php2shellで何をするか、PHP修正版8.5.12〜8.2.35とエックスサーバー・コドモンが始めた対策

php2shellとは何か、どこが危ないのか

まず、PHP公式が発表した2件の脆弱性の中身と、公表までの流れを確かめます。

ログインなしで、外からプログラムを動かされるおそれ

PHPは、WordPressをはじめ多くのウェブサイトで使われているプログラムの言語です。調査会社W3Techsによると、サーバー側の言語が分かるサイトの69.3%がPHPを使っています（2026年10月21日）。

PHP公式は10月21日のセキュリティ勧告で、今回の2件は「認証なしのリモートコード実行」につながりうると書いています。ログインしなくても、外から送ったリクエストでサーバーの中のプログラムを動かされるおそれがある、という意味です。深刻度（CVSS v4.0）は2件とも9.2で、最も高い区分の「Critical」です。

出典：PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）、GitHubのセキュリティアドバイザリ GHSA-w8hw-w9fx-j79w・GHSA-6wmf-4rv5-p3rp。「php2shell」は研究者や報道で使われている呼び名で、PHP公式の名前ではありません。

対象は、ウェブのリクエストを処理するすべてのPHPです。PHP公式は、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedを挙げ、危険が最も高いのはmod_phpとしています。使っているCMSやフレームワークの種類に関係なく、PHP本体の更新が必要です。

公表の2日前に情報が漏れた

出典：PHP公式の予告（10月20日）とセキュリティ勧告（10月21日）、IPA、国家サイバー統括室、NCSC、BSI、CERT-EUの各発表。漏えいの経緯は、BleepingComputer、Huntressなどの報道・研究者の説明によります。

報道によると、本来の公表は10月22日の予定でした。公表前に情報が出回ったため、PHP公式は予告を出し、各社は修正版の公開を待たずに備えを始めました。

悪用の状況は、見方が分かれています。Palo Alto NetworksのUnit 42は悪用を観測したとし、CloudflareのCTOは早期の攻撃が出始めていると述べたと報じられています。一方、watchTowrやHuntress、IPAは、10月21日の時点で悪用を確認していないとしていました。

【10月22日追記】公開の4日前から悪用の試み

Amazonの脅威分析チームは10月21日、自社のおとり用サーバーで、修正版の公開より4日早い10月17日から、この脆弱性を狙った試みを観測していたと公表しました。公開当日の10月21日には攻撃のための検証コードが出回り、試みが増えたとしています。使われた手口や経路が試みごとに違うため、複数の攻撃者によるものとみています。

Amazonは「広く悪用されている」としていますが、実際に侵入に成功したかは分からないとしています。ログの調査は、修正版の公開日ではなく、少なくとも10月17日までさかのぼるよう勧めています。修正までの時間は、7日や30日ではなく数時間の単位で考えるべきだとしています。

出典：Amazon Web Services「Amazon threat intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot」（2026年10月21日）。

対策を始めた企業・機関

修正版が出る前から、サーバー会社やネットサービス、公的機関が動いていました。各社の発表の書き方とあわせて並べます。

レンタルサーバー・サーバー管理ソフトの会社

出典：エックスサーバー公式X、さくらインターネット、KAGOYA、シックス・アパート、Plesk、CloudLinuxの各発表（2026年10月20〜21日）。エックスサーバーの停止の開始時刻（16時）と停止した画面の範囲は、利用者のブログによる報告です。

共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。エックスサーバーのように、更新までの間に外から入れる管理画面を止めておくのは、攻撃の入口を減らすための備えと読めます（当社の見方）。さくらのレンタルサーバ・VPSの緊急メンテナンスは理由が書かれておらず、同じ時期のLinuxの別の脆弱性への対応と関連づける報道もあるため、PHPのためとは言い切れません。

サービスを止めたネットサービス

出典：コドモン、pictSQUARE公式X、BASE（PAY ID）、DMM.com公式X、pixiv公式Xの各発表、BUYMA事務局から利用者に届いたメール（10月21日21時55分）。Cygamesの文言はファミ通・GIGAZINEの報道によります。

【10月23日追記】コドモンは、修正版を当てて安全を確かめたうえで、10月22日3時22分にサービスを再開しました。未登園の子どもを知らせる「所在確認アラート機能」は22日は止め、23日から再開するとしています。不正アクセスや情報漏えいは確認されておらず、施設や保護者がアプリの更新やパスワードの変更をする必要はないとしています。ホームページ作成サービスのStudioも、10月21日22時26分から22日4時05分まで緊急メンテナンスを行い、PHPを修正版に更新して再開しました。この件による不正アクセスや情報流出は確認されていないとしています。

出典：コドモン「サービス再開のお知らせ（所在確認アラートは10月22日終日停止）」（2026年10月22日）、Studio「【重要】10月21日(水) 22:00からの緊急メンテナンスのお知らせ【10月22日(木) 04:05終了】」（2026年10月21日〜22日）。

PHPの名前を出して止めた会社と、「予防的な措置」「外部ソフトウェアの脆弱性」などの書き方で止めた会社があります。報道では、このほかにも多くのサービスが同じ夜にメンテナンスに入ったと伝えられていますが、すべてがPHPのためとは限りません。

WAFの会社と公的機関

出典：Cloudflareの変更履歴（10月21日「WAF Release - Emergency」）、Unit 42、IPA、国家サイバー統括室公式X、NCSC、CERT-EU。Cloudflareの変更履歴にはPHPの名前は書かれておらず、PHP向けという説明はCTOの発言を伝えた報道によります。

実際に効く対策は何か

PHP公式が示した対策と、その限界を確かめます。

完全な解決は、修正版への更新だけ

出典：PHP公式のセキュリティ勧告と各版のリリース告知（2026年10月21日）。

PHP公式は、各版のリリース告知に「完全な緩和策はなく、更新だけが安全な選択」と書いています。PHP 8.1以下は、PHP公式からの更新がありません。使っているLinuxの提供元や長期サポートの会社に修正があるかを確かめるか、サポート中の版へ移ることになります。

設定の変更は「時間かせぎ」にとどまる

PHP公式は、すぐに更新できない場合の設定も示していますが、「これらはインストールを安全にするものではない」と明記しています。

出典：PHP公式のセキュリティ勧告（2026年10月21日）。GMO Flatt Securityも、10月21日14時の追記で、設定の変更は緩和にとどまり、修正版の適用が必要としています。

修正版が出る前に出回った「session.upload_progress.enabledを.user.iniで0にする」という方法は、PHP公式の説明では、PHP-FPMでは効かない書き方です。共用サーバーでは、こうした設定はサーバー会社の側で行われることが多く、利用者が自分で変えられる範囲は限られます（当社の見方）。

出回る「攻撃コード」は開かない

公表の前後から、攻撃に使えるとうたうプログラム（PoC）がネットに出回っています。セキュリティ会社のTenableは、検証されていない攻撃コードにはマルウェアが入っているおそれがあると注意しています。自分のサイトが対象かを確かめるために、出どころの分からないコードを手元のパソコンで動かすと、そのパソコンが乗っ取られるおそれがあります。

【10月22日追記】Linuxの提供元の修正は、番号が違うことがある

LinuxのUbuntuとDebianは、10月21日に修正したパッケージを公開しました。提供元のパッケージは、PHP公式の修正版に上げるのではなく、元のバージョンに修正だけを取り込む場合があります。そのため、PHPのバージョン番号だけでは、修正済みかどうかを判断できません。

出典：Ubuntu Security「CVE-2026-109618」、Debian Security Tracker「CVE-2026-109618」（2026年10月22日に確認）。

自分でサーバーを管理している場合は、使っているLinuxの提供元の案内（UbuntuのUSN、DebianのDSA・DLAなど）で、修正済みのパッケージに更新されたかを確かめます。Ubuntu 20.04以前は、Ubuntu Proの契約で修正が提供されています。

【10月23日追記】JPCERT/CCが示した侵害の確認

JPCERT/CCは10月22日、注意喚起（JPCERT-AT-2026-0033）を出しました。修正版への更新を、十分にテストしたうえで速やかに当てるよう求め、暫定策は特定の攻撃経路にしか効かず、根本的な対策は更新だけとしています。PHPを組み込んだ製品やLinuxの提供元のPHPも影響を受ける可能性があるため、各提供元の情報も確かめるよう求めています。

サーバーを管理している人に向けて、過去の記録で次の点を確かめるよう挙げています。不自然に長い、または形のおかしい値のPHPSESSID（セッションのCookie）がないか。不審なファイル送信の形式（multipart/form-data）のリクエストと、その前後のメモリ上限のエラーやHTTP 500エラーがないか。PHPの処理役（ワーカー）が予期せず止まったり、何度も再起動したりしていないか。

そのうえで、悪用の経路が複数あり、記録の状況によっては痕跡が残らないこともあるため、痕跡が見つからなくても攻撃を受けていないとは断定できないとしています。侵害が疑われる場合は、まず記録などの証拠を残してから、影響範囲の調査やシステムの切り離しを行うよう求めています。

出典：JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（JPCERT-AT-2026-0033、2026年10月22日）。

サイトを持つ人・使う人が今できる3つのこと

PHP公式と各社の発表をもとにまとめました。立場ごとに確かめることです。

よくある質問

更新したあと、攻撃を受けていないか確かめる方法はありますか

JPCERT/CCは、不自然な値のPHPSESSID、不審なファイル送信のリクエストとその前後のエラー、PHPのワーカーの異常な終了や再起動がないかを、過去の記録で確かめるよう挙げています。ただし痕跡が残らないこともあり、見つからなくても攻撃を受けていないとは断定できないとしています。

すでに悪用されているのですか

Amazonは10月21日、修正版の公開より4日早い10月17日から悪用の試みを観測し、今は広く悪用されていると公表しました。実際に侵入に成功したかは分からないとしています。

Linuxのパッケージで入れたPHPは、どのバージョンなら安全ですか

UbuntuやDebianは、元のバージョンに修正だけを取り込む場合があり、番号だけでは判断できません。Ubuntu 24.04はphp8.3 8.3.6-0ubuntu0.24.04.13、Debian 13はphp8.4 8.4.27-1~deb13u1などで修正されています。提供元の案内で確かめます。

php2shellとは何ですか

2026年10月21日にPHP公式が修正版を出した、重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）の呼び名です。研究者や報道で使われている名前で、PHP公式の名前ではありません。ログインなしで外からプログラムを動かされるおそれがあり、深刻度は9.2です。

どのバージョンに更新すればよいですか

PHP 8.5.12、8.4.27、8.3.36、8.2.35です。PHP 8.1以下にはPHP公式の更新がないため、Linuxの提供元や長期サポートの会社の修正を確かめるか、サポート中の版へ移ります。

WordPressのサイトも対象ですか

PHP公式は、ウェブのリクエストを処理するすべてのPHPが対象としています。WordPressなどCMSの種類に関係なく、PHP本体の更新が必要です。

設定を変えれば防げますか

PHP公式は、session.upload_progress.enabledを0にするなどの設定は攻撃の道を一部ふさぐだけで、インストールを安全にするものではないとしています。完全な解決は修正版への更新だけです。

メンテナンス中のサービスは情報が漏れたのですか

エックスサーバーやコドモンは不正アクセスによるものではないと書き、BUYMAも情報漏えいは確認されていないとしています。多くの会社は予防のための停止と説明しています。各社の公式のお知らせで確かめてください。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社で、取引先や中小企業の業務を止めるサイバー攻撃の情報を日々見ています。自社のサイトを持つ会社の確認に役立つよう、公式発表をもとに整理しました。