PHP問題とは？｜世界中のWebサイトを脅かす重大な脆弱性とセキュリティ対策

WordPressにも影響する、Webサイトの安全性を揺るがす問題

2026年10月、世界中のWebサイトで利用されているプログラミング言語「PHP」に重大なセキュリティ上の問題が発見されました。

PHPはWordPressをはじめ、多くのWebサービスを動かすために使われている技術です。

今回発見された脆弱性は「PHP2Shell」と呼ばれ、悪用されると外部からサーバー上で不正なプログラムを実行される可能性があります。

普段は目に見えないWebサイトの裏側で発生した問題が、世界中のホームページやオンラインサービスの安全性に影響を与えているのです。

30秒でわかるPHP問題

名称：PHP問題
関連する脆弱性：PHP2Shell
分類：インターネット・情報セキュリティ問題
発生分野：Webサイト・Webアプリケーション
関連技術：PHP・WordPress・Webサーバー
主な原因：PHPのプログラム内部に存在する脆弱性
問題の公表：2026年10月
脆弱性識別番号：CVE-2026-109618・CVE-2026-109619
影響範囲：脆弱なPHPを利用するWebシステム
主なリスク：不正なプログラムの実行・情報漏えい・サイト改ざん
対策：PHPのセキュリティ更新・サーバー設定の確認
修正版公開：2026年10月21日
重要度：重大
現在の状況：修正版が公開され、更新と影響確認が呼びかけられている

最大の特徴

PHP問題最大の特徴は、Webサイトを動かす基盤となるプログラムそのものに脆弱性が存在することです。

通常、Webサイトへの攻撃では、管理画面のパスワードやプラグインの不具合が狙われる場合があります。

しかし今回のPHP2Shellは、PHP内部の処理に関係する問題です。

そのため、WordPress本体を最新の状態にしていても、サーバー側のPHPが脆弱なままであれば影響を受ける可能性があります。

PHPとは何か？

PHPは、WebサイトやWebアプリケーションを動かすためのプログラミング言語です。

利用者がページを開いたときに、サーバー上で必要な処理を実行し、画面に表示する情報を生成します。

ブログや企業サイト、会員制サービスなど、さまざまなWebシステムで利用されています。

特にWordPressはPHPを基盤とするため、PHPの安全性はサイト運営にとって重要です。

PHP2Shellとは？

PHP2Shellは、2026年10月に公表された2件の重大な脆弱性の総称です。

PHPがリクエストを処理する際のメモリ管理などに問題があり、特定の条件下で悪用される可能性があります。

攻撃が成功すると、第三者がサーバー上で不正なコードを実行できるおそれがあります。

2026年10月26日には、米国のCISAが実際に悪用された脆弱性として登録しました。IPA 独立行政法人 情報処理推進機構

なぜ世界中のWebサイトに影響する？

PHPは、世界各地のWebサイトで長年利用されてきました。

特にWordPressなどのコンテンツ管理システムを支える重要な技術です。

そのため、PHPのセキュリティ問題は個別のWebサイトだけでなく、多くのサーバーやサービスに関係します。

ただし、PHPを利用しているすべてのWebサイトが攻撃被害を受けたという意味ではありません。

実際の危険性は、使用バージョンやサーバー構成、修正プログラムの適用状況などによって異なります。

古いPHPを使い続ける危険性

PHPは定期的に新しいバージョンが公開され、セキュリティ上の問題も修正されています。

しかし、古いバージョンは一定期間が経過すると公式サポートが終了します。

サポート終了後は新たな脆弱性が見つかっても、原則として公式のセキュリティ更新が提供されません。

また、新しいWordPressやプラグインとの互換性にも問題が生じる可能性があります。

そのため、PHPを安全な状態で使い続けるには継続的な管理が必要です。php.net

WordPressへの影響

WordPressはPHPを使用して動作しています。

そのため、PHPの脆弱性が発見された場合、WordPressを利用するサイトも影響を確認する必要があります。

ただし、WordPress本体とPHPは別のソフトウェアです。

WordPressの更新だけでは、PHP本体の脆弱性が解消されるとは限りません。

サーバー側で適切なPHPの修正版が適用されているか確認することが重要です。

PHP問題への対策

2026年10月21日、PHPの開発チームはPHP2Shellに対応する修正版を公開しました。

主な修正版は次のとおりです。

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Webサイトの管理者は、現在のPHPバージョンを確認し、サーバー会社の案内に従って安全なバージョンへ更新する必要があります。

また、更新前にはバックアップを取得し、WordPressのテーマやプラグインが新しいPHPに対応しているか確認することも大切です。IPA 独立行政法人 情報処理推進機構

レンタルサーバー利用者が確認すること

レンタルサーバーを利用している場合、PHP本体のセキュリティ修正はサーバー会社が対応する場合があります。

一方、利用者自身がPHPのバージョンを選択している環境では、追加の操作が必要になることもあります。

そのため、サーバー会社のお知らせや管理画面で、利用しているPHPの安全性を確認することが重要です。

なお、更新済みのバージョン番号が表示されなくても、サーバー会社が修正内容を独自に適用している場合があります。

まとめ

PHP問題は、世界中のWebサイトを支えるプログラミング言語の安全性に関係する重要な問題です。

2026年10月に公表されたPHP2Shellは、外部から不正なプログラムを実行される可能性がある重大な脆弱性として注目されました。

Webサイトを安全に運営するためには、WordPressだけでなく、その基盤となるPHPやサーバー環境も適切に管理することが欠かせません。