WordPress · PHP2Shell
自分の WordPress サイトは PHP2Shell の影響を受ける？
ホスティング会社がまだ PHP を更新していなければ、影響を受ける可能性が高いです。WordPress は公開デモの対象の 1 つでしたが、バグは PHP にあります。重要なのはサーバーの PHP バージョンで、WordPress のバージョンやプラグインではありません。
最終確認 2026-10-22
WordPress を更新しても直りません
PHP2Shell は WordPress の下にある PHP 本体の問題です。研究者は公式イメージ wordpress:latest で、認証不要のリモートコード実行を実証しました。重要なのはサーバーが使っている PHP のバージョンで、それを更新できるのはサーバーを管理している人だけです。
1. WordPress で PHP バージョンを確認する
サイトを実際に配信している PHP が表示されます。重要なのはこのバージョンです。
- wp-admin にログインし、ツール → サイトヘルス を開きます。
- 情報 タブに切り替え、サーバー を開きます。
- PHP バージョン を確認します（例：「8.3.6 (Supports 64bit values)」）。
- 管理者権限がない場合、多くのホスティング管理画面でサイトごとの PHP バージョンを確認できます。
wp eval 'echo PHP_VERSION, PHP_EOL;' # WP-CLI
php -v2. 照らし合わせる
バージョン、php -v の出力、またはサーバー群のバージョンを 1 行に 1 つずつ貼り付けてください。処理はすべてブラウザ内で行われます。
CLI と Web サーバーは別の PHP ビルドを使っていることがあります。Web サーバーが実際に使っているバージョンを確認してください：php-fpm -v（または php-fpm8.3 -v）、もしくは対象サイトで phpinfo() を表示。
| ブランチ | 脆弱 | 修正版 |
|---|---|---|
| 8.5 | < 8.5.12 | 8.5.12 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.2 | < 8.2.35 | 8.2.35 |
| 8.1 · 8.0 · 7.4 | すべて | ソースのバックポートのみ |
| 5.4 – 7.3 | すべて | 修正なし |
3. パッチを適用してもらう
共有／マネージドホスティング
PHP の更新はホスティング会社が行います。管理パネルで最新の PHP バージョンを選び、パッチ適用と再起動を確認してもらいましょう。ホスティング向けガイド →
自社サーバー、VPS、コンテナ
あなた（または開発者）が PHP を更新し、PHP-FPM／Apache を再起動します。修正ガイド →
件名：PHP2Shell（CVE-2026-109618 / CVE-2026-109619）対応状況のご確認
ご担当者様
私のサイト <ドメイン> が動作している PHP 実行環境について、
CVE-2026-109618 および CVE-2026-109619 を修正したリリース
（PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12、またはバックポートを含む
ベンダービルド）に更新済みであること、また更新後に PHP-FPM / LSAPI
ワーカーが再起動されていることをご確認いただけますでしょうか。
私のアカウントが PHP 8.1 以前を使用している場合は、移行可能な
修正済みバージョンを教えてください。
よろしくお願いいたします。WordPress マネージドホスティング
WordPress 向けマネージドホスティング（WP Engine、Kinsta、WordPress.com / Pressable、SiteGround など）は PHP を代わりに管理しており、多くはこちらの操作なしにプラットフォーム全体でパッチを当てます。Automattic は、公開前にガイダンスの準備を支援したパートナーの 1 社でした。
各社のパッチ適用状況は個別には確認していません。ホスティング会社のステータスページやお知らせを確認するか、上の文面を送ってください。
プラグインとテーマ
PHP2Shell を引き起こすプラグインも、直すプラグインもありません。プラグインの無効化、テーマの変更、wp-config.php の強化をしても、危険度は変わりません。セキュリティプラグインは PHP がリクエストを解析した後に動くため、その時点ではもう手遅れです。
4. パッチ適用後
- WordPress で PHP バージョンをもう一度確認してください——修正版が表示されるはずです（またはバックポート済みのビルドであることをホスティング会社に確認）。
- しばらく無防備な状態だった場合は、管理者パスワードとサイト設定に保存されている API キーを変更し、見覚えのない管理者ユーザーや新しい PHP ファイルがないか確認してください。検知ガイド →
よくある質問
自分の WordPress サイトは PHP2Shell の影響を受けますか？+
8.5.12、8.4.27、8.3.36、8.2.35 より前の PHP で動いている（かつホスティング会社が修正済みパッケージを入れていない）なら、受けます。WordPress のバージョン、テーマ、拡張機能は関係ありません——バグは PHP にあります。
WordPress を更新すれば PHP2Shell は直りますか？+
直りません。WordPress の更新で変わるのはアプリケーションで、その下の PHP 実行環境ではありません。WordPress は引き続き最新に保つべきですが、修正にはサーバー管理者による PHP の更新が必要です。
攻撃者に管理者アカウントは必要ですか？+
不要です。実証された攻撃は認証前に成立します。ログインも特別なプラグインやモジュールも不要で、サイトへの HTTP リクエストだけで済みます。
WordPress の自動更新で PHP の修正は入りますか？+
入りません。WordPress 本体やプラグインの自動更新が PHP 実行環境に触れることはありません。PHP はホスティング会社かサーバー管理者が更新します。
Wordfence のようなセキュリティプラグインで守れますか？+
セキュリティプラグインは WordPress の中で、PHP がリクエストを解析し終えた後に動きます——このバグに対しては遅すぎるため、PHP2Shell は止められません。サイトの手前に WAF（例：Cloudflare）を置くほうが効果的ですが、修正はあくまで PHP の更新です。
WooCommerce を使っています。より深刻ですか？+
リスクは同じですが、被害は大きくなりえます。メモリ漏えいにより、PHP のメモリ上にある顧客のセッション、管理者の Cookie、決済サービスの API キーが漏れる可能性があります。漏えいが疑われる場合は決済サービスのキーを再発行してください。
関連ページ
- PHP2Shell とは？PHP とは何か、リモートコード実行とはどういう意味か、PHP2Shell がなぜ深刻か、サイト運営者や SaaS 利用者が実際に何をすべきかを専門用語なしで説明します。
- ホスティング会社共有ホスティングやマネージドホスティングでは PHP を自分で更新できません。cPanel や Plesk などでの PHP バージョンの確認・切り替え方法、各社の公表内容、問い合わせるべきこと。
- 修正・パッチ適用PHP2Shell の修正手順：Ubuntu、Debian、Sury、RHEL、Remi、Alpine、Docker、cPanel EasyApache、Plesk、Homebrew、Windows。再起動と確認方法、PHP 8.1 以前の場合の対応も。
- WordPressWordPress サイトは PHP2Shell の影響を受けるか。サイトヘルスで PHP バージョンを確認する方法、プラグイン更新では解決しない理由、ホスティング会社への問い合わせ文面。
- DrupalDrupal サイトは PHP2Shell の影響を受けるか。ステータスレポートや Drush で PHP バージョンを確認する方法、Drupal の更新では解決しない理由、ホスティング会社への確認事項。
- JoomlaJoomla サイトは PHP2Shell の影響を受けるか。システム情報で PHP を確認する方法、Joomla の更新では解決しない理由、ホスティング会社への確認事項。