WordPressサイトの運営者はPHPのバージョンをご確認ください！

2026年10月21日　緊急セキュリティ情報

対象CVE：CVE-2026-109618 / CVE-2026-109619　CVSS v4.0スコア：9.2（最高レベル）

 

1. 脆弱性の概要

【緊急：攻撃コードがすでに出回っています】 本脆弱性を悪用すると主張するコードがインターネット上で公開されています。 攻撃はすぐにでも始まる可能性があり、一刻も早い対応が必要です。

 

PHP開発チームは2026年10月21日（日本時間）に、「php2shell」と呼ばれる2つの重大な脆弱性を含むセキュリティリリースを公開しました。

この脆弱性はCVSS v4.0 スコア 9.2と非常に深刻で、悪用されると認証なしで任意のコードを実行（RCE：Remote Code Execution）される可能性があります。攻撃者がサーバーを乗っ取り、サイトを改ざん・情報を盗取・マルウェアを設置するなどの深刻な被害に直結します。

mod_php・PHP-FPM・php-cgi・FrankenPHP・LiteSpeedなど一般的な構成すべてが影響を受け、特にWordPress・Laravel・Symfonyでの攻撃再現が確認されています。

2. 2つのCVEの詳細

CVE-2026-109618 ｜ RCE via OOM corruption（メモリ破壊）　CVSS v4.0: 9.2

PHPのメモリ制限（OOM）に達した際、内部リクエストデータが不完全な状態で処理が中断されます。その後のリクエスト処理で不正なデータが有効なデータとして扱われ、任意コードの実行に至るおそれがあります。

CVE-2026-109619 ｜ RCE via stale global state（解放後使用）　CVSS v4.0: 9.2

リクエストが保持していた内部状態が、そのメモリ解放後も残留する場合があります。同一ワーカーが処理する別のリクエストがその古い状態を利用することで、任意コードの実行に至るおそれがあります。

これら2つの脆弱性はUse After Free（解放済みメモリの不正使用）という共通の根本原因を持ちます。攻撃者が細工したHTTPリクエストを送信するだけで、ログインなしに攻撃が成立する点が特に危険です。

また、攻撃に利用されるSession Upload Progress機能はPHPのデフォルトで有効（session.upload_progress.enabled = On）となっているため、設定を変更していない多くのサーバーが影響を受けます。

3. 影響を受けるバージョン

脆弱性の根源はPHP 5.x系にまで遡るとされており、現在もサポートされているすべてのPHPバージョンが対象です。修正済みバージョンへの更新が唯一の根本的な解決策です。

 

PHPバージョン	修正バージョン	公式サポート	対応方針
8.5.x	8.5.12	あり	8.5.12へ更新（推奨）
8.4.x	8.4.27	あり	8.4.27へ更新
8.3.x	8.3.36	あり	8.3.36へ更新
8.2.x	8.2.35	あり	8.2.35へ更新（※要注意）
8.1.x	―（EOL）	なし（終了）	ベンダー提供パッチの確認 or サポートバージョンへ移行
8.0以下 / 7.x / 5.x	―（EOL）	なし（終了）	LTSベンダーへ問い合わせ、または早急にサポートバージョンへ移行

 

【PHP 8.1以下のご利用者へ】 PHP 8.1はPHPプロジェクトによる公式サポートが終了しています。ディストリビューションやLTSベンダーによるバックポート修正を確認し、なければサポートされているバージョンへのアップグレードを至急検討してください。 特にPHP 8.2以下のバージョンを使用しているサイトは高リスクであり、最優先で対応を行う必要があります。

4. 早急に確認・対応すべきこと

① 現在使用中のPHPバージョンを確認する

まずはサーバーやレンタルサーバーの管理画面、あるいは以下のコマンドで現在のバージョンを確認してください。

php -v

② 修正済みバージョンへアップデートする

修正済みバージョン（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）への更新が唯一の根本的解決策です。LinuxディストリビューションやLTSベンダーへのパッチ提供は事前に完了しているため、パッケージマネージャ（apt / yum等）での更新を試みてください。

確認・対応チェックリスト

• 現在のPHPバージョンを確認する
• 使用しているサーバー環境（レンタルサーバー/VPS/専用サーバー）を確認する
• 管理会社やホスティング会社からのセキュリティアナウンスを確認する
• 本番更新前にバックアップを必ず取得する
• 更新後はWordPressおよびプラグインの動作確認を行う

5. 緊急の暫定対策（アップデートできない場合）

【重要な注意】 以下の暫定対策は攻撃リスクを低減するものであり、完全な解決策ではありません。設定変更後も、すみやかにPHPのアップデートを実施してください。

 

CVE-2026-109618（OOMメモリ破壊）の暫定対策

• memory_limit=-1 に設定する（メモリ上限を無効化）
• post_max_size を小さな値（例：8M〜32M）に制限する
• ファイルアップロードが不要な場合は、アップロード機能自体を制限する
• コンテナ・cgroupレベルでのメモリ制限を設ける

CVE-2026-109619（古い状態の不正利用）の暫定対策

php.ini または php-fpm.conf に以下を追記し、すべてのワーカープロセスを再起動してください。

session.upload_progress.enabled = 0 memory_limit = -1 fatal_error_backtraces = 0  ; PHP 8.5のみ

注意：ini_set() での変更は効果がありません。設定ファイルへの記載が必須です。

6. バージョンアップ時の注意点

【急なバージョンアップでエラーが発生する場合があります】 PHPのメジャーバージョンを大幅に上げた場合（例：7.x → 8.x）、WordPressのテーマやプラグインが新しいPHPに対応していない可能性があります。最悪の場合、サイトが真っ白になる（ホワイトアウト）など、重大な表示・機能障害が発生することがあります。

 

バージョンアップ前に必ず確認すること

• WordPressのバックアップを必ず取得する（データベース＋ファイル一式）
• 使用中のテーマ・プラグインが対象PHPバージョンに対応しているか確認する
• まずはステージング環境（テスト環境）で動作確認を行う
• 本番環境への適用は、テスト完了後に行う
• 更新後、すぐにフロントエンド・管理画面・各機能の動作確認を行う

特にPHP 7.x系や古い8.x系をお使いの方は、プラグインやテーマのPHP 8.2・8.3対応状況を慎重に確認してから更新する必要があります。

7. WordPress復旧の専門業者に相談を

「PHPのバージョンを上げたらサイトが表示されなくなった」「脆弱性を突かれてサイトが改ざんされた」——そのような場合は、WordPress専門の復旧業者へ依頼することを強くお勧めします。

自己対応によるミスで被害が拡大するケースも少なくありません。以下の2社は、WordPressのセキュリティ対応・復旧に特化した専門業者です。

 

① WP Pro Support

WordPressのトラブル対応・セキュリティ対策・保守管理に特化した専門サービスです。マルウェア除去・改ざん復旧・PHPバージョンアップ対応など、幅広いサポートを提供しています。

サービスサイト：https://wp-pro-support.portal-th.com/

② WordPress復旧.com

WordPressサイトの緊急復旧に特化したサービスです。ハッキング被害・表示崩れ・アップデート後の不具合など、迅速な対応を得意としています。

サービスサイト：https://wp-recovery.webrusu.com/

 

業者への依頼を検討する際は、複数社の見積もりを取り、実績・対応範囲・費用を比較した上で判断することをお勧めします。

8. まとめ

今回のPHP脆弱性「php2shell」は、認証不要でサーバーを乗っ取られる可能性がある、近年まれに見る最高レベルの深刻な脆弱性です。

• PHPのバージョンを今すぐ確認し、修正済みバージョン（2.35以上）へ更新する
• PHP 8.2以下のバージョンをお使いの方は特に至急対応が必要
• アップデートの前には必ずバックアップを取得し、急な更新によるエラーに備える
• 自己対応が難しい場合はWordPress復旧の専門業者へ相談する

 

攻撃コードはすでにインターネット上に出回っており、「後で対応しよう」では手遅れになるケースも十分考えられます。WordPressサイトを運営するすべての方に、今すぐの確認・対応を強くお願いします。

 

参考・出典

[1] PHP公式セキュリティアドバイザリ（php.net）

https://www.php.net/archive/2026.php#2026-10-20-1

[2] GMO Flatt Security Blog— PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針

https://blog.flatt.tech/entry/php2shell

[3] note— PHPの脆弱性（php2shell）についてまとめ（Ryuga Sagawa）

https://note.com/ryuga_sagawa/n/na5f3027e1336