【php2shell】PHPの脆弱性｜WordPressへの影響・対象バージョンと対応
直らないときは、無料でご相談いただけます（直らなければ料金はいただきません）。
結論：WordPressを動かしているPHPに、重大な脆弱性が2つ見つかりました。2026年10月21日に修正版が出ています。
サイトの「PHP バージョン」が、8.5系なら8.5.12以降、8.4系なら8.4.27以降、8.3系なら8.3.36以降、8.2系なら8.2.35以降であれば、この脆弱性の修正は含まれています。WordPressの更新では直らないため、PHPの版を確かめてください。
レンタルサーバーでは、PHPの更新はサーバー会社が行います。番号が修正版より前のときや、番号だけでは分からないとき、8.1以前の古い版を使っているときは、サーバー会社に今回の修正が済んでいるかを確かめましょう。
目次
php2shell（ピーエイチピー・ツー・シェル）とは
php2shellは、2026年10月に公表された、PHP本体の2つの脆弱性の呼び名です（PHPの公式の発表では、この呼び名は使われていません）。ログインしていない第三者が、細工した通信を送ることで、サーバーの中で勝手にプログラムを動かせるおそれがあります。
WordPressに限った問題ではなく、PHPでWebページを返しているサーバーが広く対象です。WordPressの版や、プラグインの数には関係ありません。
| 修正版の公開日 | 2026年10月21日（PHP 8.5.12・8.4.27・8.3.36・8.2.35） |
|---|---|
| 脆弱性の番号 | CVE-2026-109618（メモリが足りなくなったときの処理の不具合） CVE-2026-109619（使い終わったメモリの情報が残り、次の通信で使われてしまう不具合） |
| 深刻度 | PHPの公式の評価で、2つとも10点満点の9.2（Critical）。ログインも、利用者の操作も要らないとされています |
| PHPの公式の案内 | 修正版への更新が、ただ一つの安全な対応。設定を変えて防ぐ方法は、完全ではない |
| WordPressの公式の案内 | 今回の脆弱性への対応としては、WordPressの更新は必要なく、予定もない。PHPをすぐに更新するよう呼びかけている |
対象になるPHPの版
| お使いの版 | 修正版 |
|---|---|
| 8.5系 | 8.5.12 |
| 8.4系 | 8.4.27 |
| 8.3系 | 8.3.36 |
| 8.2系 | 8.2.35 |
| 8.1系以前（7.4・8.0・8.1など） | PHPの公式のサポートが終わっているため、PHPの公式からの通常の修正版はありません |
番号は、同じ系統どうしで比べます。たとえば8.4.26は、8.3.36より数字は大きくても、8.4系の修正版（8.4.27）より前なので対象です。
8.1以前の版について、PHPの公式は、自分でPHPを作る人向けに最小限の修正を示したうえで、配布元などに確かめるか、サポートされている版へ上げるよう案内しています。サーバー会社などが独自に修正を入れているかは、それぞれに確かめる必要があります。WordPressの公式も、8.2より前のPHPは、PHPの公式から安全のための更新を受けられないとしています。
今の系統で修正版になっていれば、今回の脆弱性のために別の系統へ切り替える必要はありません。ただ、8.2系は2026年12月31日で安全のための更新が終わる予定です。その前に、WordPressが勧めている8.3以上へ移る準備をしておくと安心です。
自分のサイトのPHPの版を確かめる方法
サイトのURLや、PHPバージョンの番号を入れて確かめられるPHPの脆弱性（php2shell）チェックもご用意しています。
管理画面に入れる場合
- WordPressの管理画面にログインし、左のメニューの「ツール」→「サイトヘルス」を開きます。
- 画面の上の「情報」を押します。
- 「サーバー」を開き、「PHP バージョン」の番号を見ます（例：
8.3.36）。
管理画面に入れない場合
レンタルサーバーの管理画面の、PHPのバージョンの設定で確かめられます。場所は、PHPの版の記事の「主なレンタルサーバーでの場所」をご覧ください。サーバーの管理画面では、「8.3」のように細かい番号まで出ないこともあります。「8.3」だけでは修正済みかは分からないため、サーバー会社のお知らせで確かめ、お知らせで分からないときはサポートに問い合わせます。
番号の見方
- 同じ系統の修正版と同じか、それより新しい番号：修正は含まれています。
- 同じ系統の修正版より前の番号（8.2〜8.5系）：番号だけでは、サーバー会社が独自に修正を入れているかまでは分かりません。早めに、サーバー会社に対応の状況を確かめましょう。
- 8.1以前：サーバー会社が独自の修正を入れているかを確かめ、あわせて8.3以上への切り替えを検討します。
レンタルサーバーを使っている場合
多くのレンタルサーバーでは、PHPの本体はサーバー会社が管理していて、修正版を入れるのもサーバー会社です。利用者が選べるのは、使うPHPの版です。
- 契約しているサーバー会社の「お知らせ」や「障害・メンテナンス情報」で、今回のPHPの脆弱性への対応が書かれているかを確かめます。「緊急メンテナンスが完了しました」とだけ書かれている場合は、それだけでは今回の対応かどうか分かりません。
- お知らせで分からないときは、サーバー会社のサポートに「PHPの脆弱性（CVE-2026-109618・CVE-2026-109619）の修正は、使っているPHPの版に入っていますか。まだなら、予定と、こちらで必要な作業はありますか」と問い合わせます。
- 8.1以前の版を選んでいる場合は、サーバーの管理画面で8.3以上へ切り替えることを検討します。切り替える先の版にも今回の修正が入っているかを確かめ、切り替える前に、プラグイン・テーマが新しい版に対応しているかと、バックアップがあるかを確かめておくと安心です。切り替えた後は、サイトヘルスで番号を見直し、表示やお問い合わせフォームが動くかも確かめます（PHPの版を上げる手順）。
使っていない古いサイトや、テスト用のサイトも対象になります。同じサーバーにあるほかのサイトの版も、あわせて確かめておきましょう。
VPSなど、自分でPHPを管理しているサーバーの場合
PHPを自分で入れて管理しているサーバーでは、修正版への更新は管理している方の作業です。OSのパッケージなどでPHPを修正版に更新し、PHP-FPMやApacheなど、PHPを動かしている仕組みを再起動します。
PHPの公式は、設定の変更で一部の攻撃の道をふさぐ方法も公式の告知で示していますが、それだけでは安全にならないとしています。設定の変更は更新までのつなぎとし、修正版への更新を進めてください。
8.2より前の版ですぐに更新できない場合について、WordPressの公式は、各国の機関の案内を引いて、更新の準備をするあいだサーバーを止めることも検討するよう伝えています。
すでに入り込まれていないか
IPA（情報処理推進機構）は、2026年10月21日の時点で、この脆弱性を悪用した攻撃は確認していないとしています。ただし、修正の中身が知られると、ごく短い時間で攻撃が行われるおそれがあるとも呼びかけています。
修正の前に攻撃を受けていた場合、PHPが修正されただけでは元に戻りません。次のようなことがないか、見ておきましょう。
- 「ユーザー」の一覧に、覚えのない管理者がいる
- 入れた覚えのないプラグインや、見覚えのないファイルがある
- サイトを開くと、勝手に別のサイトへ移動する
- Googleの検索結果やブラウザに、警告が出る
これらは別の原因で起こることもあり、当てはまっても今回の脆弱性によるものとは限りません。当てはまるものがあるときは、改ざん・乗っ取りの記事の「まずやること」をご覧ください。不審な点があるときは、パスワードの変更だけで済ませず、サーバー会社や専門家に調査をご相談ください。
自分で進めるのが難しいとき
次のような場合は、無理に作業を進めず、ご相談ください。
- PHPの版の見方や、切り替えの場所が分からない
- 8.1以前の版を使っていて、新しい版に上げてよいか分からない
- PHPの版を切り替えたら、表示が崩れた・エラーが出た
- 入り込まれていないか、自分では判断がつかない
WP-ingでは、PHPの更新後の不具合の修理を 5,000円〜、改ざん・マルウェアの調査と復旧を 20,000円〜（どちらも税別）で承っています。作業の前に料金をご案内し、直らなければ料金はいただきません。お支払いは、直ったことを確かめていただいてからです。
よくある質問
WordPressを最新の版に更新すれば大丈夫ですか？
今回はPHPの脆弱性のため、WordPressの更新では直りません。WordPressの公式も、今回の脆弱性への対応としては、WordPress側の更新は必要なく、予定もないとしています。サイトの「PHP バージョン」を確かめましょう（WordPressやプラグインの日ごろの更新は、これまでどおり続けてください。2026年10月28日には、WordPress本体のセキュリティの更新 7.1.4 も出ています）。
プラグインをほとんど使っていなくても対象ですか？
はい。PHPの脆弱性なので、プラグインやテーマの数に関係なく、対象の版のPHPで動いていれば当てはまります。
wp2shellとは別のものですか？
別のものです。wp2shellは2026年7月に公表されたWordPress本体の脆弱性で、WordPressの更新で直ります。php2shellはPHPの脆弱性で、PHPの更新が必要です。