先に結論です
2026年10月21日に PHP にとても重大な欠陥が2つみつかりました。 修正版もすでに出ています。次の3つを確認してください。
- 自社のサイトが PHP で動いているか。 WordPress で作ったサイトは PHP で動いています。
- PHP が修正版に更新されているか。 分からなければ、サイトを作った会社かサーバーの会社に聞いてください。訊きかたの文例をあとに書きました。
- すぐに更新できないなら、サイトを一時的に止めることも有効な方法です。 政府の呼びかけでも、そう書かれています。
この記事は2026年10月22日時点の内容です。状況は変わることがあるので、公式の最新情報もみてください。
なにが起きたのか
欠陥がみつかったのは PHP そのものです。例えるなら、建物の玄関の鍵が特定の方法で簡単に開いてしまうという欠陥です。
- 攻撃する人は、ログインなしで、細工した通信をサイトに送ります。
- うまくいくと、サーバーの上で好きなプログラムを動かされてしまう可能性があります（リモートコード実行）。サイトの改ざんや情報の盗み出しにつながる恐れがあります。
- 欠陥は2つで、番号は CVE-2026-109618 と CVE-2026-109619 です。
- 評価は10点満点中の9.2（CVSS 4.0）とされていて、重大な部類です。
- 通称は［php2shell］です。
世界で2,260万台以上が影響を受けうる状態で、インターネットに公開されている、という調査もあります（Palo Alto Networks の調査）。
日本でも政府の関係者が注意を呼びかけています。国の機関（国家サイバー統括室）も、情報を出しています。
自社のサイトは関係があるのか
関係があるもの（PHP で動いているサイト）
- WordPress で作ったサイト
- EC-CUBE など PHP で作られたネットショップ
- 昔に作った PHP の自作システム
- 上記システムをレンタルサーバーなどに置いているサイト
関係が薄いもの
- Shopify や Wix などサービスとして提供されるサイト（運営会社が対応）
- あらかじめページを作って置いておくだけの静的なサイト
- PHP を使っていないほかのサイト
確認のしかた
- サイトを作った会社に、『うちのサイトは PHP を使っていますか？』と訊くのが一番確実です。
- WordPress なら管理画面の［ツール］の中の［サイトヘルス］から、［情報］の［サーバー］を開くと、PHP のバージョンが分かります（画面の名前はバージョンによって少し違うことがあります）。
バージョンの目安
PHP にはいくつかの系統があります。修正版は次のとおりです。
- 8.5系：8.5.12
- 8.4系：8.4.27
- 8.3系：8.3.36
- 8.2系：8.2.35
これより古い番号の PHP を使っていると、欠陥が残っている可能性があります。
PHP 8.1 以前は PHP の開発元からの更新が出ません。 この場合はサーバーの会社（Linux の提供元）が、独自に修正版を出していることがあります。サーバーの会社に確認してください。それが難しければ、新しいバージョンへの移行も考える時期です。
今日からやること
- 自社のサイトを書き出す。 どのサイトがどのサーバーで動いているかを一覧にします。ドメイン（サイトの住所）とサーバーの会社が分かれば充分です。
- サイトを作った会社やサーバーの会社に聞く。 文例は次の節です。
- レンタルサーバーならサーバー会社のお知らせをみる。 PHP の更新をサーバー会社がまとめて行うことがよくあります。管理画面でバージョンを選べるサービスもあります。
- すぐに更新できないときはサイトを一時的に止めることも考える。 政府の呼びかけでも、リスクを減らす方法の1つとされています。止めている間に更新の準備を進めます。
- 更新したらサイトが正しく表示されるか確認する。 更新で古いプラグイン（機能の追加部品）が動かなくなることがあります。
問い合わせの文例
そのままコピーして使ってください。
お世話になっております。
PHP の重大な脆弱性（CVE-2026-109618 / CVE-2026-109619）の件で、お問い合わせです。
1. 弊社のサイトは PHP で動いていますか。
2. 動いている場合、PHP は修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 のいずれか）に更新済みですか。
3. 未更新の場合、いつ更新できますか。それまでの間にできる対策はありますか。
お手数ですが、ご回答をお願いします。
パッチを当ててもイタチごっこでは？
よくある疑問です。修正版（パッチ）を公開すると、攻撃する人もそれを調べます。何が直されたかが分かると、まだ更新していないサイトを狙う方法があるからです。新しい欠陥も、これからみつかります。つまり、半分はそのとおりです。
ただ、だからといって、更新しても意味がないわけではありません。
- 直した欠陥はもう使えません。 更新したサイトは、その欠陥からは確実に守られます。攻撃する人は次の欠陥をイチから探すことになります。
- 勝負は修正版が出てから、攻撃が広がるまでの時間です。 早く更新するほど、狙われる前に済みます。今回ものんびりではなく、今夜の対応が呼びかけられています。
- 更新しないサイトが一番狙われやすくなります。 修正済みの欠陥の情報が手に入ったままで使えるからです。
今回は、修正版の公開より前に詳細が出回っていた、という報告もあります。こういうときは、更新のスピードがさらに大事になります。
更新だけに頼らないために。
- 更新を後回しにしない仕組み： 自動更新や保守の担当者を決めておきます。
- 守りを重ねる： 不要な機能を止める、管理画面に入れる人を絞る、外からの攻撃を防ぐ仕組み（WAF）を入れるなどです。
- バックアップ： 万一のとき、元に戻せるようにしておきます。
- PHP に頼らない作りにする： 静的なサイトや、サービスとして提供される仕組みはこの種の欠陥の影響を受けにくいです。
悪用されているのか
一部の会社が、すでに悪用されている、と報告しています。 ただ、調べている途中で、情報には食い違いもあります。攻撃用のツールが SNS に出回っている、という情報もありますが、確認されていません。
分からないことは分からないと書いておきます。それでも、修正版が出ている以上、更新してリスクを下げておくのが安全です。
もし不審なことに気づいたら
次のようなことがあれば、すぐにサイトを作った会社や専門家に相談してください。
- 身に覚えのない記事やページが増えている。
- 管理画面に知らない管理者が増えている。
- サイトを開くと別のサイトに飛ばされる。
- サーバーの会社から不審な通信の連絡がきた。
ドカタ.jp のサイトは
ドカタ.jp のサイト（docata.jp / notes.docata.jp）は PHP を使っていません。この件での直接の影響はないはずです。
ご相談ください
自社のサイトが PHP で動いているのか、更新は済んでいるのか、分からない場合は、お気軽にご相談ください。確認の手順を一緒に整理します。ご相談とお見積もりは無料です。
まだコメントはありません