PHP重大脆弱性「PHP2Shell」への緊急対応事例｜WordPressサイト含む数十サイトの調査・更新・動作確認

2026年10月、PHPの重大な脆弱性「PHP2Shell」が公表されました。株式会社Toyroでは、数十サイトを対象に緊急対応を実施し、PHPのバージョン調査、バックアップ、PHP・WordPressの更新、更新後の動作確認、不具合対応を進めました。

今回、日頃から保守管理を行っているサイトでは、大きな問題なく対応できました。一方で、プラグインの更新失敗やサーバー側の制約など、一律の更新手順では進められないケースもありました。この記事では、企業の経営者・Web担当者の方向けに、実際の対応を通じて分かった注意点と、平時から備えておきたい管理体制をご紹介します。

本記事の情報は2026年10月28日時点のものです。脆弱性・修正版に関する情報は更新されるため、実際の対応時にはPHP公式、IPA、ご利用のサーバー会社の最新情報をご確認ください。

PHP重大脆弱性「PHP2Shell」とは

PHP2Shellは、PHPに見つかった2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の組み合わせを指す呼称です。悪用されると、認証を受けていない第三者が遠隔からコードを実行できる可能性があります。PHP公式は2026年10月21日に修正版を公表し、IPAも10月22日に注意喚起を公開しています。

PHPは、WordPressなどのWebサイトをサーバー上で動かすために使われています。そのため、WordPressの管理画面に「最新版」と表示されていても、PHPの対策が完了しているとは限りません。WordPress本体・プラグインと、サーバーで動くPHPは、それぞれ確認する必要があります。

PHPの系列	今回の2件の脆弱性を修正したバージョン
8.2系	8.2.35
8.3系	8.3.36
8.4系	8.4.27
8.5系	8.5.12

出典：PHP公式のセキュリティ勧告（2026年10月21日）／IPA「PHPの脆弱性対策について」

上の表は今回の修正が入ったバージョンであり、すべてのサイトに同じ系列への変更を勧めるものではありません。サーバー会社による修正の提供状況や、サイトとの互換性を確認して判断します。古いPHPについても、提供元による修正適用の有無を確認し、通常サポートのある環境への移行を検討する必要があります。

なお、PHP公式には10月23日の追加案内や10月26日のWindows向け更新情報も掲載されています。バージョン番号だけで判断せず、ご利用環境に関係する追加情報も確認してください。

株式会社Toyroが実施したPHP脆弱性への緊急対応

今回の緊急対応では、数十サイトの環境を確認し、それぞれの状態に応じて更新・確認・不具合対応を進めました。以下は対応の主な流れです。サイトごとに必要な作業は異なるため、すべてのサイトに同じ変更を行うのではなく、現在の構成と更新状況を踏まえて判断しました。

1. PHP・WordPressのバージョンとサーバー環境を調査

最初に、使用中のPHPとWordPressのバージョン、プラグインの更新状況、サーバー環境を確認しました。PHPの脆弱性への対応では、管理画面に表示されるWordPressの更新状況だけでなく、実際にサイトを動かしているPHPの状態を把握することが出発点になります。

経営者・Web担当者の方は、制作会社や管理担当者に「現在のPHPバージョン」「サーバー会社の対策状況」「更新作業の担当者」を確認すると、次の行動を整理しやすくなります。

2. 更新前にバックアップを取得

更新に伴うトラブルに備え、バックアップを実施しました。PHPやWordPressの変更は、既存のテーマ・プラグインの動作に影響することがあるため、更新作業とあわせて復旧への備えを考えることが大切です。

一般的な備えとしては、サイトのファイルとデータベースを保存し、取得日時・保存先・復元方法を把握しておきます。バックアップがあることと、すぐに復元できることは同じではありません。

3. PHP・WordPress・プラグインを更新

調査した環境を踏まえ、必要なPHP・WordPress・プラグインの更新を進めました。PHPの更新だけでなく、サイト側の互換性も確認する必要があります。逆に、WordPressやプラグインを更新するだけでは、サーバー側のPHPの脆弱性が解消されるとは限りません。

また、サーバー会社が提供するPHPの選択肢や契約環境によって、利用者側で実施できる作業は異なります。更新先のバージョンと適用方法を確認したうえで進めることが重要です。

4. 更新後の動作確認

更新後にはサイトの動作を確認し、問題がある場合は不具合対応を行いました。更新操作が完了していても、サイトが従来どおり使えるかどうかは別に確認する必要があります。企業サイトでは、見た目だけでなく、問い合わせなどの業務に関わる機能にも注意が必要です。

動作確認を計画する際には、トップページや主要ページの表示、管理画面の操作、問い合わせフォームの入力・送信などを、サイトの用途に合わせて確認項目に含めます。更新画面の表示は更新状況を示すものであり、サイト全体の安全性や全機能の正常動作を証明するものではありません。

実際に発生した問題と、対応で注意したいこと

プラグインの更新に失敗するケース

今回の対応では、プラグインの更新に失敗するケースがありました。更新ボタンを押すだけで作業が完了するとは限らず、失敗した箇所の確認や、個別の不具合対応が必要になります。

こうした場合は、表示されたエラーや更新後の状態を確認し、原因を切り分けることが重要です。原因を確認しないまま更新を繰り返したり、必要なプラグインを削除したりすると、別の機能に影響するおそれがあります。

サーバー側の制約で更新方法の確認が必要なケース

サーバー側の制約も、今回の対応で直面した問題の一つです。WordPressの管理画面から操作できる範囲だけでは、必要な対応を完結できない場合があります。

一般に、サーバーによって選択できるPHPのバージョンや変更権限、修正の提供方法は異なります。管理画面で変更できない場合は、提供元の案内やサポート窓口で対応方法を確認する必要があります。

日頃から保守管理しているサイトでは、大きな問題なく対応

今回、日頃から保守管理を行っているサイトでは、大きな問題なく対応できました。一方で、更新失敗や環境上の制約があるサイトでは、その状況に合わせた個別対応が必要になりました。

この経験から、緊急時の対応を支えるのは、普段からの更新と環境の把握だとあらためて感じました。現在の構成、バックアップ、連絡先を把握しておくことは、脆弱性のお知らせが届いたときに、何を確認し、誰が動くべきかを判断する助けになります。

企業が平時から備えておきたい保守管理体制

Webサイトは、公開後も継続的に管理が必要です。専門用語をすべて理解する必要はありませんが、経営者・Web担当者の方が次の項目を確認できる状態にしておくと、緊急時の初動を取りやすくなります。

• 管理担当者・連絡先：制作会社、保守会社、サーバー契約者を把握する。
• 利用環境：PHP・WordPress・主要プラグインのバージョンと更新状況を確認できるようにする。
• バックアップ：取得状況、保存先、復旧を依頼する窓口を把握する。
• 更新後の確認：表示・操作・問い合わせ機能など、事業に必要な確認項目を決める。
• 緊急時の判断：誰に相談し、どの範囲の作業を依頼できるかを整理する。

「制作した会社が分からない」「担当者が退職した」といった場合も、問題が発生する前に管理状況を整理しておくことをおすすめします。

PHP脆弱性への対応に関するよくある質問

WordPressを最新版にすれば、今回の対策は完了しますか？

WordPressの更新だけでは判断できません。今回の脆弱性はPHPに関するものであるため、サーバーで使用しているPHPの修正適用状況を別に確認する必要があります。

自社サイトが対象か分からない場合、何から確認すればよいですか？

まずはサーバー会社・制作会社・保守担当者に、使用中のPHPバージョンと今回の修正適用状況を確認してください。管理者や契約情報が分からない場合は、分かる範囲の情報を整理してご相談ください。

他社で制作したサイトでもToyroに相談できますか？

はい。他社で制作されたWebサイトもご相談いただけます。現在の管理状況やお困りごとを伺い、必要な対応をご案内します。

参考資料・公式情報

• PHP公式：重大なリモートコード実行の脆弱性に関するセキュリティ勧告
• IPA：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）

執筆・監修

執筆・監修：平田 遊
株式会社Toyro 代表取締役

Webサイト制作・システム開発・Webマーケティングに従事。WordPressを中心とした企業・団体のホームページ制作や、公開後の保守管理、セキュリティ対応を行っています。

株式会社Toyroの会社概要を見る

ホームページのセキュリティ対策・保守管理

PHPやWordPressのバージョン管理、セキュリティ対策についてお困りの企業様は、株式会社Toyroにご相談ください。WordPressをはじめとしたWebサイトの保守管理やセキュリティ対策を承っています。

Webサイトのセキュリティに関するお知らせでお困りなら、まずは無料相談へ

• 「自社サイトが今回の脆弱性の対象かわからない」
• 「何をすればいいかわからない」
• 「制作会社と連絡が取れない」

このようなお悩みがある方は、まずは無料相談にお申し込みください。他社で制作されたWebサイトもご相談いただけます。現在のホームページの管理状況が分からない方も、お気軽にご相談ください。

無料相談では、現在の状況やお困りごとを伺い、必要な対応をご案内します。調査・更新・修正などの実作業が必要な場合は、対応内容と費用をご案内します。