PHPの重大な脆弱性（PHP2Shell）｜会社のWebサイトとネットワーク機器で確認すること

何が発表されたか

PHPの開発チームは2026年10月21日、重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開しました。深刻度は2件ともCVSS v4.0で9.2です。

対象はWebのリクエストを処理しているPHPすべてで、PHP-FPMやApacheのmod_phpなどが含まれます。PHP公式によると、mod_phpではログインしていないリクエストで攻撃が成り立つことが確認されています。

PHP 8.1以前は、PHP公式からの修正版が出ません。サーバー会社や製品の提供元が独自に直すのを待つか、新しい版へ上げる必要があります。

会社のWebサイトで確認すること

WordPressなどで会社のサイトを動かしている場合は、まずPHPのバージョンを確かめます。WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」に表示されます。

表示された番号が上の修正版以上なら対応済みです。それより古い場合は、サーバー会社の案内を確認するか、制作・保守を頼んでいる会社に更新を依頼してください。PHPはサーバーに入っているため、サイトの管理画面からは更新できません。

更新の前には、データベースとファイルの両方のバックアップを取っておくと安心です。

ネットワーク機器で確認すること

PHPはWebサイトだけでなく、ファイアウォールやNAS、監視用のサーバーの管理画面にも使われていることがあります。優先して確認したいのは、管理画面やログイン画面がPHPで動いていて、ネットワークから届く機器です。

pfSenseやOPNsenseのように、すでに修正版を出しているメーカーもあります。2026年10月22日朝の時点で告知を出していないメーカーもあるため、修正版が出るまでは、管理画面に入れる場所を社内や特定のIPアドレスに絞っておくのが確実です。

一般的な業務用ルーターでも、その先にあるNASや監視サーバーの管理画面を外に出していないかは見ておきましょう。

当社ホームページへの影響について

当社ホームページはPHPで動くプログラムを使っていないため、今回の脆弱性の影響はないことを確認しました（2026年10月22日）。

お問い合わせフォームは、利用していた外部のフォームサービスが同じ脆弱性への対応で停止したため、当社の仕組みに切り替えて再開しました（10月22日夜）。お電話（本社 072-350-9075／広島支店 082-548-8766）でもご連絡いただけます。

追記（2026年10月22日 夜）：同日18時ごろから22時ごろまで、当社ホームページが閲覧できない状態になっていました。レンタルサーバーの提供元が、この脆弱性への対応としてサーバー全体のWeb公開を停止したためで、当社ホームページ自体への影響や情報の漏えいはありません。同日中にホームページの置き場所を別のサービスへ移し、現在は通常どおりご覧いただけます。PHPを使っていないサイトでも、同じサーバーに入っている他のサイトの対応に巻き込まれることがある、という例としてお伝えします。

担当者の視点：外に出しているものの一覧を作る

今回のような脆弱性が出たとき、すぐに動けるかどうかは「社外から見える状態のもの」を把握しているかで変わります。会社のサイト、問い合わせフォーム、NASやカメラの管理画面、VPN装置など、外から届くものを一度書き出しておくと、次に同じことが起きた時に確認する範囲がすぐに決まります。