PHP2Shellのその後｜攻撃は始まっている。今後の脅威と、サイトで確かめること【2026年11月】

2026年10月21日、WordPress や EC-CUBE などの土台になっている「PHP」に、外からサーバーを乗っ取られるおそれのある重大な欠陥2件（CVE-2026-109618・CVE-2026-109619）が見つかり、緊急の修正版が出ました。呼び名は「PHP2Shell」です。影響範囲と対応方法は、前の記事「PHPの脆弱性（PHP2Shell）とは？」で説明しました。

この記事はその続きです。公表からおよそ2週間で何が起きたか、裏で何があったか、これから起こりそうな問題と確かめることを、公的機関の発表と報道をもとにまとめます（2026年11月3日時点）。

結論：攻撃はすでに起きている。修正版を入れたかと、その後の確認を

あれから何が起きたか（時系列）

時刻は日本時間です（アメリカの発表は現地の日付）。出どころは、次の節以降と記事の最後にまとめています。

公表の裏で起きていたこと

2004年と2024年に、手がかりはあった

Calif 社によると、今回の発見のもとになったのは、2004年に研究者の Stefan Esser 氏が見つけた、PHP の「使える記憶の上限」にかかわる欠陥でした。これを手がかりに、同社の Ryan Austin 氏が2026年8月1日に攻撃に使える形を見つけています（Calif）。

PHP の運営団体（PHP Foundation）によると、2024年に Quarkslab 社が行った点検（監査）の中で、すでに1件目（CVE-2026-109618）につながる兆しが見つかっていました。しかし、攻撃に使えるかがはっきりせず、直し方でも意見が割れて、作業は止まっていました（PHP Foundation）。

情報が漏れて、公表が1日早まった

修正版は当初、10月22日に出る予定でした。ところが日本時間の21日0時ごろから、欠陥の番号が掲示板や SNS で出回り始めました。出回った情報には誤りも含まれていました（PHP Foundation）。深刻さの点数（CVSS）を10.0とする情報もありましたが、正式な点数は9.2（10点満点）です（php.net）。

このころ、Calif 社が攻撃の成功を映した動画を誤って公開し、すぐに消したものの写しが SNS で広まりました（TechTarget）。開発チームは公開を1日早め、21日23時に修正版を出しました（php.net）。

Chainguard 社と PHP の運営団体の言い分の食い違い

もう一つの騒ぎは、アメリカの Chainguard 社（ソフトウェアの部品を配る会社）が、取り決めた公開の時刻より前に、修正を入れた部品を配ったことです。両者の言い分は食い違っています。

PHP の運営団体の言い分（PHP Foundation・Socket）

• 10月21日16時41分（日本時間）、公開の6時間以上前に、Chainguard 社が「一方的に取り決めを破り」、修正を入れた部品を公開した
• 多くの関係者が何週間もかけて進めてきた、足並みをそろえた公表の段取りを無視した
• 公開の時点で、実際に動く攻撃の道具は見つけていなかった

Chainguard 社の言い分（CEO の Dan Lorenc 氏。The Register・Socket）

• 「漏らしてはいない」
• 研究者から「PHP に何か来る」と聞いたあと、自社の AI の仕組みで同じ欠陥を自力で見つけた。指示は「find bad vulnerabilities in PHP（PHP のまずい欠陥を探して）」という簡単なもので足りた
• 公表の前から攻撃が起きていたので、早く出すと決めた。部品は、自社の客でない人も含めて誰でも手に入る形にした

どちらが正しいかは、この記事では判断しません。

AI が見つけ、攻撃にも使われた形跡

Calif 社と Wiz 社は、AI を使って欠陥を見つけたと説明しています（Wiz）。Calif 社は「最初の発見に、特別な仕組みも、一般の人が使えないモデルも使っていない」と書く一方で、PHP の過去の欠陥についての深い知識があったから見つけられた、とも書いています（Calif）。攻撃した側も AI の道具を使っていた形跡があると、ファイアウォールの乗っ取りを調べた Dream 社が報告しています（Infosecurity）。

FIRST（世界のセキュリティ対応チームが集まる団体）の Art Manion 氏は、今回も複数の研究者が別々に同じ欠陥を見つけた例で、今の最先端の AI はこうした重なった発見の可能性を高める、という趣旨を話しています。欠陥を長く伏せておくやり方は、守る側に誤った安心を与えかねないとも述べています（TechTarget）。

最初の報告が、あとで取り下げられたことも

セキュリティ会社の Sophos 社は「顧客が攻撃された」とした報告を直し、実際には「調べ回る通信と、失敗した試みが少しあっただけ」と説明しました。Palo Alto 社の調査部門（Unit 42）も、「ヨーロッパの政府機関が狙われた」とした見立てを取り下げています（The Next Web）。第一報がそのまま正しいとは限らないので、公的機関やサーバー会社の公式の発表で確かめることが大切です。

運営団体の反省「遅れは仕組みの失敗」

PHP の運営団体は、2024年から直すのが遅れたことを「the delay was a structural failure（遅れは仕組みの失敗だった）」と書き、原因を、担当チームの判断の進め方と、人手・資金の不足だとしました。今後は、AI の道具を使えるようにすること、Calif 社や Trail of Bits 社による点検、開発者を増やすための資金の支援の呼びかけを進めるとしています（PHP Foundation）。

日本で起きたこと（首相の呼びかけと、札幌・北海道のサイトの停止）

首相と国家サイバー統括室の呼びかけ

修正版が出る前の10月21日22時ごろ、高市首相が X に「皆様に、今夜に対応して頂きたい大至急のお願いです」と投稿し、修正の準備と、難しい場合のサイトの一時停止を呼びかけました（J-CAST ニュース）。

政府の国家サイバー統括室は X で、「修正パッチを可及的速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます」と発信しました（INTERNET Watch）。木原官房長官は、国家サイバー統括室を中心に SNS を使って、必要な情報を素早く知らせていく考えを示しました（共同通信・熊本日日新聞）。

J-CAST ニュースは、首相の投稿の画面を見せて「総理大臣から緊急要請が出ています」と言えば、決裁する人にも事の重大さがすぐ伝わる、という趣旨の SNS の声も紹介しています。

札幌・北海道でも、サイトやアプリが止まった

札幌市と北洋銀行は、被害が出たからではなく、欠陥の公表を受けてサイトを止めました。ほかの会社も含め、どれも不正アクセスなどの被害は確認されていないと伝えられています。

• 札幌市: 10月21日21時から公式サイトのサーバーを一時止め、いつもの住所を開くと緊急時の簡易サイトに切り替わるようにしました。不正アクセスの痕跡や改ざん、個人情報の漏えいといった被害は確認されていません（UHB）
• 北洋銀行: 10月22日の2時ごろからホームページを止め、対策が終わった正午ごろに戻しました。不正アクセスは確認されていません（HTB）
• 大丸札幌店・北海道日本ハムファイターズ・北海道銀行・STV: 大丸札幌店のホームページが一時見られなくなり、ファイターズのサイトにも影響が出ました。北海道銀行のスマホのアプリが使えなくなり、STV のアプリも11時過ぎまで緊急のメンテナンスをしました。いずれも復旧し、不正アクセスや改ざんなどの被害は確認されていません（STV）

海外でも、オーストラリアの政府のサイバーセキュリティの機関（ACSC）が最も高い段階の注意喚起を出し、cyber.gov.au などの政府のサイトが止まりました。フランス・フィンランド・デンマーク・オランダでも政府のサイトが止められました。いずれも、攻撃されたからではなく予防のためです（iTWire・AP）。

今の状況（2026年11月3日時点）

攻撃は起きている

• CISA は10月26日、2件を KEV に加えました（CISA）
• JPCERT/CC は10月29日の更新で、「本脆弱性を悪用できると主張する実証コードが多数公開されている」「本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます」と書き、「あるファイアウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡を確認」とも書いています（JPCERT/CC）。実証コードは、欠陥を本当に突けることを示すためのプログラムです
• 研究者の Adel Karimi 氏のおとりのサーバー（修正の1つ前の PHP 8.4.26）では、10月24日に乗っ取りの成功が確かめられました（BleepingComputer）

乗っ取られたのは、管理画面をネットに出していたファイアウォール

Dream 社は、PHP2Shell と Linux（サーバーの OS）の別の欠陥を組み合わせ、Palo Alto 社のファイアウォールで最上位の権限を奪う攻撃を見つけました。少なくとも25台で、対象にはアメリカ・日本・台湾・韓国が含まれていました。Palo Alto 社の調査部門も同じ攻撃を確かめています（SecurityWeek・Infosecurity・Unit 42）。

Palo Alto 社は、管理画面をネットに出していて影響を受けたのは世界の同社の機器の約0.02%だと説明し、初めの設定では管理画面はネットに出ないこと、出している場合はすぐにやめることを案内しています（Unit 42）。

WordPress は、乗っ取りの確認なし

WordPress を守る道具 Wordfence を作る Defiant 社は、10月28日の時点で「PHP2Shell で乗っ取られた WordPress のサイトは把握していない」としています。2,000以上の住所（IP アドレス）から77,000件を超える攻撃の通信を記録しており、攻撃を成功させるにはサーバーごとの条件に合わせて作り直す必要がある、とも説明しています（SecurityWeek）。「確認されていない」は「この先も起きない」という意味ではないので、修正版を入れておくことが前提です。

国内の被害は、公式の確認が見当たらない

調べた範囲では、公式に確認された国内の被害は見当たりません。JPCERT/CC も、国内の被害の件数は書いていません。ロリポップは「脆弱性を狙ったとみられるアクセスは確認されましたが、不正アクセスや情報漏えいは現時点で確認されておりません」としています（10月22日時点。ロリポップ）。

修正版は今も同じ。8.4.27・8.5.12 には不具合も

11月3日時点の php.net で、修正版は 8.5.12・8.4.27・8.3.36・8.2.35 のままです。8.4.27 と 8.5.12 には、SimpleXML という機能を使う一部のアプリで PHP の処理が落ちる不具合があると、PHP の開発者が認めています（Tenable）。これを直した版は、11月3日時点では出ていません。

レンタルサーバー各社の対応

共用のレンタルサーバーでは、各社が修正を入れています。各社の公式のお知らせから、主な内容をまとめます。

ここに無い会社は、お使いのサーバー会社のお知らせのページで確かめてください。

これから起こりそうな問題・脅威

公的機関や調べた会社が書いていることをもとに、これから気を付けたい点を7つ挙げます。どれも「必ず起きる」ものではありませんが、サイトを持つ側が先に手を打てるものです。

1. 修正の出ない古い PHP と、年末で修正が終わる PHP 8.2

PHP 8.1 以前には公式の修正版がありません。7.4・8.0・8.1 には、自分でプログラムを組み立てる人向けの最小限の修正の元（プログラムの差分）だけが出され、5.4〜7.3 には何もありません（php.net）。CISA は、8.1 以前を使い続ける組織は、直すまで PHP のシステムをネットから外すべきだと呼びかけています（CISA）。IPA も11月2日の追記で、「今回の脆弱性に対する修正プログラムが提供されないバージョンを利用している場合は、サポートが提供されているPHPへの更新や、対策済みの製品・サービスへの移行を検討してください」としています（IPA）。

見落としやすいのが PHP 8.2 です。今回は修正版（8.2.35）が出ましたが、8.2 の修正の提供は2026年12月31日で終わり、来年以降に欠陥が見つかっても公式の修正版は出ません。修正が出る期間は、8.3 が2027年末、8.4 が2028年末、8.5 が2029年末までの予定です（php.net）。共用のレンタルサーバーでは古いバージョンに会社が自分で修正を入れた例もありますが（エックスサーバー・ロリポップ）、この先も続くかは各社次第です。

2. 直したつもりの「直し漏れ」

自分で管理するサーバー（VPS・クラウド）では、更新しただけで直ったと思い込むのが危ないところです。Tenable 社（セキュリティの会社）は、新しい PHP を入れても、すでに動いている PHP の処理は直らないと注意しています（Tenable）。更新したあとに PHP の仕組み（PHP-FPM や Apache など）を再起動して、初めて直ります。

また、エックスサーバーは VPS を、さくらインターネットは利用者が自分で入れた PHP を、会社が直す対象ではないと案内しています。同じ会社と契約していても、借り方によって直す人が違います（「レンタルサーバー・VPS・クラウドの違い」）。

3. まだ残っている欠陥と、修正版の不具合

PHP の開発チームは10月23日、特殊な設定とプログラムの組み合わせでだけ起きる、別の攻撃の道筋があると知らせました。次の定期の修正版が出るまで session.upload_progress.enabled という設定を 0（止める）にするよう勧め、この欠陥は CVE-2026-115560 として次の修正版で詳しく公表するとしています（php.net）。次の修正版が出たら、それも入れる必要があります。8.4.27・8.5.12 に上げた場合は、先の不具合があるので、サイトが普段どおり動くかも確かめてください。

4. サイト以外の機器の中の PHP

今回、乗っ取りの報告がまとまって出たのは、ホームページではなくファイアウォールでした。IPA は11月2日に「PHPは、VPN機器やセキュリティアプライアンス製品におけるウェブインターフェースなど、様々なところで利用されています」と追記し、製品の開発元が出す対策の情報に注意して、更新が出たら入れるよう呼びかけています（IPA）。VPN 機器は社外から社内のネットにつなぐための機器、ウェブインターフェースはブラウザで開く管理画面のことです。

5. AI で、見つかるのも攻撃されるのも速くなる

OpenAI は AP 通信に、今回の欠陥は自社が「すでに見つけて修正に取り組んでいる、いくつかの重大な欠陥」に含まれるもので、同じような発見はこの先数か月で大きく増えるとみている、と話しています（AP）。PHP の運営団体も、AI の道具や点検を使った取り組みを続けるとしています。

PHP に今回と同じ規模の欠陥が続くと言い切った公的な発表はありません。それでも今回は、公表の4日前に悪用の試みがあり、公表から3日後には乗っ取りの成功が確かめられました。次に何か見つかったとき、誰がいつ更新するかを今のうちに決めておくと、慌てずにすみます。

6. 修正の前に入られていた場合

修正版を入れても、その前に入られていれば、置かれた裏口などが残ります（前の記事の「サーバーが直しても安心できない4つの理由」）。Tenable 社は、調べるなら公表の日からではなく、10月17日以降の記録を見るよう勧めています（Tenable）。JPCERT/CC は10月29日に、入られた跡を探す目安を3つ挙げています（JPCERT/CC）。

どれも、サーバーの記録（ログ）を見られる人の作業です。制作会社や、サーバーを管理している人に頼んでください。入られた様子に気付いたときの動き方は「乗っ取り・改ざんに気付いたとき」にまとめています。

7. 通販サイトのカード情報

通販サイトの監視の製品を売っている cside 社は、更新で止まるのは新しい攻撃で、すでに置かれた裏口、不正な管理者、カード番号を抜く仕掛けは消えない、と書いています。PHP で作った通販サイトへの過去の大規模な攻撃をもとにした見立てです（cside）。PHP2Shell でカード情報が盗まれた例は、調べた範囲では確認できません。それでも通販サイトなら、決済の画面に見覚えのない書き換えがないかを点検してもらうと安心です。

自分のサイトで確かめること

制作会社に任せている人が聞くこと

次の質問を、そのまま制作会社に送ってください。

• 「うちのサイトのサーバーは、共用のレンタルサーバーですか。VPS やクラウドですか」
• 「PHP は修正版（8.5.12・8.4.27・8.3.36・8.2.35）か、サーバー会社の修正が入った状態になっていますか」
• 「（VPS・クラウドの場合）更新したあと、PHP を再起動しましたか」
• 「10月17日以降の記録に、JPCERT/CC が挙げている3つの跡がないか見てもらえますか」
• 「PHP 8.2 以下の場合、年末で修正が終わります。8.3 以上に上げる計画はありますか」
• 「（通販サイトの場合）決済の画面に、見覚えのない書き換えがないか点検してもらえますか」

会社でファイアウォールや VPN 機器を使っている場合は、機器を入れた業者に「管理画面がネットから見える設定になっていませんか」「メーカーから更新は出ていませんか」も聞いてください。

自分でサーバーを管理している人がやること

1. PHP を修正版（8.5.12・8.4.27・8.3.36・8.2.35）に上げ、PHP の仕組み（PHP-FPM・Apache など）を再起動する
2. PHP 8.1 以前なら、修正の期間が残っている 8.3 以上に上げる
3. 次の修正版が出るまで、session.upload_progress.enabled を 0 にする（PHP の開発チームの勧め）。設定を変えたら、PHP の処理を全部再起動する
4. 10月17日以降の記録で、JPCERT/CC が挙げている3つの跡を確かめる
5. 8.4.27・8.5.12 に上げた場合は、サイトが普段どおり動くかを確かめる
6. 管理画面・データベース・決済代行のパスワードを変え、見覚えのないファイル・管理者・書き換えがないかを点検する
7. 次の修正版（CVE-2026-115560 の公表）が出たら入れる

共用のレンタルサーバーの人

• サーバー会社のお知らせで、対応が終わったことを確かめる（上の「レンタルサーバー各社の対応」の表）
• 画面に出る PHP のバージョンが前と同じでも、ConoHa WING のように番号を変えずに修正を入れた会社があります。番号だけで判断せず、お知らせのページで確かめてください
• 自分で PHP を入れている場合は、サーバー会社の修正の対象外です（さくらインターネットの案内）。ほかの会社でも、お知らせで対象を確かめてください
• 古い WordPress や EC-CUBE の更新・移行の計画は、前の記事のとおり進めてください

まとめ

• PHP2Shell は、公表の前から悪用の試みがあり、今は攻撃が実際に起きています。ただ、WordPress のサイトの乗っ取りは10月28日時点で把握されておらず、公式に確認された国内の被害も調べた範囲では見当たりません
• 公表の裏では、情報の漏れ、Chainguard 社と PHP の運営団体の言い分の食い違い、AI による発見の速さが重なり、公表が1日早まりました
• これから気を付けたいのは、修正の出ない 8.1 以前、年末で修正が終わる 8.2、再起動していないなどの直し漏れ、次の修正版、サイト以外の機器の中の PHP です
• 制作会社に任せている人は、上の質問をそのまま送ってください。自分で管理している人は、更新・再起動・記録の確認までやって、ひと区切りです

LIT STUDIO で作るサイトは、PHP を使わない作り（Next.js）なので、今回の欠陥の影響はありません。ただ、どんな仕組みでも欠陥は見つかるものなので、作ったあとも部品の更新を続けることが大切です。

自分のサイトが修正済みか分からない、制作会社に何を聞けばいいか分からない、という段階のご相談もお問い合わせから受け付けています。なお、アドレスを入れるだけの無料のHP診断は、鍵マーク（https）・スマホでの見え方・検索に出る設定・お問い合わせの入口など、サイトの基本を見るもので、PHP のバージョンまでは見ません。

この記事の出典（2026年11月3日に確認）

• PHP の公式（php.net）: お知らせ（10月20日・21日・23日）／バージョンごとの修正の期間
• PHP の運営団体: PHP Foundation（10月21日）
• 見つけた会社: Calif（10月21日）／Wiz（10月21日）
• アメリカの政府の機関: CISA の注意喚起（10月21日〜26日）／CISA の KEV
• 日本の機関: JPCERT/CC（10月22日・26日・29日）／IPA（10月22日・27日・11月2日）
• セキュリティ会社: Tenable（10月21日〜28日）／Unit 42（10月29日）／cside（10月22日）
• 海外の報道: BleepingComputer（10月26日）／TechTarget（10月22日）／Socket（10月21日）／The Register（10月22日）／SecurityWeek（10月30日）／Infosecurity（10月30日）／The Next Web（10月28日）／iTWire（10月23日）／AP（10月21日）
• 国内の報道: J-CAST ニュース（10月22日）／共同通信・熊本日日新聞（10月22日）／INTERNET Watch（10月22日）／UHB（10月21日）／HTB（10月22日）／STV（10月22日）
• サーバー会社: エックスサーバー／さくらインターネット／ロリポップ／ConoHa WING