top of page
logo (2).png

【重要】PHPに重大な脆弱性が判明｜企業が今すぐ確認すべきこと

10 分前
読了時間: 9分

2026年10月21日、Webサイトや業務システムで広く使われているプログラム言語「PHP」に、重大な脆弱性（セキュリティ上の弱点）が2件公表されました。条件がそろうと、外部から認証なしでサーバー上のプログラムを実行されるおそれがあり、公表の前後から実際の攻撃の試みも観測されています。


すべてのWebサイトが直ちに危険というわけではありません。ただし、自社のWebサイトやシステムでPHPが使われているか、修正が適用されているかを早めに確認することが大切です。



社内での共有や管理会社への確認には、当社の注意喚起資料（PDF・全8ページ）もご活用ください。



この記事でわかること


  • 今回の脆弱性の概要と現在の悪用状況

  • 影響を受ける可能性があるWebサイト・システム

  • 企業が今すぐ確認すべき3つのこと

  • サイトを停止すべきかの考え方と、当社の対応方針


今回のPHP脆弱性とは？

PHPそのものにある、深刻度「緊急」の脆弱性です。開発元は、修正版への更新が唯一の完全な対策としています。


PHPとは

PHP（ピー・エイチ・ピー）とは、Webサーバー上で動くプログラム言語です。フォームの受け付けやデータベースの読み書きなど、Webサイトの裏側の処理を担っています。画面には表示されないため、使われていることに気付いていない企業も少なくありません。


2件の脆弱性の概要

項目

内容

公表

2026年10月21日（日本時間 同日23時頃）、PHPの開発元が修正版を公開

識別番号

CVE-2026-109618、CVE-2026-109619

深刻度

2件とも「緊急（Critical）」、9.2／10（CVSS v4.0）

対策

修正版（8.5.12／8.4.27／8.3.36／8.2.35）への更新

※この2件は、一般に「PHP2Shell」という別名でも呼ばれています。※CVEは脆弱性に付けられる世界共通の番号、CVSSは深刻度を0〜10で表す国際的な評価基準です。


想定される影響

攻撃が成功した場合、サーバー上でPHPに与えられている権限の範囲で、次のような被害につながるおそれがあります。

  • サイトの改ざん（ページの書き換え、不正なサイトへの誘導など）

  • 情報漏えい（サーバーが処理中の情報や、保存された情報の読み取り）

  • 外部から遠隔操作するための仕組み（バックドア）の設置

  • サイト・システムの停止

  • 社内の他のシステムや他社への攻撃の足がかり

ただし、攻撃の成否や影響の大きさは、PHPのバージョン、動作方式、設定、サーバー構成によって異なります。開発元は、Apacheと組み合わせた動作方式（mod_php）で最もリスクが高いとしています。


WordPressだけの問題ではありません

今回の問題は、WordPressなど特定のソフトウェアではなく、土台であるPHPそのものにあります。そのため、PHPで動いているWebサイトや業務システムは、種類を問わず影響を受ける可能性があります。


攻撃の試みが実際に観測されています

公表の前後から、実際の攻撃の試みが観測されています。現在の状況は、次の3段階に分けて理解することが大切です。


  • 攻撃の技術的な実証：PHPの開発元は10月21日の発表で、条件がそろった環境では認証なしに外部からプログラムを実行できることを検証済みとしています。

  • 悪用の試みの観測：米AWSは10月21日、観測用のおとりサーバー（ハニーポット）で実際の攻撃の試みを確認したと発表しています（公表前の10月17日を含む）。セキュリティ企業のwatchTowrも同様の観測を発表しています。

  • 実際の侵入・被害の確認：上記の観測報告だけでは、個別企業への侵入成功や情報漏えいなどの被害状況までは判断できず、被害が発生していないことを意味するものでもありません。


※2026年10月22日時点の内容です。公表前の攻撃もあり得るため、修正の適用とあわせて侵害の兆候も確認してください（後述）。


どのようなシステムが対象になるのか？


PHPで構築・運用されているシステムは、種類を問わず対象になる可能性があります。 実際に影響を受けるかどうかは、PHPのバージョンと修正の適用状況で決まります。


  • 企業サイト・採用サイト・ブログ（WordPressなど）

  • ECサイト（商品販売・決済）

  • 予約システム（来店予約、セミナー・イベント申込）

  • 問い合わせ・資料請求フォーム

  • 会員ページ・顧客管理システム

  • PHPで構築された社内の申請・管理システム


このほか、市販のソフトウェア製品や機器の内部でPHPが使われている場合もあります。製品の提供元のお知らせもご確認ください。


企業が今すぐ確認すべき3つのこと

技術的な作業は、管理会社・保守会社に依頼して構いません。社内で行うのは「確認と記録」です。


1．PHPを使用しているか

自社のWebサイト・システムでPHPが使われているかを確認します。わからない場合は「使用している」ものとして扱い、管理会社に確認してください。


2．PHPのバージョンと修正の適用状況

使用しているPHPが、次の修正版以降に更新されているかを確認します。

PHPの系列

対応状況

8.5系

8.5.12以降に更新

8.4系

8.4.27以降に更新

8.3系

8.3.36以降に更新

8.2系

8.2.35以降に更新

8.1・8.0・7.4系

通常の修正版はなし（開発元が最小限の修正ソースを公開）。提供事業者に対応を確認

7.3系以前

開発元の発表に記載なし。提供事業者に確認

※PHP 7.3以前も安全とは判断できません。サポートが終了しているため、提供事業者に影響と対応方法をご確認ください。

確認の際は、次の2点にご注意ください。


  • WordPressの更新とPHPの更新は別の対応です。 WordPress本体やプラグインを最新にしても、PHPそのものの問題は解消されません。

  • バージョン番号だけで判断しないでください。 OSやサーバーの提供事業者が独自に修正している場合があります。「CVE-2026-109618・CVE-2026-109619への対応状況」として確認することをお勧めします。


なお、PHP 8.1以前は開発元による通常のセキュリティ更新がすでに終了しています（8.2系も2026年12月31日に終了予定）。サポート対象バージョンへの移行もあわせて計画してください。


3．管理会社・保守事業者への確認

Webサイトやシステムの管理を外部に委託している場合は、次の項目を問い合わせてください。回答を社内で記録しておくと、今後の判断に役立ちます。


□ PHPを使用しているサイト・システムはどれか

□ 使用しているPHPのバージョン（例：「8.3.35」）

□ CVE-2026-109618・CVE-2026-109619への修正は適用済みか（未適用なら適用予定日と暫定対策の有無）

□ PHP 8.1以前を使用していないか

□ 不審なアクセスや改ざんの兆候を確認したか

□ 最新のバックアップはあるか

□ 更新作業によるサイト・システムへの影響はあるか

□ 管理責任の範囲（サーバー、PHP、WordPressなどのソフトウェア、サイトの内容を、それぞれ誰が管理しているか）


修正の適用前に攻撃を受けていた可能性もあるため、修正の有無にかかわらず、侵害の兆候の確認もあわせて依頼してください。 兆候が見つからなくても安全が保証されるわけではないため、修正の適用と継続的な監視を続けてください。

レンタルサーバーやクラウドサービスでは、提供事業者側で対策が行われる場合があります。提供事業者のお知らせや管理画面もご確認ください。


Webサイトを停止する必要はあるのか？


すべてのWebサイトやシステムを一律に停止する必要はありません。 修正の適用状況、扱っている情報、侵害の兆候、停止した場合の業務への影響を踏まえ、管理会社・保守事業者と相談のうえ、貴社でご判断ください。


停止を検討すべき状況の例

  • 改ざんや不審なファイルなど、侵害の兆候が見つかった

  • 個人情報や決済情報を扱っており、修正の適用に時間がかかる


通常は停止までは不要な状況の例

  • 修正が適用済みである

  • サービス提供事業者から対策済みと案内されている


開発元は、すぐに更新できない場合の設定変更による暫定対策も公表しています。ただし、暫定対策だけで安全になるわけではありません。要否や内容は管理会社にご相談ください。


ベーシックシステムとしての見解と対応方針


当社は、一律の停止ではなく、利用環境・影響の有無・修正状況を確認したうえで、必要な対策を検討することが重要と考えています。


お客様へ推奨する対応

  1. サーバー管理会社・保守事業者に、PHPの利用状況と修正状況を確認する

  2. PHPのバージョンと修正の適用状況を社内で把握・記録する

  3. 影響が確認された場合は、修正版の適用など速やかな対策を進める

  4. 侵害の兆候がある場合など、必要に応じて専門事業者と連携する

  5. 今回を機に、継続的なセキュリティ管理体制（更新・監視・バックアップ・責任範囲）を整える


当社のご支援について

当社では、ご契約内容や対応範囲を確認のうえ、ご相談に応じて確認事項の整理や管理会社への問い合わせ内容の検討などをご支援いたします。

  • 本記事は、公表されている情報をもとに一般的な注意事項と確認方法をまとめたものであり、個別のシステムの安全性を保証するものではありません。

  • 当社が保守・管理を担当していないシステムや、ご契約の管理範囲を超える調査・修正・監視については、個別のご相談・お見積りのうえで対応を調整させていただきます。

  • 開発元や公的機関から新たな情報が公表された場合、本記事の内容を更新することがあります。


公式注意喚起資料（PDF）のダウンロード


この記事の内容を、全8ページの資料にまとめました。特に**「管理会社への確認チェックリスト」**は、管理会社への問い合わせや社内での記録にそのままお使いいただけます。


掲載内容

  • 今回の問題の概要と現在の悪用状況

  • 影響の確認フロー

  • 影響を受けるバージョンと修正版

  • 管理会社への確認チェックリスト

  • 当社の見解と対応方針



よくあるご質問

Q1．実際に被害は出ているのですか？A．AWSなどから、実際の攻撃の試みが観測されたとの報告があります。ただし、これらの報告だけでは、個別企業への侵入成功や情報漏えいなどの被害状況までは判断できず、被害が出ていないことを意味するものでもありません。修正の適用とあわせて、侵害の兆候も確認してください。

Q2．自社のサイトでPHPが使われているかわかりません。A．サーバー管理会社・保守会社に確認してください。わかるまでは「使用している」ものとして扱い、修正状況もあわせて確認することをお勧めします。

Q3．WordPressやプラグインを最新にしていれば大丈夫ですか？A．いいえ、別の対応です。PHPの更新は通常サーバー側で行うため、管理会社やサーバー提供事業者にご確認ください。

Q4．レンタルサーバーやクラウドサービスを使っている場合はどうなりますか？A．提供事業者側で対策が行われる場合があります。提供事業者のお知らせや管理画面をご確認ください。お客様側でPHPのバージョンを選択・変更する方式のサービスもあります。

Q5．修正版を適用すれば対応は完了ですか？A．修正の適用に加えて、不正アクセスや改ざんの兆候の確認も必要です。修正の前に攻撃を受けていた可能性があるためです。兆候が見つからなくても安全が保証されるわけではないため、継続的な監視を続けてください。


お問い合わせ

株式会社ベーシックシステム　ITサポートセンター電話：03-3866-2501（受付時間 9:00〜17:00）


※個別のシステム環境に関するご質問は、ご契約内容を確認のうえ回答いたします。※ご契約の範囲外となる調査・修正・監視は、個別のご相談となります。


参考情報（確認日時：2026年10月22日 17:30時点）

コメント

bottom of page