PHPに重大な脆弱性（通称 php2shell）が公表されました　WordPressを更新しても解消せず、PHPの更新が必要です

2026年10月21日 23:00（日本時間）、WordPressなどの土台となるPHPに、重大な脆弱性が2件公表されました。ログインしていない第三者が、外部からサーバー上でプログラムを実行できるおそれがあります。WordPressやプラグインを最新にしても、この問題は解消しません。PHPを修正版に更新する必要があります。

脆弱性の概要

• 識別番号CVE-2026-109618、CVE-2026-109619（通称 php2shell）
• 危険度CVSS v4.0 9.2（重大）
• 内容ログイン不要で、外部からサーバー上のプログラムを実行されるおそれがあります。
• 対象Webサイトとして動いているPHPのすべてです。PHP-FPM、Apache の mod_php、php-cgi、LiteSpeed などの動かし方を問いません。WordPressで作られたサイトの多くが該当します。

対策：PHPを修正版に更新する

PHPを、8.5.12、8.4.27、8.3.36、8.2.35 のいずれかの修正版に更新してください。

PHP 8.1 以前は公式のサポートが終了しており、修正版は提供されません。サポート中のバージョンへの移行が必要です。

PHP 公式は、完全な回避策はなく、更新だけが安全な対策だとしています。

まず確認すること

WordPressの場合は、管理画面の「ツール」から「サイトヘルス」を開き、「情報」タブの「サーバー」でPHPのバージョンを確認できます。

レンタルサーバーをお使いの場合は、サーバー会社からのお知らせと、管理画面のPHPのバージョン設定を確認してください。

PHPは他のソフトウェアやサービスに組み込まれていることがあり、利用者から見えない場合があります。

ご相談を受け付けています

@SOHOを22年運営する株式会社ライフスケープが対応します。

ご自身のサイトでなくても、知り合いやクライアントのサイトのご相談でも構いません。