PHP脆弱性「php2shell」からサイトを守るための対処法

今この瞬間も、あなたのWordPressサイトに対して自動化された攻撃ツールが探索を続けている可能性があります。

2026年10月21日、PHPに「php2shell」と呼ばれる重大な脆弱性が発見されました。これはWordPressのプラグインやテーマの問題ではなく、PHPというプログラミング言語の土台部分に14年以上潜んでいた欠陥です。

世界中のWebサイトの約70%はPHPで動いており、WordPressを使うほぼすべてのサイトが影響を受けます。攻撃を試みるコードはすでにネット上で公開されており、Cloudflareなどのセキュリティ企業が攻撃の試行を観測しています。

この記事では、「php2shellとは何か」「サイトが攻撃されると何が起きるか」「今すぐできる対策」「もし被害を受けてしまったときの対処法」を、WordPress運営の専門家の視点からわかりやすく解説します。

 

php2shellとは何か？ わかりやすく解説

「php2shell」は、WordPressやその他PHPで動くウェブサービスに対して、ログインや認証を一切必要とせずにサーバーを乗っ取れる脆弱性です。正式名称はCVE-2026-109618とCVE-2026-109619の2件で、深刻度の指標であるCVSSスコアは9.2（最高は10.0）。「Critical（致命的）」に分類されます。

攻撃者がこの脆弱性を悪用すると、WordPressの管理画面パスワードを知らなくても、サーバー上で自由にコードを実行できてしまいます。具体的には以下のようなことが可能になります。

• サイトのコンテンツを書き換える（改ざん）
• サーバー内のファイル・データベースをすべて盗む
• 訪問者のブラウザをウイルスサイトへ誘導する（リダイレクト攻撃）
• フィッシングページや詐欺ページをサーバー内に設置する
• パスワード・APIキー・メールアドレスなどの個人情報を抜き取る
• サーバーをスパムメール送信の踏み台にする

 

セキュリティ企業Wizの調査によると、Apache mod_php環境では、WordPressのコードが1行も実行される前に攻撃が成立することが確認されています。WAF（Webアプリケーションファイアウォール）による防御も限定的にしか機能しません。

 

攻撃を受けたWordPressサイト、こんな症状が出たら危険信号

php2shellによる攻撃を受けたサイトには、以下のような症状が現れることがあります。「最近なんかおかしい」と感じたら、要注意です。

▍見た目・表示に関する症状

• サイトに見覚えのない広告・リンクが表示されている
• 日本語のサイトなのに中国語・英語・アラビア語などの文字が混入している
• トップページや記事が勝手に書き換えられている
• スマートフォンからアクセスすると別のサイトへ飛ばされる
• Googleの検索結果でスパム的な説明文が表示されている

▍アクセス・セキュリティに関する症状

• Googleから「このサイトは危険です」と警告が出ている
• 管理画面にログインできなくなった（パスワードが変えられた可能性）
• サーバーの通信量が急増している（スパム送信の踏み台になっている可能性）
• 見知らぬ管理者アカウントが追加されている
• プラグインやテーマの設定が勝手に変わっている

 

⚠ 症状がなくても安心できません 高度な攻撃者は、すぐには目立つ変化を加えず、静かにバックドアを設置してサーバーへの侵入経路を確保するケースがあります。「何も変わっていない」と感じていても、実際には侵入されているケースは少なくありません。

 

まず確認！あなたのサイトのPHPバージョンを調べる方法

WordPressの管理画面から、今使っているPHPのバージョンを簡単に確認できます。

WordPress管理画面での確認手順

1. WordPressの管理画面にログイン
2. 左メニュー「ツール」→「サイトヘルス」をクリック
3. 「情報」タブをクリック
4. 「サーバー」の欄を展開 →「PHPバージョン」を確認

 

確認した結果の見方 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35以上 → 修正パッチ適用済みの可能性大 8.2.34以下・8.1・8.0・7.x・5.x → 緊急対応が必要です

 

レンタルサーバーのPHP変更方法（主要サービス別）

• エックスサーバー：サーバーパネル → PHP Ver.切替
• さくらのレンタルサーバー：コントロールパネル → スクリプト設定 → PHPのバージョン選択
• ConoHa WING：管理画面 → サイト管理 → PHP設定
• ロリポップ！：ユーザー専用ページ → PHP設定

 

レンタルサーバーをご利用の方：多くのサービスがすでに修正パッケージを提供しています。サポートページや管理画面のお知らせを確認し、対応していない場合はサポートへ問い合わせてください。

 

PHPバージョンアップで失敗しないための5つの鉄則

セキュリティ対応のためにPHPをアップデートしたら、サイトが真っ白になって何も表示されなくなった——これは実際に多く発生しているトラブルです。WordPressの更新作業を行う私たちのもとにも、「PHP更新後におかしくなった」というご相談が多数寄せられています。

鉄則① 作業前に必ずバックアップを取る

データベース（MySQL）＋WordPressのファイル一式を必ずバックアップしてください。BackWPupやUpdraftPlusなどのプラグインを活用するか、レンタルサーバーのバックアップ機能を使いましょう。

鉄則② テスト環境（ステージング）で先に確認する

本番環境に直接反映する前に、ステージング環境や開発環境でPHPバージョンを変更してテストします。多くのレンタルサーバーがステージング機能を提供しています。

鉄則③ プラグイン・テーマの対応バージョンを確認する

使用中のすべてのプラグイン・テーマが、アップデート先のPHPバージョンに対応しているか事前に確認します。特に長年更新されていないプラグインは要注意です。

鉄則④ 段階的に上げる（いきなり大幅アップは禁物）

PHP 7.xから8.3に一気に上げるのではなく、8.0→8.1→8.2→8.3のように段階的にテストしながら上げることでリスクを分散できます。

鉄則⑤ エラーが出たら1つずつ原因を特定する

更新後に問題が発生したら、まず全プラグインを無効化してサイトが正常に表示されるか確認します。その後プラグインを1つずつ有効化して原因を絞り込みます。

 

すぐに更新できない場合の暫定対策

諸事情でPHPをすぐに更新できない場合、以下の設定でリスクをある程度軽減できます。ただし、これだけでは完全な防御にはなりません。あくまでアップデートまでの一時的な措置です。

php.ini（またはFPMプールの設定ファイル）に以下を追記：

session.upload_progress.enabled = 0 memory_limit = -1 fatal_error_backtraces = 0  ※PHP 8.5のみ

設定後はWebサーバー（Apache / Nginx）とPHP-FPMを再起動してください。ini_set()での変更は効果がないため、必ず設定ファイルへの記載が必要です。

 

もし被害を受けてしまったら——復旧の流れ

「サイトがおかしい」「改ざんされたかもしれない」と感じたとき、パニックにならず以下の手順で対処しましょう。

STEP 1：まずサイトをメンテナンスモードにする

被害が拡大したり、訪問者がウイルスに感染するリスクを防ぐため、サイトをメンテナンス状態にします。FTPや管理画面から .htaccess を修正してアクセスを一時遮断するか、ホスティング会社に相談してください。

STEP 2：バックアップから状態を記録する

「いつからおかしかったか」を把握するために、現在の状態をバックアップとして保存します（証拠保全）。その後、問題が発生する前のバックアップデータを特定します。

STEP 3：侵入経路を特定・封鎖する

PHPをアップデートするだけでは不十分で、すでに設置されたバックドアや改ざんファイルを除去する必要があります。これには専門知識が必要なため、自力での対応が難しい場合は専門業者への依頼を検討してください。

STEP 4：クリーンな状態に復旧する

不正ファイルの完全除去、データベースの確認・修正、パスワードや認証情報の変更、セキュリティ設定の強化を行います。Googleのセーフブラウジング警告が出ている場合は、Search Consoleからの審査請求も必要です。

 

自己対応で被害が広がるケースが後を絶ちません 「自分でなんとかしよう」と試みた結果、バックドアを取り残したまま復旧してしまい、数日後に再び攻撃される——このパターンは非常によく見られます。確実な復旧には、不正ファイルの特定・除去の経験と専門知識が必要です。

 

WordPress復旧はWP.復旧センターにお任せください

当サービス「WP.復旧センター」は、WordPressのトラブル復旧に特化した専門サービスです。php2shellをはじめとするPHP脆弱性への対応も、経験豊富なスタッフが対応します。

選ばれる4つの理由

 

• 平均3時間以内に復旧：緊急のトラブルにも迅速に対応。365日・9:00〜22:00まで受付
• 完全後払い制：復旧できなかった場合は一切費用がかかりません。安心してご依頼いただけます
• 全国どこでも対応：リモートで作業しますので、北海道から沖縄まで全国対応可能です

 

まずは無料でご相談ください 「自分のサイトが影響を受けているか不安」「PHPのバージョンアップを依頼したい」「改ざんされているか確認してほしい」——お気軽にご相談ください。 WP.復旧センター公式サイト： https://wp-recovery.webrusu.com/

 

まとめ：今すぐ確認すべき3つのこと

php2shellは、放置すれば深刻な被害をもたらす可能性がある脆弱性です。しかし、正しく対処すれば防ぐことができます。

①PHPバージョンを今すぐ確認する

管理画面「ツール→サイトヘルス→情報→サーバー」でPHPバージョンを確認。8.2.35未満なら緊急対応が必要です。

②バックアップを取ってからバージョンアップする

必ずバックアップを取得した上で、プラグイン互換性を確認しながら段階的にPHPを更新してください。

③不安な方・被害を受けた方は専門家へ

自己対応が難しい場合や、すでに被害を受けている可能性がある場合は、WordPressの専門業者への依頼が確実です。WP.ト復旧センターでは、いつでもご相談を受け付けています。

 

「まあ大丈夫だろう」という油断が最大のリスクです。今日、この記事を読んだこの瞬間に確認してください。

 

参考・出典

[1] PHP公式セキュリティアドバイザリ（2026年10月）

[2] GMO Flatt Security Blog — php2shell 概要と対応指針

[3] Wiz Research — PHP2Shell: AI uncovers critical RCE vulnerabilities

[4] Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched

[5] Tenable — php2shell FAQ

WordPressのトラブルはWP.復旧センターに