更新日：
2026年10月に公表されたPHPの重大脆弱性「PHP2shell」について、IPAが11月2日に情報を更新しました。WordPressやPHPを利用している岡崎市の企業・店舗向けに、影響するPHPバージョン、確認方法、対応方法をわかりやすく解説します。
【2026年11月2日最新】PHPの重大脆弱性「PHP2shell」とは？岡崎市の事業者が今確認すべきこと
2026年10月、ホームページやWebシステムで広く利用されているプログラミング言語「PHP」に、重大な脆弱性が確認されました。
今回問題となっているのは、
- CVE-2026-109618
- CVE-2026-109619
という2つの脆弱性です。
この2つを組み合わせた攻撃は**「PHP2shell」**とも呼ばれています。
さらに2026年11月2日、IPA（独立行政法人 情報処理推進機構）がこの問題に関する注意喚起を更新しました。
岡崎市で会社や店舗のホームページを運営している方の中にも、
「自分のホームページがPHPを使っているのかわからない」
「WordPressなら関係ある？」
「制作会社に任せているから大丈夫？」
という方は多いのではないでしょうか。
今回の記事では、岡崎市の事業者の方に向けて、今回のPHP脆弱性についてできるだけわかりやすく説明します。
結論：WordPressを利用している企業は一度確認をおすすめします
今回特に確認していただきたいのが、
WordPressを利用してホームページを運営している企業・店舗です。
WordPress自体はPHPというプログラミング言語で動作しています。
そのため、
「WordPressのバージョンは新しいから大丈夫」
というだけでは十分ではありません。
確認するべきなのは、
- WordPress本体
- PHP
- WordPressテーマ
- プラグイン
- サーバー
- 管理者アカウント
- バックアップ
- SSL
- 不審なアクセス履歴
など、ホームページ全体です。
PHP2shellとは？
今回問題になっているのは、PHP内部の処理に関係する2つの脆弱性です。
IPAによると、悪用された場合、
遠隔の第三者によって任意のコードを実行される可能性がある
とされています。
簡単に言えば、
外部からホームページのサーバー上で、本来実行できないはずの処理を実行される可能性がある
ということです。
ホームページへの攻撃というと、
- 管理画面のパスワードを盗まれる
- WordPressのプラグインが攻撃される
- お問い合わせフォームが悪用される
といったものを想像する方も多いと思います。
しかし今回の問題は、それよりさらに下の階層にあるPHPそのものに関係しています。
そのため、WordPressだけでなくPHPを利用しているWebサイトやWebシステム全般で確認が必要です。
2026年11月2日にIPAが情報を更新
今回の脆弱性については、2026年10月22日にIPAから注意喚起が公開されました。
その後も情報が更新されています。
2026年10月27日
CVE-2026-109618とCVE-2026-109619が、米国CISAの
Known Exploited Vulnerabilities Catalog（KEV）
に追加されました。
これは単に「理論上攻撃できる」というだけではなく、
実際の悪用が確認された脆弱性として登録された
という意味を持ちます。
2026年11月2日
IPAはさらに情報を更新し、PHPが一般的なWebサイトだけでなく、
- VPN機器
- セキュリティアプライアンス
- 各種製品のWeb管理画面
などにも利用されている可能性があるとして、利用している製品や機器についても確認するよう呼びかけています。
つまり、
「うちはWordPressを使っていないから関係ない」
とは一概に言えません。
影響を受けるPHPのバージョン
IPAが公開している情報では、以下のPHPが対象です。
| PHP系統 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| PHP 8.2 | 8.2.35より前 | 8.2.35 |
| PHP 8.3 | 8.3.36より前 | 8.3.36 |
| PHP 8.4 | 8.4.27より前 | 8.4.27 |
| PHP 8.5 | 8.5.12より前 | 8.5.12 |
現在これより古いバージョンを使用している場合は、確認をおすすめします。
またPHP 8.1以前はすでに公式サポートを終了しています。
古いホームページでは、
「数年前に制作してから一度もPHPを変更していない」
というケースも珍しくありません。
このようなサイトは今回の脆弱性だけでなく、今後のセキュリティという意味でも一度見直した方が安全です。
自分のホームページがPHPを使っているかわからない場合
これは非常に多いケースです。
会社のホームページを制作会社に作ってもらった場合、
- 何のCMSを使っているか
- PHPを利用しているか
- PHPのバージョンはいくつか
- 誰がアップデートを担当しているか
まで把握していないケースがあります。
特に、
WordPressを使っている場合は基本的にPHPが利用されています。
管理画面にログインできる場合は、WordPressの
ツール → サイトヘルス → 情報 → サーバー
などからPHPバージョンを確認できる場合があります。
ただし、PHPのバージョンだけ確認すればよいわけではありません。
「レンタルサーバーだから大丈夫」とは限りません
岡崎市の企業でも、
- Xserver
- お名前.com
- さくらインターネット
- ロリポップ
- ConoHa WING
などのレンタルサーバーを利用しているケースは多いと思います。
レンタルサーバー会社側がセキュリティ対応を行うこともあります。
しかし、
自社サイトで実際にどのPHPバージョンが選択されているか
は別問題です。
サーバー側で新しいPHPが提供されていても、ホームページ側では古いPHPを使い続けている場合があります。
PHPをすぐ更新すればいい？
ここも注意が必要です。
PHPのバージョンだけを急に変更すると、
- ホームページが真っ白になる
- 管理画面に入れなくなる
- お問い合わせフォームが動かなくなる
- レイアウトが崩れる
- 古いプラグインが動かなくなる
- 古いテーマでエラーが発生する
といったトラブルが起こることがあります。
特に何年も更新していないWordPressでは、
PHPをアップデートする前に互換性確認が必要です。
岡崎市の事業者がまず確認したい7項目
ホームページをお持ちの場合、まず次の項目を確認してみてください。
1. WordPressを利用しているか
WordPressの場合はPHPを利用しています。
2. PHPのバージョン
今回の修正版以上になっているか確認します。
3. WordPress本体のバージョン
古いWordPressを利用していないか確認します。
4. テーマ・プラグイン
何年間も更新されていないプラグインやテーマは注意が必要です。
5. 管理者アカウント
不要になった制作会社や退職者のアカウントが残っていないか確認します。
6. バックアップ
「バックアップを取っているつもり」でも、実際には復元できないケースがあります。
- 何をバックアップしているか
- 何日保存されるか
- どこに保存されているか
- 本当に復元できるか
まで確認することが重要です。
7. 誰が保守しているか
意外と多いのが、
「ホームページを作った会社とはもう連絡を取っていない」
というケースです。
ホームページは公開して終わりではありません。
今後は特に、
継続的なアップデートとセキュリティ管理
が重要になります。
ホームページは「作った後」の管理が重要です
ホームページ制作というと、
- デザイン
- 写真
- SEO
- お問い合わせ
- スマートフォン対応
などが注目されがちです。
もちろんこれらも大切です。
しかし、
ホームページを安全に運用し続けること
も同じくらい重要です。
せっかくGoogle検索からアクセスが増えても、
- サイトが改ざんされる
- Googleから危険なサイトと判定される
- ページが表示されなくなる
といったことが起きれば、これまで積み上げてきたSEOにも影響する可能性があります。
SEO対策とセキュリティは別物ではありません
SEOというと、
「記事をたくさん書けばいい」
と思われることがあります。
しかし現在のWebサイト運営では、
- コンテンツの質
- 専門性
- サイトの使いやすさ
- ページ表示速度
- スマートフォン対応
- HTTPS
- 継続的なサイト管理
- 運営主体の信頼性
など、サイト全体を見る必要があります。
特に会社のホームページでは、
安心して利用できるサイトであること
そのものが重要です。
岡崎市でホームページを運営している企業の方へ
岡崎ホームページ相談所では、岡崎市の企業・店舗・個人事業主の方を中心に、
- ホームページ制作
- ホームページリニューアル
- WordPress
- SEO対策
- Web広告
- ホームページ運用
- AI・IT活用
などの相談を受け付けています。
「自社ホームページのPHPがわからない」
「制作会社と連絡が取れない」
「WordPressを何年も更新していない」
「ホームページが安全なのか一度確認したい」
という場合もご相談いただけます。
ホームページの状態、一度確認してみませんか？
ホームページは動いているからといって、安全とは限りません。
特に、
- 3年以上リニューアルしていない
- WordPressを利用している
- 制作会社に保守を頼んでいない
- PHPという言葉を初めて聞いた
- 管理画面にほとんどログインしていない
という場合は、一度確認することをおすすめします。
岡崎市内の企業・店舗様はお気軽にご相談ください
オンライン相談・岡崎市内への訪問相談にも対応しています。
「PHPの記事を見た」とお伝えいただければスムーズです。
ホームページを作り直した方がいいケースもあります
古いホームページの場合、
古いPHPを無理にアップデートし続けるよりも、
サイトそのものを新しい環境へ移行した方が良い
場合があります。
特に、
- 10年近く前に制作した
- スマートフォン対応していない
- 制作会社がなくなっている
- WordPressやPHPを更新できない
- お問い合わせがほとんどない
- 自分で更新できない
という場合は、セキュリティ対策と同時にリニューアルを検討する価値があります。
岡崎ホームページ相談所では、初期費用を抑えたホームページ制作にも対応しています。
まとめ
今回のPHP2shellは、ホームページを運営している企業にとって無視できない問題です。
特に確認したいポイントは、
- PHP2shellと呼ばれる重大な脆弱性が公表されている
- CVE-2026-109618 / CVE-2026-109619が対象
- CISAのKEVにも追加されている
- IPAが2026年11月2日に改めて情報を更新している
- WordPressを利用している場合はPHPも確認する
- PHPだけでなくWordPress・プラグイン・バックアップなども確認する
- 古いPHPではアップデート前の互換性確認も必要
という点です。
「自分のホームページは大丈夫かな？」
と思った時点で、一度確認しておくことをおすすめします。
岡崎市のホームページ・Webのお困りごとはご相談ください
岡崎ホームページ相談所は、
岡崎市の中小企業・店舗・個人事業主のためのWeb相談窓口です。
ホームページを作るだけではなく、
作る・使う・育てる
ところまでサポートしています。
- WordPressが古い
- PHPがわからない
- サイトの安全性が心配
- SEOを強くしたい
- ホームページから問い合わせを増やしたい
- Web広告を始めたい
- AIを業務に活用したい
といったこともまとめてご相談いただけます。
＼ 岡崎市の事業者様・無料相談受付中 ／
オンライン相談にも対応しています。
参考情報
- PHP公式「Security advisory: Critical remote code execution vulnerabilities」
- IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」
- CISA Known Exploited Vulnerabilities Catalog
※本記事は2026年11月2日時点の公開情報をもとに作成しています。脆弱性情報は更新される可能性があります。最新情報についてはPHP公式・IPA等の情報をご確認ください。
