やさしい解説
PHP2Shell とは？
PHP2Shell は、多くの Web サイトを支えるソフトウェア PHP に見つかった 2 つの重大なセキュリティ上の欠陥です。攻撃者はパスワードなしで Web サーバーを乗っ取れます。修正版はすでにあり、リスクは更新されないサーバーにあります。
最終確認 2026-10-22
30 秒でわかる要点
何か
PHP エンジンの 2 つのバグ（CVE-2026-109618、CVE-2026-109619）。Wiz、OpenAI、Calif の研究者が発見しました。
なぜ深刻か
ログイン不要、インターネット経由で悪用でき、PHP は Web の非常に大きな部分を動かしています。未修正の PHP で動くサイトはすべて危険にさらされます。
何で直るか
サーバーの PHP を更新して再起動すること。ホスティング会社、IT 部門、開発者が行う作業で、WordPress やプラグインの更新では直りません。
たとえるなら
サイトをお店、PHP をそのお店が入っているビルだと考えてください。お店のドアに鍵をかけても（パスワード、プラグイン、サイトの更新）、ビル自体の裏口が壊れていては意味がありません。PHP2Shell はその壊れた裏口です——直すのはビルのオーナー（ホスティング会社やサーバー管理者）です。
何をすればいい？
自分に当てはまるものを選んでください。
Web サイトを運営している（WordPress、ネットショップ、団体のサイトなど）
サイトがどの PHP バージョンで動いているか調べ、ホスティング会社に修正済みか確認してもらいましょう。WordPress やプラグインの更新では直りません。
サイトを確認する →チームや会社を管理している
IT 部門や委託先に「当社の PHP サーバーはすべて CVE-2026-109618 と CVE-2026-109619 に対応して更新・再起動済みか」と確認してください。システムの運用を任せている事業者にも同じことを確認しましょう。
IT が行うべきこと →オンラインサービス（人事、給与、ネットショップ）を使っている
通常は何もする必要はありません。事業者が自社のサーバーを修正します。短時間のメンテナンスがあるかもしれません。このニュースを餌にしたフィッシングメールには注意してください。
停止したサービス →ホスティング会社や開発者への連絡文
件名：PHP2Shell（CVE-2026-109618 / CVE-2026-109619）対応状況のご確認
ご担当者様
私のサイト <ドメイン> が動作している PHP 実行環境について、
CVE-2026-109618 および CVE-2026-109619 を修正したリリース
（PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12、またはバックポートを含む
ベンダービルド）に更新済みであること、また更新後に PHP-FPM / LSAPI
ワーカーが再起動されていることをご確認いただけますでしょうか。
私のアカウントが PHP 8.1 以前を使用している場合は、移行可能な
修正済みバージョンを教えてください。
よろしくお願いいたします。名前の由来
「シェル」はハッカー用語でコンピューターの操作権を指します。研究者は組み合わせたエクスプロイトスクリプトを php2shell（PHP からシェルへ）と名付け、その名前が研究全体の呼び名として定着しました。php4shell、pho2shell、php2shel と誤記されることもありますが、「phpshell」と呼ばれる Web シェルスクリプトとは無関係です。
Log4Shell と比べたい？
2021 年の Log4j の騒動を覚えている方も多いでしょう。PHP2Shell との比較はこちら →
よくある質問
PHP2Shell を一言でいうと？+
PHP に見つかった 2 つの深刻なバグです。PHP は多くの Web サイト（ほとんどの WordPress サイトを含む）を動かすプログラミング言語です。インターネット上の第三者が、ログインせずに Web サーバーを乗っ取ったり、メモリ上の機密情報を読み取ったりできます。
PHP とは？+
Web サーバー上で動き、ページを生成するプログラミング言語です。サーバー側の言語がわかっているサイトのうち約 70% で使われています——WordPress、Drupal、Joomla、Wikipedia の MediaWiki、多くのネットショップや社内システムなどです。
RCE（リモートコード実行）とはどういう意味？+
攻撃者がインターネット上のどこからでも、あなたのサーバーに好きな命令を実行させられるということです。実際には、データを盗む、マルウェアを仕込む、サイトを書き換える、他者への攻撃に使う、といったことが可能になります。
PHP2Shell は「PHP シェル」や Web シェルと同じもの？+
違います。Web シェル（phpshell と呼ばれることも多い）は、侵入後に攻撃者がアップロードする悪意のあるスクリプトです。PHP2Shell は脆弱性の名前で、研究者のエクスプロイトスクリプト php2shell にちなんでいます。この脆弱性を使えば、そこまで到達できてしまう可能性があります。
SaaS ツールを使っているだけです。何かすべきですか？+
通常は不要です。修正は事業者の責任です。事業者のステータスページを確認しておきましょう——BambooHR のように修正のため一時停止したところもあります。パスワードの変更は、事業者から求められた場合だけで十分です。
関連ページ
- 概要PHP2Shell（CVE-2026-109618、CVE-2026-109619）の解説：影響を受ける／修正済みの PHP バージョン、バージョンチェッカー、今すぐやるべきこと、各タイムゾーンでのパッチ公開時刻。
- WordPressWordPress サイトは PHP2Shell の影響を受けるか。サイトヘルスで PHP バージョンを確認する方法、プラグイン更新では解決しない理由、ホスティング会社への問い合わせ文面。
- ホスティング会社共有ホスティングやマネージドホスティングでは PHP を自分で更新できません。cPanel や Plesk などでの PHP バージョンの確認・切り替え方法、各社の公表内容、問い合わせるべきこと。