欠陥で、乗っ取りや情報の持ち出しにつながる最も危険な部類です。修正版の公開にあわせてPHP公式も「認証なしのリモートコード実行」と認めました。この記事では攻撃の手順には触れません。

修正版の番号とサポート期限【10月22日更新】

各系列の修正版と、公式サポートの期限は次のとおりです。かっこ内は修正前（21日18時時点）の最新版で、これ以前の版はすべて今回の脆弱性の対象です。

出典：PHP「Supported Versions」、PHP「Unsupported Branches」

いつ何が起きた？10月22日までの動き

時刻はすべて日本時間です（CERT-EUのみ欧州時間の日付）。

1. 10/21 5:32PHP公式が修正版の公開を予告2件ともCVSS v4.0で9.2。公開は協定世界時21日14時（日本時間23時）。協定世界時では20日20時32分の掲載です。
2. 10/20〜21（欧州）CERT-EUが注意喚起（2026-018）一覧の掲載日は20日、本文の版表記は21日付。CVE番号を示し、PHP 5以降が影響を受けるおそれがあると指摘。すぐに直せない場合はネットに公開しているアプリの切り離しも検討するよう求めました。
3. 10/21 11:12GMO Flatt Securityが対応指針を公開14時の追記で「悪用できると主張するコードが出回り始めた」「設定変更だけでは攻撃は避けられない見込み」としました。
4. 10/21IPAが「事前準備のお願い」PHPを使うプログラムの棚卸しを要請。サポート終了の古いPHPを使い続けるサイトも見受けられるとしています。
5. 10/21さくらのクラウドが一部機能を停止データベース アプライアンスの管理画面（phpMyAdmin／phpPgAdmin／pgAdmin）の提供を停止。再開は未定。
6. 10/21 16:00エックスサーバーが公式サイト・管理画面を一時停止「ソフトウェアの脆弱性の詳細と修正版が本日公表される予定」として予防的に停止。利用中のサーバーやサイト表示には影響なしと説明。
7. 10/21 19:00ConoHa WINGが緊急メンテナンス22日10時まで「システムの保守作業」。お知らせにPHPの名前はありません。
8. 10/21 23:00前後PHP公式が修正版を公開PHP 8.5.12／8.4.27／8.3.36／8.2.35。予告の23時前後（CERT-EUの記録では22時30分）。2件とも認証なしのリモートコード実行で、8.1以前は公式の更新なし（7.4・8.0・8.1は最小限のソースパッチ）。
9. 10/22 1:10エックスサーバーが修正の適用を開始公式修正版のある8.2〜8.5から順に適用。古い版は独自の修正を作成中で、時間がかかる見込み。管理画面の停止は継続。

出典：php.net、CERT-EU、GMO Flatt Security、IPA、さくらのクラウド、エックスサーバーの告知（同社サイト、21日16時・22日1時10分時点）、ConoHa WING、php.net（Security advisory）

ITmedia NEWSは、保育園向けサービス「コドモン」、ゲーム「Shadowverse: Worlds Beyond」、「さくらのレンタルサーバ」なども緊急メンテナンスに入ったり、23時ごろからのメンテナンスを予告したりしていると報じています。同じ記事によると、国の国家サイバー統括室も可及的速やかな対応を求めています。

PHPサイトの約半数はサポート切れの古い版【独自集計】

Webの技術を調べているW3Techsによると、サーバー側で使っている言語が分かるサイトのうち69.3%がPHPです（10月21日時点。2位のJavaScriptは8.1%）。では、そのPHPサイトはどのバージョンを使っているのでしょうか。W3Techsが公開しているバージョン別・系列別の割合を掛け合わせ、PHPの公式サポート期限と突き合わせました。

W3Techs（PHP・8系・7系・5系、いずれも2026年10月21日）の「メジャー版の割合×系列内の割合」で当サイトが計算。バージョンを外部から判別できたサイトだけが対象で、0.1%未満の版（8.6の試験版など）は除いています。

集計すると、公式サポート中の8.2〜8.5を使うサイトは51.5%にとどまり、48.5%はサポートが終わった版でした。内訳は7系が27.0%と最も多く、8.0〜8.1が13.7%、10年以上前の5系も7.7%残っています。PHPサイト全体に占める割合を言語全体に引き直すと、言語が分かるサイトの約33.6%が「サポート切れのPHP」で動いている計算です。

さらに、PHP 8.2（PHPサイトの18.1%）も2026年12月31日でセキュリティ修正が終わります。年明けには、サポート切れの割合が単純計算で約66.6%まで増えることになります。

WordPressサイトに限ると約36%が古い版

WordPressは、CMS（サイト作成ソフト）が分かるサイトの58.3%、全サイトの39.6%で使われています（W3Techs）。WordPressの公式サイトが公開している統計でPHPのバージョンを見ると、サポート中の8.2〜8.5が63.6%、サポート切れが36.4%でした。最も多いのは8.3（26.6%）と8.2（23.8%）で、サポート切れでは7.4（16.1%）と8.1（10.7%）が目立ちます。WordPressはPHP 8.3以上を推奨しています。

WordPress.orgの統計はWordPress本体の更新確認などで送られる情報をもとにしたもの（当サイトは10月21日に取得）。W3Techsとは調べ方が違うため、数字は単純には比べられません。

過去のPHPの重大な脆弱性は何日で悪用された？

米国のサイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）は、実際に悪用が確認された脆弱性を「KEVカタログ」にまとめています。10月20日版を当サイトで調べると、PHP本体（PHP-FPMを含む）の脆弱性は3件載っていました。それぞれ、修正版が出てから悪用が報告されるまでの日数を数えました。

修正版の公開日はphp.netのリリース情報。悪用の報告はScanNetSecurity（2012年5月11日）、Security Affairs（2019年10月26日）、CISA KEVによる。KEVは2021年11月に始まった制度のため、2012年・2019年の2件は2022年3月25日にまとめて追加されています。

3件とも、修正版の公開から2〜7日で悪用が報告されていました。2024年のCVE-2024-4577では、修正から6日でCISAのカタログに載り、ランサムウェア攻撃に使われたことも「Known（確認済み）」とされています。日本でも、IPAが修正から29日後の2024年7月5日付で注意喚起を出し、国内の複数の組織でWebサービスに不正なプログラム（Webシェル）が置かれていたとの指摘を紹介しました。

今回は、修正版の公開前から「悪用できると主張するコード」が出回り始めたとされています。過去の例より短い時間で攻撃が始まる可能性があり、IPAも「極めて短時間で攻撃を実行する可能性もある」としています。修正版が出たら日単位ではなく時間単位で当てることが求められる状況です。

WordPressなどでサイトを運営する人は何をすべきか

修正版はすでに出ています。レンタルサーバーの人と、自分でサーバーを管理している人に分けて整理します（攻撃の手順や検証方法は扱いません）。

レンタルサーバーを使っている人

• PHPのバージョンを確かめる：WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。サーバー会社の管理画面でも見られます。
• サーバー会社のお知らせを確認する：PHPそのものを入れ替えるのはサーバー会社です。メンテナンスの予定や、利用者側で必要な操作がないかを公式のお知らせで確認しましょう。
• 8.1以前なら、8.3以上へ切り替える：サポート切れの版には公式の修正版が出ません。切り替えでテーマやプラグインが動かなくなることがあるので、先にバックアップを取り、プラグインを最新にしておくと安心です。
• 修正版が反映されたかを確かめる：サーバー会社が対応を終えたあとに、サイトヘルスのPHPバージョンが新しい番号（8.5.12／8.4.27／8.3.36／8.2.35以上）になっているかを見ます。

22日6時半時点で、エックスサーバーは公式修正版のある8.2〜8.5から順に適用を始め、古い版は独自の修正を作成中としています（1時10分時点の告知）。当サイトが使っているConoHa WINGは21日19時〜22日10時の緊急メンテナンスを告知していますが、本文にPHPの名前はありません。お使いのサーバー会社のお知らせで、PHPの更新が終わったかを確かめてください。

自分でサーバーを管理している人・開発者

• PHPを使っているシステムを洗い出す：IPAは、Webアプリだけでなく製品や機器の内部でPHPが使われている場合もあるとしています。
• 更新手順と動作確認の手順を決めておく：GMO Flatt Securityは、更新後のアプリの動作確認や、一時停止に備えた連絡の流れの確認を挙げています。
• 被害を小さくする備え：同社は、サーバー内のデータや権限を最小限にすること、ログがきちんと記録・保全されているかの見直しも勧めています。
• 修正版をすぐ適用する：8.5.12／8.4.27／8.3.36／8.2.35へ更新し、すべてのワーカーを再起動します。OSのパッケージでPHPを入れている場合は、配布元に事前配布されているため、配布元の更新を確認して適用します。

最近は不正アクセスによる情報漏えいも相次いでいます。9〜10月の主な事例は最近の不正アクセスまとめ2026にまとめています。

【追記 2026年10月22日】「サポートが切れた古いソフトに修正が届かない」問題は、家庭のWi-Fiルーターでも起きています。Broadcom製のWi-Fi部品に2010年から残っていた欠陥「WPSplinter」と、ルーターのサポート切れの実態は古いルーターはなぜ危険？16年放置の欠陥WPSplinterと対策で解説しています。

国の注意喚起と報道（X）

国家サイバー統括室は10月21日、PHPを使っているか確認し、日本時間21日午後11時に公開される修正版を速やかに適用するよう呼びかけました。ITmedia NEWSも同日、修正版の公開予定と事前準備を伝えています。修正版の番号や影響範囲は、冒頭の「10月22日追記」にまとめています。

PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。公開しているウェブサイトでPHPを使用しているか確認し、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いいたします。https://t.co/TFPc8QIdUN

— 国家サイバー統括室(注意・警戒情報) (@cyber_forecast) October 21, 2026

PHPに「緊急」レベルの脆弱性2件　修正版を日本時間21日深夜に公開へ、事前準備を呼び掛けhttps://t.co/JKmu6byUQn

— ITmedia NEWS (@itmedia_news) October 21, 2026

PHPの重大な脆弱性のよくある質問

あわせて読みたい

出典・参考資料

• The PHP Group：Upcoming Critical PHP Security Release（2026年10月20日）、Security advisory: Critical remote code execution vulnerabilities, update now（2026年10月21日）、Supported Versions、Unsupported Branches
• CERT-EU：Security Advisory 2026-018「Critical Vulnerabilities in PHP」（v1.1、10月21日）
• IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について（2026年10月21日）、PHPの脆弱性（CVE-2024-4577）を狙う攻撃について
• W3Techs：Usage statistics of server-side programming languages、PHP（8・7・5）、WordPress（2026年10月21日）
• WordPress.org：Statistics、Requirements
• 米CISA「Known Exploited Vulnerabilities Catalog」（2026年10月20日版）
• さくらのクラウド「データベース アプライアンスにおける一部機能の提供停止のお知らせ」（2026年10月21日）、エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月21日16時、22日1時10分時点）、ConoHa WING「【緊急メンテナンス】[ConoHa] サーバーメンテナンス」（2026年10月21日）
• GMO Flatt Security Blog「PHPの重大な脆弱性「php2shell」の概要と対応指針」（10月21日、14時追記・24時更新）
• 報道：ITmedia NEWS（10月21日）、ITmedia NEWS（10月21日、更新版）、ITmedia NEWS「著名ITサービス相次いで緊急メンテへ」（10月21日）、ScanNetSecurity（2012年5月11日）、Security Affairs（2019年10月26日）

サポート切れの割合や悪用までの日数は、各資料をもとに当サイトが計算したものです。内容は2026年10月21日18時時点の情報に、10月22日6時半時点の修正版の情報を追記したものです。アイキャッチ写真：PHPのマスコット「elePHPant」（Atomic Taco／Wikimedia Commons、CC BY-SA 2.0）、トリミング・文字入れ。