PHPの重大な脆弱性「PHP2shell」への対応
（影響と対策、バンブーハウスの当日対応から見えた「備え」の差）

何が起きたのか（2026年10月21日〜）

結論：多くのホームページやCMS（WordPressなど）を動かしているプログラミング言語「PHP」に、ログインしなくても外部からサーバー上で任意のプログラムを実行されるおそれのある、重大な脆弱性が2件見つかりました。

• 修正版の公開（10月21日）：
  PHPの開発元は、日本時間2026年10月21日の夜に修正版を公開しました。IPA（情報処理推進機構）は公開前日から事前準備を呼びかけ、10月22日に緊急の注意喚起を出しています。piyolog
• 2件の脆弱性：
  CVE-2026-109618は、メモリが足りなくなって処理が中断されたときの後始末の不備、CVE-2026-109619は、処理が終わったあとに残る古い情報が正しく消されない不備です。どちらも、条件がそろうとWebサーバーの権限でプログラムを実行される（リモートコード実行）おそれがあります。
• 深刻度：
  PHPの開発元はCVSS v4.0で9.2（緊急）、NVDはCVSS v3.1で9.8と評価しています。セキュリティ研究者の間では「PHP2shell（php2shell）」と呼ばれています。

影響を受けるバージョンと修正版

結論：現在サポートされているPHP 8.2〜8.5のすべての系列が対象です。次の修正版以降へ更新することが、根本的な対策です。

特に危険性が高いとされているのは、ApacheのPHPモジュール（mod_php）で動かしている環境です。PHP-FPMなど他の動かし方でも影響を受ける可能性があるため、「うちの環境は大丈夫だろう」と判断せず、修正版へ更新することが大切です。

攻撃の状況

結論：攻撃の「試み」は世界中で大量に観測されています。現時点で攻撃の成功は広く確認されていませんが、時間がたつほど攻撃の手法は改良されるため、更新を急ぐ必要があります。

• 公開前から試行：
  修正版の公開前の10月17日には、すでに攻撃の試みが観測されていたと報告されています。
• 公開後は数百万件規模：
  大手CDN事業者は、修正版の公開から45分で数万件、その後数百万件の攻撃の試みを観測したとしています。ボットネット（乗っ取ったパソコンなどの集団）による試行も確認されています。
• 国内のサーバー事業者も緊急対応：
  国内の主要なレンタルサーバー各社が10月22日にかけて修正を適用し、一部の事業者はサービスを一時停止してから再開しました。管理ツールの公開を止めたり、恒久対策の調整中にアクセス制限を案内したりした事業者もあります。

バンブーハウスの対応（当日から）

結論：バンブーハウスは、修正版が公開された当日から対応を始めました。サーバーの種類によって、対応の早さに差が出ています。

• 弊社サーバーをご利用のお客様：
  当日中に修正版への更新を行い、表示や更新に問題がないことを確認したうえでサイトを公開しました。メンテナンスにかかった時間は1時間程度です。
• レンタルサーバーをご利用のお客様（一部）：
  PHPの更新はサーバー事業者が行うため、弊社では事業者の対応状況を確認しながら作業を進めています。安全が確認できるまでの間、一部のお客様のサイトは現時点でもメンテナンス状態にしています。不正なアクセスを受けるリスクを避けるための判断です。

メンテナンス中のお客様には、ご不便をおかけしております。安全が確認でき次第、順次公開を再開してまいります。

備えあれば患いなし｜対応に差が出た理由

結論：今回、弊社サーバーで短時間に対応できたのは、特別なことをしたからではありません。緊急時にすぐ動けるよう、日頃から準備していたからです。

• ① どのサイトが、どのPHPで動いているかを把握している：
  サーバーごとのPHPのバージョンや動かし方を一覧で管理しているため、影響を受けるサイトをすぐに特定できました。
• ② 自分たちの判断で、すぐに更新できる：
  弊社サーバーは弊社が管理しているため、事業者の対応を待たずに、修正版が出たその日に更新できます。レンタルサーバーでは、PHPの更新は事業者の作業を待つしかありません。
• ③ 更新の手順と、元に戻す手順を準備している：
  更新後の動作確認や、万一のときに元に戻す手順を決めているため、メンテナンスを短い時間で終えられます。
• ④ 普段から守りを固めている：
  使っていないファイルや機能の整理（ハードニング）や、WAFによる防御を日頃から行い、攻撃を受けにくい状態を保っています。考え方は古いファイルの整理とハードニングの重要性で紹介しています。

脆弱性は、いつ見つかるか予測できません。だからこそ、「見つかったときに、どれだけ早く安全に対応できるか」を、平常時から整えておくことが大切です。

経営者向け：自社のサイトは大丈夫？

結論：まずは、自社のホームページが「どこのサーバーで、誰が管理しているか」を確認してください。それによって、やるべきことが変わります。

• レンタルサーバーを使っている場合：
  契約しているサーバー事業者のお知らせで、今回の脆弱性への対応が完了しているかを確認します。PHPのバージョンを自分で選ぶ仕組みの場合は、サポート中のバージョンに切り替えられているかも確認します。
• 自社や制作会社が管理するサーバー（VPS・クラウドなど）の場合：
  PHPの更新は管理者の作業が必要です。管理している会社に「PHP2shell（CVE-2026-109618・109619）の対応は済んでいますか？」と、今日のうちに確認してください。
• 誰が管理しているかわからない場合：
  それ自体が大きなリスクです。今回のような緊急時に、誰も対応できないおそれがあります。契約書や請求書から管理者を確認するか、専門家に相談してください。

技術担当者が行う対策

結論：修正版への更新が根本的な対策です。すぐに更新できない場合の暫定策は、あくまで更新までのつなぎとして使います。

• ① 修正版へ更新する：
  8.2.35・8.3.36・8.4.27・8.5.12以降、またはOSやサーバー事業者が提供する修正済みのパッケージへ更新します。
• ② PHPのプロセスをすべて再起動する：
  更新や設定変更のあとは、Webサーバーや PHP-FPM を再起動し、古いプロセスが残らないようにします。
• ③ すぐに更新できない場合の暫定策：
  php.ini や PHP-FPM のプール設定で session.upload_progress.enabled=0 を指定します（ini_set() や .user.ini では効きません）。PHP 8.5 では fatal_error_backtraces=0 も設定します。あわせて、受け付けるリクエストの大きさの上限を見直します。
• ④ WAFは補助として使う：
  WAFやIPSによる防御は攻撃を減らす助けになりますが、それだけで完全に防げるわけではありません。
• ⑤ 攻撃を受けていないかを確認する：
  異常に長いセッションCookie（PHPSESSID）、不審なファイル送信のリクエスト、メモリ不足のエラーやHTTP 500の急な増加、PHPのプロセスの異常終了がないかを、アクセスログやエラーログで確認します。痕跡が見つからなくても、攻撃を受けていないことの証明にはならない点に注意してください。

PHP 8.2のサポートは2026年12月31日で終了

結論：PHP 8.2のセキュリティサポートは、あと約2か月の2026年12月31日で終了します。サポートが終わったバージョンには、今回のような修正が提供されません。PHP公式

• PHP 8.2：セキュリティ修正のみ（2026年12月31日まで）
• PHP 8.3：セキュリティ修正のみ（2027年12月31日まで）
• PHP 8.4：通常サポート中（セキュリティ修正は2028年12月31日まで）
• PHP 8.5：通常サポート中（セキュリティ修正は2029年12月31日まで）

PHPのバージョンを上げると、古いプログラムやCMSのプラグインが動かなくなることがあります。年末の慌ただしい時期に入る前に、動作確認を含めて計画的に移行しておくことをおすすめします。WordPressをお使いの場合は、世界標準ゆえに狙われるWordPressもあわせてご覧ください。

PHPの更新・サーバーのご相談（無料）

結論：「自社のPHPのバージョンがわからない」「レンタルサーバーのまま緊急時に待つしかないのは不安」という方は、お気軽にご相談ください。

• PHPのバージョンと対応状況の確認：
  ホームページのURLと、ご契約中のサーバーを教えていただければ、確認できる範囲で現状をお伝えします。詳しい確認には、サーバーの契約情報や管理画面での作業へのご協力をお願いする場合があります。
• サポート中のPHPへの移行：
  動作確認を含めて、PHP 8.4・8.5などサポート期間の長いバージョンへの移行をお手伝いします。
• 弊社サーバーへの移行と保守：
  緊急時にも弊社の判断ですぐに対応できる、弊社サーバーでの運用もご提案します。詳しくはセキュアサーバー開発をご覧ください。

パスワードなどの大切な情報は、メールではなく、ご相談のうえ安全な方法でお預かりします。お問い合わせ内容に「PHPの更新相談」とホームページのURLをご記入ください。

今回のポイントまとめ

よくあるご質問（FAQ）

Q1. PHPとは何ですか？自社のサイトにも関係がありますか？

PHPは、ホームページのお問い合わせフォームやCMS（WordPressなど）を動かすために広く使われているプログラミング言語です。CMSで更新しているサイトや、フォームのあるサイトの多くはPHPで動いているため、関係がある可能性が高いと考えてください。

Q2. レンタルサーバーを使っていれば、自分で何もしなくて大丈夫ですか？

PHPの更新はサーバー事業者が行いますが、対応の時期や方法は事業者によって異なります。事業者のお知らせで対応完了を確認し、PHPのバージョンを自分で選ぶ仕組みの場合は、サポート中のバージョンを選んでいるかも確認してください。

Q3. なぜ一部のサイトはメンテナンス状態のままなのですか？

レンタルサーバーでは、PHPの更新をサーバー事業者が行うため、弊社だけでは対応を完了できません。安全が確認できないまま公開を続けると、不正なアクセスを受けるおそれがあるため、確認が取れるまでメンテナンス状態にしています。安全が確認でき次第、順次公開を再開します。

Q4. PHP 7系や8.1など、古いバージョンを使っている場合はどうなりますか？

公式のサポートは終了しており、今回の修正も公式の更新としては提供されていません。一部には最小限の修正が別途提供されていますが、今後見つかる脆弱性には対応されない可能性が高いため、サポート中のバージョンへの移行をおすすめします。

Q5. WAFを入れていれば更新しなくても大丈夫ですか？

いいえ。WAFは攻撃を減らす助けになりますが、すべての攻撃を防げるわけではありません。根本的な対策は修正版への更新です。WAFは更新までのつなぎや、更新後の追加の守りとして考えてください。

Q6. 攻撃を受けたかどうかは、どうすればわかりますか？

アクセスログやエラーログで、異常に長いセッションCookie、不審なファイル送信のリクエスト、HTTP 500エラーの急な増加などがないかを確認します。ただし、痕跡が見つからなくても安全とは言い切れません。不安な場合は、サーバーの管理会社や専門家に調査を依頼してください。

参考情報

• PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（IPA、2026年10月22日）
  IPAによる緊急の注意喚起です。
• PHPの2件の深刻な脆弱性(CVE-2026-109618、CVE-2026-109619)についてまとめてみた（piyolog）
  脆弱性の内容、影響を受けるバージョン、攻撃の観測状況、国内事業者の対応をまとめています。
• Supported Versions（PHP公式）
  PHPの各バージョンのサポート期限です。