解説 / 2026-10-22 時点の情報

PHP2Shell とは。WordPress のサイトで今すぐ確かめること

どんな脆弱性か

• CVE-2026-109618: メモリが足りなくなったときの処理で内部のデータが壊れ、外から好きなプログラムを動かされるおそれがあります。
• CVE-2026-109619: 使い終わったメモリが次のリクエストで使われ、同じく好きなプログラムを動かされるおそれがあります。
• Apache の mod_php で動かしている場合が最も危なく、ログインなしのリクエスト 1 回で、サイトのプログラムが動く前に乗っ取れることが示されています。PHP-FPM・LiteSpeed なども条件によって影響を受けるとされています。
• 初期設定で有効な session.upload_progress が攻撃の入口の 1 つです。
• IPA と Cloudflare は、影響を受けるのは PHP 5.4 以降としています。

サポートが終わった PHP (8.1 以前) の場合

8.1 以前には正式な修正版は出ません。PHP の開発元は 7.4・8.0・8.1 向けに最小限の修正を GitHub に公開しましたが、PHP 5 系向けはありません。サポートの続いている版 (8.2 以降) へ上げるのが基本です。なお 8.2 のサポートも 2026 年 12 月 31 日で終わります。

WordPress の公式の集計では、PHP 8.1 以前で動いている WordPress は約 35.8% です (2026 年 10 月 22 日に取得)。自分のサイトの版はPHP のバージョンを確かめる方法で見られます。

レンタルサーバー各社の対応 (10 月 22 日時点)

ほかの会社は、それぞれの公式の告知を確かめてください。エックスサーバーは 10 月 22 日の時点で公式サイトを読めず、ここには載せていません。

持ち主が確かめること

1. サーバー会社の告知を見る。上の表の会社なら、その指示に従います。
2. PHP のバージョンを確かめる。8.1 以前なら、修正の有無にかかわらず上げる計画を立てます。
3. ロリポップ！なら、お問い合わせフォームやファイルの送信が動くか試す。session.upload_progress の無効化で影響が出ることがあります。
4. 自分で借りたサーバー (VPS など) なら、PHP を自分で更新する。サーバー会社は当ててくれません。
5. Cloudflare を通しているなら、無料のプランでも 10 月 21 日から自動で防御されています。ただし Cloudflare 自身が「PHP の更新の代わりにはならない」と書いています。

制作会社と連絡が取れず、どれも分からないとき

サーバーの契約も PHP の版も分からず、管理画面にも入れない場合は、まず外から見るだけの無料チェックで、外から読める範囲を確かめられます。IPA は 10 月 22 日の注意喚起で、すぐに直せないシステムについて移行や縮退・廃止も検討するよう呼びかけています。会社案内やお店の紹介のように中身が変わらないサイトなら、PHP を使わない静的サイトに作り直すのも 1 つの方法です。

出典 (2026 年 10 月 22 日に確認)

• PHP 公式 (修正版の公開・サポート期限)
• GHSA-w8hw-w9fx-j79w・GHSA-6wmf-4rv5-p3rp
• JPCERT/CC 注意喚起 JPCERT-AT-2026-0033
• IPA「PHPの脆弱性対策について」
• Cloudflare の解説
• Amazon の観測
• WordPress の PHP の版の集計