PHPに「認証なしで遠隔実行」の重大脆弱性。古いPHP・WordPressを使い続ける前に確認したいこと

2026年10月21日、PHP の開発元が認証なしで遠隔からコードを実行されうる重大な脆弱性2件（通称 PHP2Shell）を修正したバージョンを公開しました。WordPress など、PHP の上で動くサイトやシステムにも関係する話です。

「うちのサイトは何のバージョンで動いているんだっけ？」と思った方に向けて、何が起きたのか、まず何を確認すべきか、そして「更新し続けられない」場合にどうするかを整理しました。

首相が『今夜に対応して頂きたい』と呼びかけた事態

10月21日夜には、高市首相が自身のXで「皆様に、今夜に対応して頂きたい大至急のお願いです」と投稿し、修正パッチを可及的速やかに適用できるよう準備を呼びかけました。適用が難しい場合は、ウェブサイトを一時的に停止させることも有効策の一つだとしています。内閣官房の国家サイバー統括室も同日、公式Xで、修正パッチの速やかな適用が難しい場合はウェブサイト等の一時停止もリスクを下げる有効策の一つだと呼びかけています。

首相が自ら、その日の夜のうちの対応を求めるほどの事態です。実際、21〜22日には財務省や厚生労働省、札幌市、銀行、鉄道、ゲーム会社など多くの組織がサイトやサービスを一時的に止めました。23日時点でも仙台市では10を超えるサービスが停止中で、レンタルサーバーのCPIでも一部機能の再開が10月30日以降の見込みとされています。

これらは主に、被害を防ぐための予防的な停止です。報道でも、サービスを止めたこと自体が不正アクセスや情報漏えいの発生を示すわけではないとされています。札幌市・仙台市・CPIは不正アクセスなどの被害は確認されていないとしており、厚生労働省も情報漏えいなどの被害の報告は受けていないとしています。一方で、対応しきれずにサービス自体を終了したケースも出ています。

💡この記事のポイント

• 修正版は PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。PHP を使っているなら、まずは修正版への更新が最優先です
• PHP 8.1 以前はすでに公式サポートが終了しています。今回は重大性から 7.4〜8.1 向けの最小限の修正も出ましたが、ソースからビルドする利用者向けです。7.3 以前には修正がありません
• PHP 8.2 のセキュリティサポートも 2026年12月31日で終了予定です
• 「更新したいけど、上げると動かない」「中身が分かる人がいない」なら、作り直し（リプレイス）も選択肢になります

※ 情報は2026年10月23日時点のものです。対応状況は変わることがあるので、最新情報は各公式ページを確認してください。

────────────────────────────────

何が起きたのか

PHP本体に、重大な脆弱性が2件

PHP Foundation の発表によると、10月21日に公開された PHP 8.5.12、8.4.27、8.3.36、8.2.35 では、条件がそろうと、認証されていない攻撃者がサーバー上でコードを実行できてしまう重大な脆弱性2件が修正されました。

PHP Foundation は、どちらの問題も「ほぼすべてのリクエストが通る、メモリ管理とエラー処理の部分にある」と説明しています。Cloudflare も、PHP 本体の問題なので WordPress のように PHP の上で動く多くのアプリケーションに影響しうる、と説明しています。

修正版が出る前後から、攻撃の試みも

SecurityWeek の報道によると、修正版の公開前後から、複数のセキュリティ企業が攻撃の試みを観測したと報告しています。Cloudflare も、正式公開日より前に脆弱性の情報が漏れていた中で、自社の顧客を狙う攻撃トラフィックを観測したとしています。

「パッチが出たから、そのうち当てればいい」ではなく、すぐに対応が必要な種類の脆弱性だと考えたほうがよさそうです。

まず確認したいこと

1. いま、どのバージョンで動いているか

PHP の公式サイトによると、各バージョンは「最初のリリースから2年間のアクティブサポート＋2年間のセキュリティ修正のみのサポート」で、合計4年でサポートが終わります。2026年10月23日時点のサポート状況は次のとおりです。

8.1 以前で動いている場合、PHP の開発元から通常の更新は提供されません。PHP 公式によると、今回は重大性から 7.4・8.0・8.1 向けの最小限の修正がソースコードで公開されていますが、これは自分でビルドする組織や、LTS ベンダー（サポートが終わったバージョンを独自に保守する事業者）を利用していない組織向けのものです。また Cloudflare によると、今回の脆弱性は PHP 5.4 以降に影響するとされており、7.3 以前には修正の手段がありません。

また、どのバージョンでも、OS（Ubuntu や Red Hat Enterprise Linux など）のパッケージや LTS ベンダーから PHP を入れている場合は、バージョン番号が変わらないまま修正だけが取り込まれていることがあります。バージョン番号だけでは修正済みかどうか判断できないため、ディストリビューションや LTS ベンダーのセキュリティ情報で対応状況を確認してください。修正が提供されていない場合は、サポート対象のバージョンへの移行が必要です。

2. WordPressの場合は、PHPと本体・テーマ・プラグインの全部

WordPress.org の動作要件では、PHP 8.3 以上を推奨しています。古い環境向けに PHP 7.4 以上でも動作するとしていますが、これらのバージョンはすでに公式サポートが終了しており、サイトがセキュリティ上の脆弱性にさらされるおそれがある、と注意書きがあります。

WordPress は PHP の上で動くので、PHP 本体の更新に加えて、WordPress 本体・テーマ・プラグインも更新し続けられているかを確認しましょう。

3. 顧客情報を扱っているか

問い合わせフォームや会員機能などで、氏名・メールアドレス・電話番号といった情報を保存している場合は、優先度を上げて確認したいところです。

「更新すればOK」とならないケース

更新できる環境なら、まずは修正版への更新が最優先です。ただ、実際には次のような理由で止まってしまうことがあります。

• PHP のバージョンを上げると、アプリケーションが動かなくなる
• フレームワークやプラグインが新しい PHP に対応していない
• 作った会社・担当者と連絡がつかず、中身が分かる人がいない
• サーバーやドメインの ID・パスワードを誰が持っているか分からない
• 小さな修正でも、改修のたびに時間と費用がかかる

PHP は手軽に作れて、多くのサーバーですぐに動くのが大きな長所です。一方で、その手軽さゆえに「作ったあと」の管理が後回しになりやすい面もあります。長く使われ、機能や連携先が増えたシステムほど、バージョンを上げたときの影響範囲が広がり、更新が先送りになりがちです。

国内でも、不正アクセスによる漏えいが相次いでいます

PHP に限らず、「既知の脆弱性を放置していた」ことによる被害は国内でも続いています。

• 個人情報保護委員会：2026年4〜6月（令和8年度第1四半期）の個人情報の漏えい等報告の処理件数は 6,101件（前四半期は4,602件）。同じ四半期に委員会が指導した事案では、不正アクセスによる漏えい等の原因として、①VPN機器やECサイト構築用アプリケーション等の脆弱性が公開され、対応方法もリリースされていたのに放置していたこと、②容易に推測されやすい ID・パスワード、③設定ミスによるデータベースのアクセス制御の不備、などが挙げられています
• JPCERT/CC：2026年10月8日に「直近2026年9月前後で国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいる」として注意喚起を公開（10月23日更新）。さまざまなソフトウェアの既知の脆弱性を探索して悪用を試みる手口や、環境設定ファイル・バックアップファイルの窃取を試みる手口などが挙げられています。10月23日の更新では、AI を用いたペネトレーションテスト基盤を悪用した攻撃試行も追加されました

今回の PHP の件でも、修正版の公開前後から攻撃の試みが観測されています。「分かっているけれど手をつけにくい」状態のまま置いておくこと自体が、リスクになりつつあります。

パッチで終わらせず、「更新し続けられる状態」へ

Biz Freak では、古い PHP システムや更新が止まった WordPress を、セキュリティ対策とあわせてモダンな構成へリプレイスするご相談を受け付けています。

モダンな構成へ移行

• サポートが続く言語・フレームワークで再構築
• 既存データの移行と、切り替え計画の策定
• WordPress は「続ける／分ける／置き換える」を用途ごとに判断
• ドキュメントを残し、特定の担当者に依存しない状態へ

漏えいを起こしにくい運用へ

• 認証の強化（多要素認証など）と権限の整理
• アクセスログの取得と、異常に気づける体制
• バックアップと復旧手順の整備
• ライブラリ・ミドルウェアを継続的に更新できる運用
• 不要な個人情報・古いデータを残さない設計

バクソクOSで、早く・品質高く

開発は、Biz Freak が AI を活用して開発を進めるための開発基盤「バクソクOS」で進めます。

📝WordPressはやめないといけない？

必ずしもそうではありません。本体・テーマ・プラグインを更新し続けられるなら、運用を続けるのも選択肢です。たとえば「顧客情報を扱う機能だけ分ける」など、用途に合わせた方法を考えます。

進め方

リプレイスするかどうかは、無料診断の結果を見てから決めていただけます。

1. 無料診断・相談：お使いのシステムやサイトの概要、気になっている点を伺います
2. 現状調査・リスク評価：PHP や WordPress のバージョン、構成、個人情報の扱いを確認し、優先度をつけて整理します
3. 移行計画：移行範囲、新しい構成、データ移行と切り替えの手順、お見積りをご提示します
4. リプレイス：バクソクOSで開発し、テストと確認を経て、計画に沿って切り替えます
5. 運用・保守：更新やセキュリティ対応を継続し、古いまま放置されない状態を保てるよう支援します

費用や期間は、システムの規模や機能、データ量によって大きく変わるため、現状調査のうえでお見積りします。

まとめ

• PHP を使っているなら、まずは修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）への更新を最優先に
• PHP 8.1 以前はサポート終了済み（7.3 以前は今回の修正もなし）、8.2 も2026年12月31日でセキュリティサポート終了予定
• WordPress は PHP 8.3 以上が推奨。本体・テーマ・プラグインも含めて更新し続けられるかがポイント
• 「上げると動かない」「中身が分かる人がいない」なら、リプレイスで「更新し続けられる状態」をつくるのも選択肢

「うちのシステムは大丈夫か」を確認するだけでも構いません。PHP システム・WordPress の無料診断・ご相談は、こちらのページから受け付けています。

👉 PHPシステム・WordPressのリプレイスとセキュリティ対策（無料診断・相談）

参考

• 高市早苗（X）: 2026年10月21日の投稿
• 内閣官房 国家サイバー統括室（X・注意・警戒情報）: 2026年10月21日の投稿
• INTERNET Watch: 多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？
• 財経新聞: 【PHP重大脆弱性】財務省・厚労省も一部サービス停止、アサヒGHD・京急など上場企業や欧州政府に波及
• 日本経済新聞: 北海道の自治体・企業、PHP欠陥で対応追われる　ウェブサイト停止も
• 日本経済新聞: PHP脆弱性、厚労省関係は31サイトで一時停止　漏洩報告はゼロ
• 仙台市: 仙台市が管理・利用するウェブサイト・サービスの一部停止について
• CPI: PHPの脆弱性対応によるサービスサイトおよび管理画面などの停止のお知らせ
• PHP: Security advisory: Critical remote code execution vulnerabilities, update now
• The PHP Foundation: Today's PHP Security Release, and How We're Strengthening PHP Security
• CERT-EU: Critical Vulnerabilities in PHP（Security Advisory 2026-018）
• SecurityWeek: PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
• Cloudflare Blog: Cloudflare deploys protections against php2shell vulnerability
• Red Hat: Security Backporting Practice
• PHP: Supported Versions
• PHP: Unsupported Branches
• WordPress.org: Requirements
• 個人情報保護委員会: 令和８年度第１四半期における漏えい等報告の処理状況（資料3-2）
• 個人情報保護委員会: 令和８年度第１四半期における監視・監督権限の行使状況の概要（資料3-1）
• JPCERT/CC: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030）