2026年10月21日、PHPに重大な脆弱性「php2shell」が発覚し、緊急のセキュリティアップデートが予定されています。
今回の脆弱性は、PHPを利用するWebサイトやアプリケーションに影響する可能性があり、WordPressを運営している場合も注意が必要です。
PHP開発チームは、2件の脆弱性に対する修正パッチを2026年10月21日23時（日本時間）に公開する予定と発表しています。両脆弱性の深刻度はCVSS v4.0で9.2と評価されています。
この記事では、WordPressサイトの運営者が確認すべきことと、修正パッチ公開前後に取るべき対応を解説します。
php2shellとは
php2shellは、PHP自体に存在する重大な脆弱性に付けられた名称です。関連するCVE番号は、以下の2件です。
- CVE-2026-109618
- CVE-2026-109619
今回の脆弱性では、外部から任意のコードを実行されるリモートコード実行（RCE）につながる可能性が指摘されています。
サーバー上で任意のコードを実行されると、Webサイトの改ざんやサーバー内の情報への不正アクセスなどにつながるおそれがあります。実際にどこまで被害が及ぶかは、サーバーの権限や構成などによって異なります。
2026年10月21日時点では、PHP開発チームが同日23時に修正パッチを公開する予定としています。
WordPressサイトも影響を受ける可能性がある
WordPressはPHPで動作するCMSです。そのため、WordPress本体やプラグインに脆弱性がなくても、サーバーで使用しているPHP自体に問題があれば影響を受ける可能性があります。
今回の問題はWordPress固有の脆弱性ではありません。WordPress本体やプラグインを最新版に更新するだけでは、PHP自体の脆弱性を修正できません。
レンタルサーバーを利用している場合も、サーバー側で使用されているPHPのバージョンや、修正版の提供状況を確認する必要があります。
WordPressサイト運営者が取るべき対策
1. 使用しているPHPのバージョンを確認する
まず、WordPressサイトが使用しているPHPのバージョンを確認しましょう。
WordPressの管理画面から、以下の手順で確認できます。
- WordPressの管理画面にログインする
- 「ツール」から「サイトヘルス」を開く
- 「情報」タブを選択する
- 「サーバー」の項目を開き、PHPのバージョンを確認する
レンタルサーバーの管理画面でも、設定されているPHPのバージョンを確認できる場合があります。
複数のWordPressサイトやサブドメインを運営している場合は、それぞれ確認してください。
2. 修正パッチ公開前は暫定対策を検討する
PHP開発チームによる修正パッチの公開前に、GMO Flatt Securityは暫定的な緩和策を紹介しています。
独自の調査に基づき、PHPの「Session Upload Progress」機能が今回の脆弱性に関係している可能性を指摘しており、次の設定によって同機能を無効化する方法を挙げています。
session.upload_progress.enabled=0
この設定はPHPの設定ファイルである php.ini などから指定します。ただし、設定方法や変更権限はサーバー環境によって異なります。
この設定は暫定的な緩和策であり、今回の脆弱性を確実に防げると保証されたものではありません。
設定を変更する場合は、利用しているサーバーの公式マニュアルを確認してください。自分で設定できない場合は、サーバー会社に対応方法を問い合わせるとよいでしょう。
参考：GMO Flatt Securityによるphp2shellの解説と対応指針
3. 修正パッチが公開されたら、速やかに適用する
今回の脆弱性に対する根本的な対策は、修正済みのPHPを使用することです。
PHP開発チームは、2026年10月21日23時（日本時間）に修正パッチを公開する予定としています。
パッチ公開後は、PHP公式の情報で影響対象となるバージョンと修正済みバージョンを確認し、利用しているPHP環境を更新してください。
レンタルサーバーを利用している場合、PHPの更新方法はサービスによって異なります。サーバー会社が修正版を提供する場合は、その案内に従って更新やバージョンの切り替えを行います。
なお、PHPの新しいバージョンに変更するだけで、今回の脆弱性が修正されたとは限りません。修正済みのバージョンが実際に適用されていることを確認する必要があります。
また、古いPHPのバージョンでは今回の修正が提供されない可能性があります。PHP開発チームがサポートしているバージョンへの移行も検討してください。
参考：PHP公式サイト
4. PHP更新後にWordPressの動作を確認する
PHPを更新すると、使用しているテーマやプラグインとの互換性によっては不具合が発生する場合があります。
更新前にWordPressのファイルとデータベースをバックアップし、更新後は次の項目を確認しましょう。
- トップページや記事ページが正常に表示される
- WordPressの管理画面にログインできる
- 記事の編集や公開ができる
- 問い合わせフォームが正常に動作する
- 広告やアクセス解析などの機能が動作する
不具合が発生した場合は、エラーログを確認して原因を調査してください。脆弱性のあるPHPへ安易に戻して運用を続けるのではなく、互換性の問題を解消して修正済みの環境を維持することが重要です。
すでに攻撃されていないか確認する
脆弱性への対策を行っても、それ以前に不正アクセスを受けていた可能性までは否定できません。
今回の脆弱性に関連する不審なアクセスがないか、確認できる範囲でサーバーのアクセスログやエラーログを確認しましょう。
また、以下のような不審な変化がないかも確認します。
- 見覚えのないWordPress管理者アカウントが追加されている
- 身に覚えのないPHPファイルが設置されている
- WordPressのファイルが不正に変更されている
- 見覚えのないプラグインやテーマが追加されている
- サーバーから不審な通信が発生している
これらは不正アクセスの可能性を調べるための確認項目であり、該当するものがあるだけで今回の脆弱性が悪用されたと断定できるわけではありません。
不審な痕跡が見つかった場合は、ログなどの証拠を保全したうえで、サーバー会社やセキュリティの専門家に相談してください。
まとめ
PHPの重大な脆弱性「php2shell」は、PHP自体に関係する問題であり、WordPressサイトの運営者も注意が必要です。
今回の問題に対して、WordPress運営者が取るべき対応をまとめます。
- 使用しているPHPのバージョンを確認する
- 修正パッチ公開前は、必要に応じて暫定対策を検討する
- 修正版が公開されたら、速やかに適用する
- PHP更新後にWordPressやプラグインの動作を確認する
- 不審なアクセスやファイル変更がないか確認する
特に重要なのは、WordPress本体やプラグインの更新だけで対応を終わらせないことです。PHPの修正状況を確認し、利用しているサーバー環境に適切な対策を適用しましょう。
修正パッチの公開後は、PHP公式サイトおよび利用しているサーバー会社の案内を確認し、修正版が適用された状態を維持することが重要です。
