PHP2Shellとは？AIが見つけたPHPの脆弱性と、求められる対応

PHP2Shellとは、AIを使って見つかったPHP本体の重大な脆弱性です。PHPで動くサイトを持つ企業は、PHP本体を修正版に更新する必要があります。PHPの開発チームは、2026年10月21日（日本時間の同日23時ごろ）に修正版を公開しました¹。

サイトの運用を制作会社に委任している場合、PHPのバージョンや更新状況が分からないこともあります。また、WordPressを最新にしていても、PHP本体の更新が済んでいるとは限りません。まずは、自社サイトで使っているPHPのバージョンと、更新の担当者や事業者を確認しましょう。

この記事では、次のことが分かります（2026年10月22日時点の情報です）。

• PHP2Shellとは何か、どのPHPバージョンが影響を受けるのか
• 実際の悪用や攻撃の試みは、どこまで確認されているのか
• 自社サイトで何を確認し、どのように更新を進めればよいのか
• AIによる脆弱性の発見に、企業はどう備えればよいのか

PHP2Shellは、PHP本体にある2件の脆弱性の呼び名で、ログインなしで外部からサーバー上のプログラムを実行されるおそれがあります。

PHPは、Webサイトの裏側で動くプログラミング言語です。W3Techsの調査では、サーバー側の言語が判明しているサイトのうち約7割がPHPを使用しています²。

PHP2Shellに関するデータは、次のとおりです（2026年10月22日時点）。

出典: PHP¹／ITmedia NEWS²／PHP2Shell³／Wiz⁴

悪用されると、サーバーを乗っ取られ、データを盗まれたり、サイトを書き換えられたりするおそれがあります⁴。

PHP2Shellは研究者が付けた呼び名で³、PHPの公式発表では、脆弱性を識別するCVE番号が使われています¹。制作会社への問い合わせや社内での報告には、PHP2Shellという呼び名とCVE番号の両方を添えてください。

発見と報告に関わったのは、セキュリティ会社のCalif、OpenAI、クラウドセキュリティ会社のWizの3者です⁵³。Califは、OpenAIの取り組み「Patch the Planet」の一環として欠陥を特定しました⁶。OpenAIも同じ原因の欠陥を独自に報告し、Wizはそれとは別に、2件の脆弱性を独自に発見して報告しています⁵⁶。

Patch the Planetは、広く使われているオープンソースのソフトウェアから、AIで重大な欠陥を見つける取り組みです。保守担当者や研究者と協力し、公開までの準備も進めます⁶。修正版は、PHPの保守担当者が中心となって作成しました⁶。

問題はPHP本体にあるため、アプリのコードに欠陥がなくても影響を受けます⁴。WordPressやプラグインを更新しても、この脆弱性は改善しません⁷。サイトを動かしているPHP本体の更新が必要です⁷。

制作会社などから更新済みと連絡を受けている場合も、WordPressの更新なのか、PHP本体の更新なのかを確かめてください。

2026年10月22日時点で、公的機関は悪用を確認していませんが、複数のセキュリティ会社が攻撃を観測し、一部は実環境での悪用を確認したと報告しています。攻撃の通信を受けたことと、実際に侵入されたことは分けて捉える必要があります。

発表元ごとの内容は、次のとおりです。

出典: CISA⁸／Canadian Centre for Cyber Security⁹／IPA¹⁰／Cloudflare⁷／SecurityWeek¹¹

CISAは米国のサイバーセキュリティを担当する政府機関で、Cloudflare・watchTowr・Patchstack・Hadrianはセキュリティ会社です。IPAの発表は、修正版が公開される前に、事前準備を呼びかけたものです¹⁰。

公的機関が悪用を確認していなくても、攻撃はすでに始まっています。被害の確認を待たず、修正版への更新を進めてください。

PHPのバージョンを確認して修正版に更新するか、すぐに更新できない場合、サイトの一時停止などで更新までのリスクを抑える必要があります。また、PHPの開発チームは、更新以外に完全な回避策はないとしています¹²。

対応は、次の3つです。

1. 自社サイトがPHPで駆動しているかを確認します。
2. PHPのバージョンを修正版に更新します。
3. すぐに更新できない場合は、暫定対策を講じます。

まず、自社で公開しているサイトを一覧にしましょう。IPAも、PHPを使っているプログラムの棚卸しを求めています¹⁰。CISAは、PHPがほかのソフトウェアに組み込まれ、外部から分からない場合があると説明しています⁸。

一覧に載せる対象は、たとえば次のようなサイトです。

• コーポレートサイト
• 採用サイト
• オウンドメディアやブログ
• 問い合わせフォーム
• ランディングページ
• 過去のキャンペーンサイトや、利用を終えたサイト

過去のキャンペーンサイトは、現在の公開状況と管理担当者も確認してください。サイトの一覧には、サイト名やURLと併せて、管理担当者を記載しておきます。

対象ごとの確認方法は、次のとおりです。

出典: WordPress.org¹³／IPA¹⁰

制作会社や保守会社に問い合わせる際は、対象のサイト名やURLも添えてください。依頼文は、たとえば次のようにまとめられます。

お世話になっております。
PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619、通称PHP2Shell）への対応状況を確認しております。
貴社に管理をお願いしている弊社サイトについて、以下の2点をご回答いただけますと幸いです。
・現在のPHPのバージョン
・修正版への更新状況と、未対応の場合の更新予定日
対象サイト：［サイト名・URL］
恐れ入りますが、本日中にご回答をお願いいたします。

OpenAIは、PHPのバージョンを比較する確認ツールも公開しました¹⁴。サイトのHTTPヘッダーに表示されているバージョンだけを読み取り、修正版と比較するツールです¹⁴。

ヘッダーにバージョンが表示されていないと、結果は「UNKNOWN（不明）」になりますが、これは修正済みという意味ではありません¹⁴。反対に、提供元が修正をバックポートしている場合は、ヘッダーのバージョン番号からは修正済みかどうかが分かりません。また、「POTENTIALLY VULNERABLE（影響を受ける可能性あり）」と出ても、修正済みのことがあります¹⁴。

確認ツールは、コマンドライン（Node.js）か、Codexのスキルとして使います¹⁴。制作会社に運用を任せている場合は、管理画面で調べるか、保守担当者に問い合わせて、PHPのバージョンと更新状況を確認してください。

使用中のバージョンが修正版より古い場合は、修正版か、提供元が修正済みとしたバージョンに更新します。系統ごとの更新先は、次のとおりです（2026年10月22日時点）。

出典: PHP「Security advisory」¹／PHP「News Archive - 2026」¹²

PHP8.2を使っている場合は、今回の更新と併せて、サポート終了を見据えた移行先と移行時期も検討してください。

更新作業の進め方は、サイトの管理体制によって異なります。

• 自社でサーバーを管理している場合：修正版に更新し、Apache、PHP-FPM、常駐しているPHPのワーカーを再起動します³。PHP-FPMを使っている場合、nginxなどのWebサーバーだけを再起動しても足りません。Linuxのパッケージを使っている場合は、提供元の更新を確認します¹。
• レンタルサーバーや制作会社に任せている場合：PHPを管理している事業者に更新を依頼します⁷。国内のレンタルサーバー各社も緊急メンテナンスを行ったため¹⁵、事業者の公式サイトでお知らせを確認してください。

制作会社を窓口にしている場合も、実際にPHPを更新する担当者や事業者を確認しておきましょう。

更新の連絡を受けたら、PHPが修正版、または提供元が修正済みとしたバージョンに切り替わっているかを確認してください。確認したバージョンと確認日をサイトの一覧に記録し、対応状況を社内で共有しておきましょう。

動作確認などの事情ですぐに更新できない場合は、更新が完了するまでの間、サイトの一時停止や外部ネットワークからの切り離しを検討します⁸¹⁶。ただし、これらはPHP本体の更新に代わるものではありません¹⁶。

CISAは、すぐに更新できないシステムを、更新するまで停止するよう求めています⁸。PHP8.1以前を使い続けるシステムも同様です⁸。

欧州のCERT-EUも、外部に公開しているアプリをネットワークから切り離すことを勧めています¹⁶。国内では、国家サイバー統括室が10月21日に、次の呼びかけを行いました¹⁷。

修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

これにより、同日には、国内の多くのサービスが暫定措置として一時停止しました¹⁷。

自社サイトでも停止の判断が必要になった場合は、業務への影響も含め、保守会社や社内の関係者と対応を相談してください。

Webの通信を監視する仕組み（WAF）も、更新までに利用できる対策の一つです⁸。ただし、設定を変える一時的な対策で減らせるのは、一部の攻撃経路だけです¹。PHPの開発チームは、それだけで安全な状態にはならないとしています¹。

AIの活用で古くからある欠陥が見つかりやすくなり、重大な更新は今後増えると見込まれます。PHP2Shellの欠陥は、10年以上前のPHP5.4の頃から存在したようです⁴。

PHP Foundationは、2024年に問題の兆候を見つけていました⁵。しかし、修正方法が定まらず、作業の中断と再開を繰り返したと説明しています⁵。

2026年8月11日には、Califが、その問題と同じ原因の欠陥をPHPに報告しました⁵。Califは、OpenAIのモデル「GPT-5.6 Sol」を使ってこの欠陥を発見しています⁶。OpenAIも同じ原因を独自に報告しました⁵。その後、Wizが8月24日に、OpenAIが9月18日に、追加の攻撃経路を報告しています⁵。

Wizによると、AIを使った研究者1人が、以前なら一流のチームが数か月かけた作業を1週間で終えました⁴。OpenAIは、AIが攻撃者のツール開発も速める可能性を指摘しています⁶。

OpenAIは、今後の見通しについて次のように述べています⁶。

we expect similar findings to increase sharply in the coming months.

（訳）同じような発見は、これからの数か月で急に増えると見込んでいます。

AIを使った調査が増え、PHPのセキュリティチームに寄せられる報告も増加しました⁵。チームは、7月1日以降に15件のCVEを公表しています⁵。

企業にとって大切なのは、次の脆弱性が見つかったときの対応フローが明確にしておくことです。

PHPを更新する担当者や事業者を、サイトごとに記録しておきましょう。連絡先や更新を依頼する手順も整理しておくことで、緊急の対応が必要になったときに、スムーズに対応可能です。

PHP2Shellとは、AIを使って見つかったPHP本体の重大な脆弱性です。PHPで動くサイトを持つ企業は、PHP本体を修正版に更新する必要があります。2026年10月22日時点で、公的機関は悪用を確認していませんが、複数のセキュリティ会社が攻撃を観測しています。

まずは自社サイトを一覧にし、PHPのバージョンと更新担当者を確かめてください。制作会社などに更新を依頼した場合も、修正版への切り替えまで確認します。

すぐに更新できない場合は、サイトの一時停止や外部ネットワークからの切り離しについて、保守会社や社内の関係者と相談しましょう。今回確認した担当者や連絡先、更新手順も、サイトの一覧にまとめておきましょう。

当メディアでは、AIとセキュリティに関する情報やノウハウを発信しています。当社プロダクトの「Agentino」は、営業やマーケティング業務を自律的に支援するエージェント基盤としても利用されています。営業プロセスの効率化をご検討の企業様は、お気軽にお問い合わせください。