結論：PHP で動くホームページは、今すぐ PHP が最新版になっているか確認してください。
- 対象：WordPress・EC-CUBE・Laravel など、PHP で動いているホームページやシステムのほとんど
- 危険度：10点満点中 9.2（緊急）。ログインなしで、外からサーバーを操られるおそれがあります。すでに攻撃の試みも観測されています。
- 対応：PHP を 8.5.12・8.4.27・8.3.36・8.2.35 以降に更新する。レンタルサーバーなら、サーバー会社のお知らせを確認する。
何が起きたのか
- 10月20日PHP の開発チームが、重大な脆弱性2件の修正版を公開すると予告し、利用者に更新の準備を呼びかけました。
- 10月21日修正版（PHP 8.5.12・8.4.27・8.3.36・8.2.35）を公開（日本時間の深夜）。2件の脆弱性は
CVE-2026-109618・CVE-2026-109619で、通称「php2shell」と呼ばれています。 - 10月21日以降セキュリティ会社などが、この弱点を狙った攻撃の試みを観測したと報告。国内でも、レンタルサーバー会社や大手のサービスが緊急メンテナンスを行いました。
- 10月23日特定の設定の場合に限る、別の脆弱性（
CVE-2026-115560）が追加で告知されました（後述）。
そもそも PHP とは
PHP（ピーエイチピー）は、ホームページの裏側で動くプログラムの言語です。お問い合わせフォームの送信、お知らせの更新、ネットショップの注文など、「見るだけ」ではなく「動く」ホームページの多くが PHP で作られています。
世界中のホームページで使われている WordPress も PHP で動いています。そのため、今回の弱点は影響がとても広いと考えられています。
何が危ないのか
今回の弱点は、ひとことで言うと「外から、ログインせずに、サーバー上で好きなプログラムを動かされるおそれがある」というものです（専門用語では「リモートコード実行」と言います）。
たとえるなら、お店の裏口の鍵に欠陥があって、鍵を持っていない人でも、特別なやり方をすれば中に入れてしまう状態です。中に入られると、次のような被害につながるおそれがあります。
- ホームページを書き換えられる（偽の情報や、ウイルスを配るページに変えられる）
- お問い合わせや会員・顧客の情報を盗まれる
- サーバーを、ほかのサイトへの攻撃や迷惑メールの送信に使われる
影響を受けるホームページ
| ホームページの作り | 影響 |
|---|---|
| WordPress で作ったサイト | 影響あり（PHP で動いているため） |
| EC-CUBE などのネットショップ、Laravel などで作った予約・会員システム | 影響あり |
| レンタルサーバーで PHP のプログラム（フォームなど）を動かしているサイト | 影響あり（サーバー会社の対応を確認） |
| HTML だけで作ったサイト、PHP を使わない仕組み（静的サイトなど） | 影響なし |
PHP をサーバーで動かす方法（PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed など）の、ほぼすべてが対象です。中でも Apache の mod_php は、特に危険性が高いとされています。
なお、このサイト（yk-planning.jp）は PHP を使わない仕組みで作っているため、今回の脆弱性の影響はありません。
今すぐ確認・対応すること
レンタルサーバーを使っている場合
- ご利用のサーバー会社（さくらのレンタルサーバ、エックスサーバー、ConoHa WING など）のお知らせ・メンテナンス情報を確認します。多くの会社が、すでに PHP の更新や対策を行っています。
- サーバーの管理画面で、PHP のバージョンを確認します。古い版（PHP 8.1 以前など）を選んでいる場合は、サポート中の版に切り替えます。
- 切り替えたあと、ホームページやお問い合わせフォームが正しく動くか確認します。
自社でサーバーを管理している場合
- PHP を、使っている系列ごとの修正版に更新します。
| 使っている版 | この版以降に更新 |
|---|---|
| PHP 8.5 系 | 8.5.12 |
| PHP 8.4 系 | 8.4.27 |
| PHP 8.3 系 | 8.3.36 |
| PHP 8.2 系 | 8.2.35 |
| PHP 8.1 以前 | サポート終了。配布元の修正版を確認するか、サポート中の版へ移行 |
- Linux のパッケージ（apt や dnf など）で入れている場合は、配布元（Ubuntu・Debian・Red Hat など）の修正版の提供状況を確認して更新します。
- 更新後、PHP-FPM や Apache を再起動して、新しい版で動いていることを確認します。
- 攻撃されていないか、アクセスログやサーバー上の見慣れないファイル、勝手に作られた管理者アカウントがないかを確認します。
すぐに更新できない場合
PHP の開発チームは、更新までの一時的な対策として、次のような設定を案内しています（サーバーの管理者向けの内容です）。
session.upload_progress.enabled = 0（ファイルアップロードの進み具合を記録する機能を止める）memory_limit = -1（メモリの上限で処理が途中で止まらないようにする。アプリ側で上書きされないようにし、すべての処理を再起動する）- 受け付けるリクエストの大きさを制限する
- PHP 8.5 では
fatal_error_backtraces = 0
10月23日に追加で告知された脆弱性（CVE-2026-115560）
セッション（ログイン状態などを覚えておく機能）の、アップロードの進み具合を記録する部分の脆弱性です。次の3つの条件がすべてそろう場合だけ影響があります。
- 設定
session.serialize_handlerをphp_binaryまたはphp_serializeにしている - プログラムの中で、その設定を
phpに切り替えてからsession_start()を呼んでいる - アップロードの進み具合の記録（
session.upload_progress.enabled）が有効になっている
一般的な WordPress のサイトで、この組み合わせになっていることは多くありません。対策は、次の修正版が出るまで session.upload_progress.enabled = 0 にすることです。上の一時的な対策ですでに設定していれば、追加の対応は不要です。
よくある質問
WordPress 本体を最新にすれば大丈夫ですか？
いいえ。今回の弱点は WordPress ではなく、その土台の PHP にあります。WordPress を最新にしても、PHP が古いままだと危険は残ります。両方を最新にしておきましょう。
何もおかしなところがなければ、対応しなくてもよいですか？
いいえ。乗っ取られても、見た目では気づけないことがよくあります。被害が出る前に更新することが大切です。
自分のサイトが PHP を使っているかわかりません
WordPress で作ったサイトや、管理画面からお知らせを更新できるサイトの多くは PHP を使っています。わからない場合は、制作会社やサーバー会社に確認してください。ＹＫプランニングでも、確認や対応のご相談を承ります。