PHPの脆弱性（PHP2Shell）、うちのホームページは大丈夫？お店・会社が確かめること

「PHPに重大な弱点が見つかったとニュースで見た。うちのホームページは大丈夫だろうか」
そう思って調べてみても、自分のサイトがPHPで動いているのかどうか、すぐには分からないものです。

先に結論です。ホームページを作った会社か、管理している人がいるなら、「今回のPHPの件、うちは対応済みですか」と一言聞いてください。それが一番早くて確実です。
聞ける人がいない場合は、この記事の順に自分で確かめます。
WordPressで作ったサイトと、お問い合わせフォームのあるサイトは関係があります。
HTMLだけで、フォームもないページは対象外です。
Wixなどのホームページ作成サービスは、提供元のお知らせを確認してください。
（この記事は2026年10月25日時点の情報です。状況が変われば更新します。）

こんにちは。
三重県でホームページ制作をしているMYコンサルティング株式会社、代表の宮本です。

この記事では、自分のサイトが関係あるかの見分け方と、今すぐやることを、ITに詳しくない方向けに書きます。

何が起きたのか（PHP2Shellとは）

PHPは、ホームページの裏側で動くプログラムの言葉です。
お問い合わせフォームの送信や、WordPressの画面づくりなど、「見る人の操作に合わせて中身を作る」仕事をしています。

2026年10月21日、このPHPそのものにある2つの重大な脆弱性（ぜいじゃくせい＝プログラムの弱点）が公表され、修正版が出ました。
番号はCVE-2026-109618とCVE-2026-109619で、「PHP2Shell」という通称で報道されています。
どちらも、外から送り込まれた命令をサーバーで勝手に動かされるおそれがある弱点です。

情報の出どころは、IPA（独立行政法人 情報処理推進機構）の注意喚起（2026年10月22日）と、JVN（脆弱性の情報サイト）です。
攻撃については、調査会社watchTowrが10月21日からの観測を解説（英語）で伝えています。
AWS（アマゾン ウェブ サービス）も、公表前の10月17日に悪用の試みを見つけたと発表しています。

10月23日には、PHPの開発チームが関連する弱点（CVE-2026-115560）も告知しました。
こちらは、まれな設定の組み合わせのときだけ起きるもので、次の定例の修正版で直る予定です。

国内でも、念のためにサイトを一時的に止めた組織がありました。
ただ、弱点があることと、実際に被害を受けることは別の話です。

うちのサイトは関係ある？見分け表

関係があるかどうかは、ホームページが「どんな仕組みで動いているか」で決まります。

見落としやすいのが、3つ目の「フォームだけPHP」です。
お問い合わせフォームの送信をPHPで処理していることはよくあります。
「うちはWordPressじゃないから関係ない」と決めつけず、フォームがあるかどうかも見てください。

WordPressがどういう仕組みかはWordPressとは？で、HTMLだけで作るサイトとの違いはWordPressと静的HTMLどっち？で説明しています。

うちのホームページがPHPを使っているか確認する方法

スマホでは、画面の上の住所欄を一度タップすると、URLの全部が見えます。

URLに.phpが見えなくても、PHPで動いているサイトはあります。
この表は「使っている」と分かる目印で、「使っていない」と言い切るものではありません。

何をすればいい？今すぐやること4つ

関係がありそうだと分かったら、次の4つを上から順に進めてください。

1. 作った会社・管理している人に聞く
   「今回のPHPの件、うちのサイトは対応済みですか」と聞きます。
   保守契約があるなら、これで終わることが多いです。
   聞ける人がいなければ、次へ進みます。
2. 契約しているサーバー会社のお知らせで、修正が当たったかを確かめる
   サーバー会社のサイトの「お知らせ」「障害・メンテナンス情報」を見ます。
   サーバー会社が修正を当てたのか、自分で設定を変える必要があるのかが書かれています。
   どこのサーバーか分からなければ、請求メールや契約書で確かめます。
3. WordPressと部品を更新する
   WordPressなら、本体・テーマ（見た目の型）・プラグイン（追加の部品）を最新にします。
   今回の弱点はPHP側ですが、古い部品を残しておく理由はありません。
4. PHPの版がサポート中か確かめる
   サーバーの管理画面の「PHPバージョン」と書かれた欄を見ます。
   8.1以前はサポートが終わっています。
   8.2も2026年12月31日で終わります。

④を補足します。
修正版が出ているのは8.2・8.3・8.4・8.5の系統です。
7.4・8.0・8.1は新しい版としては出ておらず、PHPの開発チームがソースコード（プログラムの元の文章）の修正だけを公開しています。
サポートが終わった版の扱いは、サーバー会社ごとに違います。

サーバー会社によっては、版の番号を変えないまま修正だけを当てることもあります。
番号だけで判断せず、お知らせに書かれた対応を基準にしてください。
8.2を使っているなら、年明けまでに8.3以降へ上げる計画を立てておくと安心です。
版を上げると古いWordPressや部品が動かなくなることがあるので、バックアップ（データの控え）を取ってから作業するか、作った会社に頼んでください。

作った会社と連絡が取れない・管理する人がいない場合

「作った会社がなくなった」「担当者が辞めて、誰も中身を知らない」というサイトは珍しくありません。
その場合は、次の順で手がかりを集めてください。

• サーバー会社からの請求メールや契約書を探し、どこのサーバーを、誰の名義で借りているかを確かめる
• そのサーバー会社のお知らせを読み、今回の件で利用者がやることがあるかを確かめる
• サーバーの管理画面に入れるか確かめる（ログインの情報が分からなければ、サーバー会社に名義人として問い合わせる）
• ドメイン（ホームページの住所）の名義と期限も、あわせて確かめる

ドメインの名義と期限の調べ方はドメインの有効期限を確認する方法にまとめています。
管理画面に入れない、入れても何をすればいいか分からない、というときは、別の制作会社に管理を引き継ぐ方法があります。
当社でも、ほかの会社で作ったサイトの管理の引き継ぎをお受けしています。

何年も手を入れていないサイトは、PHPの件に限らず、ほかにも古くなっている部分がある可能性があります。
直して使い続けるか、作り直すかの見分け方はホームページが古いとどうなる？で書いています。

管理している人がいないサイトのご相談
「うちのサイトはPHPを使っているのか分からない」「作った会社と連絡が取れない」という方は、サイトのURLを「ご相談内容」の欄に書いて、相談だけからお送りください。
今のサイトを引き継いで管理するのがよいか、作り直したほうがよいかを含めて、見たままをお伝えします。
相談は無料です。

慌ててやらなくていいこと

不安なときでも、次のことは急いでやらなくて大丈夫です。

当社の対応

当社が作るホームページは静的HTML（ページをHTMLだけで作る方式）で、ページ自体はPHPで動いていません。
ただし、お問い合わせフォームはPHPで動いています。
見分け表でいうと「フォームだけPHP」にあたるので、当社が管理しているサイトも、今回の対応を確かめる対象です。

当社が管理しているサイトは、ConoHa WINGというサーバーの上にあります。
ConoHa WINGは10月22日20時45分に、提供しているすべてのPHPの版へ修正を当て終えたとお知らせ（終報）しています。
利用者がPHPの版を変える必要はなく、表示される版の番号が変わらなくても、修正は当たっているとされています。

これとは別に、当社では10月22日に、管理しているすべてのドメインへ一時的な防御の設定を追加しました。

保守で当社がお引き受けしていることはホームページの保守とはで説明しています。

よくある質問

Q. PHPの脆弱性で、うちのサイトはもう乗っ取られていますか？

弱点があることと、実際に被害を受けたことは別です。
ただ、攻撃は実際に観測されているので、サーバー会社のお知らせを読み、修正が当たっているかを早めに確かめてください。
表示がおかしい、身に覚えのないページがある、といった変化があれば、すぐに作った会社かサーバー会社に連絡してください。

Q. Wixやペライチで作ったサイトも対応が必要ですか？

こうしたサービスでは、サーバーの管理は基本的に提供元が行っています。
対応の状況や、利用者がやることがあるかどうかは、提供元のお知らせで確認してください。

Q. HTMLだけのサイトなら、何もしなくていいですか？

PHPを動かさないページは、今回の弱点の対象外です。
ただ、お問い合わせフォームだけPHPで動いていることはよくあります。
フォームがあるなら、その仕組みを作った会社に確かめてください。

Q. 修正が終わるまで、ホームページを止めたほうがいいですか？

止めるかどうかは、サイトの作りとサーバー会社の対応しだいです。
自分の判断で消したりせず、サーバー会社のお知らせと、管理している人の意見をもとに決めてください。

Q. PHP 8.2を使っています。修正版にすれば安心ですか？

8.2.35にすれば、10月21日に公表された2つの弱点は直ります。
ただ、8.2のサポートは2026年12月31日で終わります。
年明け以降も安全に使い続けるために、8.3以降へ上げる計画を立てておいてください。

まとめ

今回の件は、ホームページの裏側を「誰が見ているか」がはっきりしているかどうかで、対応の早さが変わります。
自分で確かめるのが難しいときは、遠慮なくご相談ください。