- 10月21日の修正のあとに何が起きたか（悪用の確認と侵害の痕跡）
- PHPはWebサイトの外、機器の管理画面にも入っているという話
- 修正版と、サポートが終わった版の扱い
- 保守会社と機器の販売元に確かめること
結論
2026年10月21日にPHPの開発チームが修正を出した2件の脆弱性は、まとめて「PHP2shell」と呼ばれ、外から勝手にプログラムを動かされるおそれがあります。10月26日（米国時間）には米国の CISA が悪用の確認された脆弱性の一覧に載せ、JPCERT/CC も10月29日に、あるファイアウォール製品で侵害が成功した痕跡が見つかったと追記しました。IPA は11月2日、VPN機器などのWeb管理画面にもPHPを使う製品があると追記しています。自社サイトだけでなく、社内のネットワーク機器も確かめる対象に入れてください。
何が起きたのか
PHPは、Webサイトの裏側で動くプログラムを書くための言語で、多くの会社のサイトやネットショップ、業務システムに使われています。修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。開発チームは、完全な緩和策はなく、更新だけが安全な選択肢だとしています。
修正が出た時点では「早めに当ててください」という段階でしたが、悪用が確認されたことで「実際に攻撃が来ている」段階に変わりました。悪用できると主張するコードも多数公開されています。「次の定期保守のときでいい」という判断は見直すときです。
PHPはWebサイトの外にもある
PHPは、VPN機器やセキュリティ機器の管理画面の中で使われていることがあります。こうした機器は、利用者が中のPHPを自分で更新できません。販売元が出す修正版のソフト（ファームウェア）を待って当てる形です。JPCERT/CC によると、オランダの国家サイバーセキュリティセンター（NCSC-NL）が、影響を受けうる製品の一覧を GitHub でまとめています。
「うちのサイトはPHPを使っていない」でも安心とは言えません。社内のVPN機器やファイアウォールの管理画面に入っていることがあります。
サポートが終わった版
PHP 8.1 以前は開発チームからの更新がもう出ません。配布元や長期サポートの事業者が独自に修正を出していることがあるので、配布元に問い合わせるか、サポート中の版に移るよう案内されています。PHP 8.2 も2026年12月31日でサポートが終わります。IPA は、保守の体制が確保できない場合、保守を受けられる製品への移行、機能を減らす、公開をやめる、廃止する、まで含めて考えるよう求めています。
確かめる順番
- 自社のサイトと業務システム。制作会社、保守会社、レンタルサーバーの事業者に、PHPの版が修正版以上かを聞きます。レンタルサーバーでは契約者が版を選べるものもあるので、古い版を選んだままでないかも見ます。
- 社内のネットワーク機器。VPN機器やファイアウォールの型番を確かめ、販売元の脆弱性情報で影響の有無と修正版の有無を確かめます。管理画面を社外から開ける設定なら、特に急ぎます。
- すぐに更新できない場合。IPA は、アクセスの制限などの暫定の対策を取り、外部からのアクセスを止めるか、サービスを一時止めるかを判断するよう求めています。
- 攻撃を受けていないか。JPCERT/CC は、侵害が疑われる場合は記録などの証拠を残したうえで影響の範囲を調べ、システムを切り離すよう求めています。痕跡が見つからないことは、攻撃を受けていない証拠にはなりません。調べるのは保守会社や専門の事業者に任せます。
調べる前に、サーバーの作り直しや記録の削除をしないでください。何が起きたかを後から確かめられなくなります。
今日、まず確認すること
制作会社か保守会社に、自社サイトのPHPの版が修正版以上になっているかを1通で聞いてください。