PHPの重大な脆弱性「PHP2Shell」対策サイト紹介

2026年10月22日2026年10月23日

【緊急】PHPの重大な脆弱性「PHP2Shell」とは？対象バージョンと確認手順をわかりやすくまとめた対策ガイドのご紹介

　WebサイトやWebシステムを運用されているエンジニア・システム担当者の皆さま、現在PHPにおける極めて重大な脆弱性「PHP2Shell（CVE-2026-109618 / CVE-2026-109619）」が話題となっているのをご存知でしょうか。

　CVSSスコアが9.2（Critical）と評価されており、認証を行わずに外部からサーバー上で任意のコードを実行（RCE）される恐れがあります。

「PHP2Shell」の何が危険なのか？

　攻撃が成立すると、外部からWebサーバー上で任意のプログラムを実行されるため、以下のような被害が想定されます。

• Webサイトの改ざん（訪問者へのマルウェア感染やフィッシング誘導）
• 機密情報の漏えい（データベース接続情報、個人情報、認証情報など）
• サーバーの乗っ取り（Webシェルの設置、バックドア作成、ランサムウェア実行）
• 社内ネットワークへの侵入（他システムへの踏み台攻撃）

　特に WordPress、Laravel、Symfony などのPHP製アプリケーションを運用している場合、アプリ側の修正だけでは防ぐことができず、PHP本体のバージョン更新が必須となります。

案内サイト「PHP2Shell 対策ガイド」でわかること

　今回ご紹介する対策ガイドページでは、実務者が知るべき情報がコンパクトに網羅されています。

1. 影響を受けるバージョン一覧
   修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）と、サポート終了バージョン（PHP 8.1以前）の取り扱い方針が表で整理されています。
2. 環境ごとの確認コマンド（ワンクリックコピー対応）
   CLIだけでなくWebサーバー（PHP-FPM、dpkg、rpm）での確認コマンドが掲載されています。
3. 最優先で実施すべき5つのアクション
   アップデートから環境の棚卸し、WAF等の暫定措置、侵害兆候のチェック項目まで順を追って確認できます。
4. 自社で更新できない「レンタルサーバー」での対処法
   共用サーバー等のコントロールパネルでの設定やIPA推奨の暫定対策が記載されています。

まとめ：まずはご自身の環境のバージョン確認を

　PHP 8.1 以前のEOL環境を利用している場合は公式パッチが提供されないため、急ぎ新バージョンへの移行やアクセス制限等の判断が迫られます。

　まだ確認されていない方は、下記の特設ページを参考に、本番サーバーや開発環境のPHPバージョンを早急にチェックすることをおすすめします。