【続報】PHPの重大脆弱性「PHP2Shell」、公表4日前から攻撃の試みを確認。Webサイト運営者が取るべき対策とは？

2026年10月23日｜セキュリティ情報

企業のホームページやECサイトなど、幅広いWebサービスで利用されているプログラミング言語「PHP」。

10月21日に、PHPの深刻な脆弱性2件に対する緊急セキュリティアップデートが公開されました。

その後、新たに重要な事実が明らかになりました。

脆弱性が一般公開される4日前の10月17日から、攻撃を試みる動きが確認されていたというのです。

今回は、最新の調査結果と、企業のWebサイト運営者が今取るべき対応について解説します。

PHPの脆弱性「PHP2Shell」とは？

今回発見された脆弱性は、次の2件です。

• CVE-2026-109618
• CVE-2026-109619

これらは総称して「PHP2Shell」と呼ばれています。

いずれも深刻度はCVSS v4.0で9.2（Critical）。条件が成立すると、攻撃者が認証なしでサーバー上のプログラムを実行できる可能性があります。

PHPの開発チームは10月21日、修正版を公開しました。

PHP公式は、完全な対策には修正版への更新が必要であると説明しています。

公表前から攻撃が始まっていた

10月22日に公開されたAWSの日本語公式ブログによると、同社の脅威インテリジェンスチームは、10月17日にPHP2Shellを悪用しようとする通信を検知しました。

これは脆弱性が一般公開される4日前のことです。

さらに10月21日には、複数の攻撃コードや悪用の試みを確認。修正版の公開後も、攻撃の動きが広がっていると報告しています。

ただし、攻撃の試みが確認されたことと、実際にWebサイトへの侵入が成功したことは別です。

AWSも、初期に観測した攻撃が実際のシステムで成功したかどうかについては不明としています。

AIの進化がサイバー攻撃のスピードも変える

今回のニュースで注目したいのは、AIとサイバーセキュリティの関係です。

AIは、ソフトウェアの不具合や脆弱性を発見するための強力な技術になりつつあります。

一方、攻撃者もAIを利用できます。

例えば、公開された修正プログラムを分析し、どこに脆弱性が存在していたのかを推測する作業をAIが支援する可能性があります。

AWSは、AIの利用によって修正内容の解析から攻撃コードの作成までの時間が短縮され、脆弱性の公開から攻撃開始までの猶予が非常に短くなっていると指摘しています。

これは、企業のセキュリティ対策にも大きな変化を求める動きといえるでしょう。

WordPressやECサイトへの影響は？

PHPは、WordPressをはじめとする多くのWebシステムで利用されています。

そのため、今回の脆弱性は企業のホームページやECサイトにも関係する可能性があります。

ただし、PHPを利用しているすべてのサイトが、同じ条件で攻撃を受けるわけではありません。

実際の影響は、PHPのバージョンやサーバー環境、アプリケーションの構成などによって異なります。

特に、次のようなサイトでは、早めの確認をおすすめします。

• WordPressで構築した企業ホームページ
• PHPで開発されたECサイトや予約システム
• 独自の問い合わせフォームや会員管理システム
• 長期間、サーバー環境を更新していないWebサイト

Webサイト運営者が今すぐ確認したいこと

1. PHPのバージョンを確認する

レンタルサーバーの管理画面などで、現在利用しているPHPのバージョンを確認しましょう。

2. セキュリティアップデートを適用する

影響を受ける環境では、修正版への更新が重要です。

ただし、PHPの更新によってWordPressのテーマやプラグイン、独自プログラムに不具合が生じる場合があります。

バックアップを取得し、必要に応じて動作確認を行ったうえで、速やかに更新しましょう。

3. 不審なアクセスがないか確認する

今回、10月17日から攻撃の試みが観測されています。

影響を受けるサーバーでは、必要に応じて10月17日以降のアクセスログや不審なファイルの有無などを確認することが望まれます。

なお、修正版に更新しても、更新前に侵害されていた場合の問題が自動的に解消するわけではありません。

4. サーバー会社や保守管理会社に確認する

レンタルサーバーを利用している場合、PHPの修正プログラムがサーバー会社側で適用されるケースもあります。

自社で判断できない場合は、サーバー会社やWebサイトの保守管理会社に確認しましょう。

セキュリティ対策にもスピードが求められる時代へ

今回のニュースで改めて感じるのは、Webサイトのセキュリティ対策に求められるスピードが変わってきているということです。

これまでは、重大な脆弱性が公開されても、数日から数週間のうちに対応するという運用が少なくありませんでした。

しかし、AIの進化によって脆弱性の発見や分析が高速化すれば、攻撃者の動きも早くなる可能性があります。

そのような環境では、問題が起きてから対応するのではなく、日頃からWebサイトの状態を把握し、必要な更新を速やかに実施できる体制が重要になります。

特に中小企業では、Webサイトの担当者が不在だったり、制作後の保守管理が十分に行われていなかったりするケースもあります。

企業のホームページやECサイトは、単なる情報発信の手段ではなく、日々の営業活動や顧客との取引を支える重要な基盤です。

当社では、Webサイトの制作だけでなく、公開後の運用や保守管理も重要だと考えています。

AIを活用した業務効率化が進む一方で、AIによって変化するセキュリティリスクにも目を向けながら、安全で持続的なWebサイト運営を支援していきたいと考えています。

参考情報

• PHP公式：セキュリティリリース情報
• AWS公式：PHP2Shellに関する脅威インテリジェンス情報（2026年10月22日）
• ITmedia NEWS：PHP2Shell、公表4日前に悪用の試み（2026年10月23日）

※本記事は2026年10月23日時点の公表情報をもとに作成しています。

投稿日：2026年10月23日