Webサイトの運営に広く使われているプログラミング言語「PHP」で、重大なセキュリティ上の問題が2件見つかりました。
PHPの開発チームは2026年10月20日、これらの問題に対応する修正版を、日本時間10月21日午後11時に公開する予定だと発表しました。
2件とも深刻度が非常に高く、PHPを使用するWebサイトの運営者や開発者に対し、修正版が公開され次第、速やかに更新できるよう準備を呼びかけています。
PHPはWordPressなどのWebサイトにも使われているため、個人ブログの運営者にとっても無関係ではありません。
また、Xではセキュリティ企業による注意喚起や、「php2shell」と呼ばれる映像が投稿され、関心を集めています。
ただし、今回の発表は重大な脆弱性の存在と修正版の公開予定を知らせるものであり、大規模な被害が発生したという発表ではありません。
この記事では、PHPの脆弱性とは何なのか、WordPressへの影響、修正版の公開予定、話題になっている映像、利用者が確認しておきたいことを紹介します。
PHPに重大な脆弱性2件！何が起きた？
2026年10月20日、PHPの開発チームは、PHP本体に重大な脆弱性が2件存在することを発表しました。
脆弱性（ぜいじゃくせい）とは、プログラムに存在するセキュリティ上の弱点のことです。
悪意のある第三者がその弱点を悪用すると、Webサイトの不正操作や情報の流出などにつながるおそれがあります。ただし、今回の脆弱性で実際にどのような攻撃が可能になるかは、公式の事前告知では明らかにされていません。
PHP公式は、脆弱性の詳しい内容や影響を受けるバージョンを、修正版の公開時に発表するとしています。
PHP Foundation公式もXで注意喚起
PHPの開発と普及を支援するPHP Foundationも、公式Xで今回のセキュリティリリースについて発信しています。
投稿では、2件の重大な脆弱性が見つかったことや、修正版の公開予定時刻が案内されています。
▼ PHP Foundation公式の発表
PHP公式の発表内容は、公式サイトでも確認できます。
脆弱性の深刻度は9.2！どれくらい危険なの？
今回見つかった2件の脆弱性は、どちらも「CVSS v4.0」で9.2と評価されています。
CVSSとは、コンピューターやソフトウェアの弱点がどれほど深刻なのかを、共通の基準で評価する仕組みです。
点数は0から10まであり、数字が大きいほど深刻度が高くなります。
| CVSS v4.0の点数 | 深刻度 |
|---|---|
| 0.1～3.9 | 低 |
| 4.0～6.9 | 中 |
| 7.0～8.9 | 高 |
| 9.0～10.0 | 緊急 |
今回の評価は9.2で、最も深刻な「Critical（緊急）」に分類されます。
ただし、この点数は脆弱性の深刻さを示すものであり、すでに攻撃が発生していることや、すべてのWebサイトが被害を受けることを意味するものではありません。
修正版は10月21日23時公開予定！日本企業も注意喚起
PHP公式は、今回の脆弱性に対応するセキュリティリリースを、2026年10月21日14時（UTC）に予定しています。
UTCは世界共通の時刻の基準です。日本時間に直すと、10月21日午後11時になります。
| 項目 | 内容 |
|---|---|
| 公式発表日 | 2026年10月20日 |
| 修正版の公開予定 | 2026年10月21日 |
| UTC | 14:00 |
| 日本時間 | 23:00 |
| 脆弱性の件数 | 2件 |
| 深刻度 | いずれもCVSS v4.0で9.2 |
PHP公式は、脆弱性の詳しい情報が事前に公表された場合や、実際の悪用が確認された場合には、予定より早く修正版を公開する可能性があることも説明しています。
GMO Flatt Securityも日本語で注意喚起
日本のサイバーセキュリティ企業「GMO Flatt Security」も、公式Xで今回の問題を取り上げています。
日本時間10月21日23時に修正パッチが公開される見込みとして、PHPを利用している人に対応準備を呼びかけています。
修正パッチとは、ソフトウェアの不具合やセキュリティ上の問題を修正するための更新プログラムです。
▼ GMO Flatt Securityの注意喚起
PHPとは？WordPressやブログにも使われている
PHPは、WebサイトやWebサービスを動かすために使われるプログラミング言語です。
例えば、Webサイトにアクセスした際に記事を表示したり、入力された情報を処理したりする仕組みに使われています。
身近な例として、ブログや企業サイトの作成に使われる「WordPress」があります。
WordPressはPHPを使って動作するため、WordPressを利用している人も、今回の情報を確認しておく必要があります。
WordPressを使っているだけで危険なの？
WordPressを利用しているという理由だけで、すべてのサイトが今回の脆弱性の影響を受けると断定することはできません。
理由は、PHP公式の事前告知では影響するバージョンが発表されていないためです。
PHPには複数のバージョンがあり、今回の問題がどのバージョンに存在するのかは、公式の修正版情報を確認する必要があります。
海外のセキュリティ企業SlowMistも警告
今回の脆弱性については、日本だけでなく海外のセキュリティ関係者も注意を呼びかけています。
ブロックチェーンなどのセキュリティ分野で活動するSlowMistも、公式Xで今回のPHPの問題を取り上げています。
脆弱性の詳細が公開された後には、攻撃者がその情報を利用する可能性もあるため、PHPを運用する人は更新情報を確認することが重要です。
▼ SlowMist公式の注意喚起
ただし、セキュリティ企業が注意を呼びかけていることは、攻撃被害が発生したことを意味するものではありません。
「php2shell」とは？Xで話題の動画は本物なのか
今回のPHP脆弱性に関連して、Xでは「php2shell」という言葉を使った動画も投稿されています。
投稿者はKirill Firsovさんで、今回の脆弱性と関連するものとして映像が紹介されています。
「shell（シェル）」とは、コンピューターに命令を出すための仕組みのことです。
ただし、「php2shell」という名称が今回の脆弱性の正式名称としてPHP公式に認められているわけではありません。
また、投稿された映像が実際に今回の2件の脆弱性を利用したものかどうかも、確認できていません。
話題になっているX投稿
Kirill Firsovさんによる投稿はこちらです。
「php2shell」のデモとされる映像
動画部分へのリンクはこちらです。
注意：この映像については、実際の攻撃を記録したものなのか、検証用のデモなのか、今回のPHP脆弱性と直接関係するものなのかを確認できていません。
そのため、動画の存在だけを根拠に「PHPの脆弱性がすでに悪用されている」「攻撃方法が公開された」などと断定することはできません。
海外のセキュリティ番組「Risky Business」でも話題に
今回のPHPの重大な脆弱性は、海外のセキュリティ専門番組「Risky Business」でも取り上げられています。
2026年10月21日付の第856回では、PHP Foundationが2件の重大な問題に対応する修正パッチを公開する予定であることが話題になっています。
この番組では、PHP以外にも暗号化技術やサイバー攻撃など、さまざまなセキュリティニュースを紹介しています。
Risky Business 第856回の動画
番組の公式ページに掲載されているYouTube動画はこちらです。
英語の番組であり、PHPの脆弱性だけを扱った動画ではありません。
番組の概要や関連リンクは、以下の公式ページでも確認できます。
Risky Business公式：第856回の動画と番組情報
日本のIPAも注意喚起！何を呼びかけている？
日本の情報処理推進機構（IPA）も、2026年10月21日に今回の問題について注意喚起を公開しています。
IPAは、日本国内の情報セキュリティ対策などを支援する公的機関です。
今回の注意喚起では、PHPのセキュリティリリースが日本時間10月21日23時に予定されていることを案内しています。
PHPを利用する組織や開発者に対し、修正版が公開された後に速やかに適用できるよう準備を呼びかけています。
PHP 5以降が影響する可能性も？
オーストラリア政府のサイバーセキュリティ機関「Australian Cyber Security Centre（ACSC）」も、今回の問題について注意喚起を行っています。
同機関は、PHP 5以降のバージョンが影響を受ける可能性に言及しています。
ただし、PHP公式が影響するすべてのバージョンを確定したという意味ではありません。
正式な対象バージョンや修正済みバージョンは、PHP公式の発表を確認する必要があります。
CVE番号とは？
ACSCは、今回の問題に関連する識別番号として、次の2件を紹介しています。
- CVE-2026-109618
- CVE-2026-109619
CVEとは、セキュリティ上の問題を区別するために付けられる識別番号です。
ただし、PHP公式の事前告知では、これらの番号と2件の脆弱性との対応関係について詳細が発表されていません。
Australian Cyber Security Centre：PHPの重大な脆弱性について
WordPress利用者は何をすればいい？
WordPressでブログやWebサイトを運営している場合、まず確認しておきたいのは、現在利用しているPHPのバージョンです。
① WordPressのPHPバージョンを確認する
WordPressの管理画面から、次の手順で確認できます。
- WordPressの管理画面にログインする
- 「ツール」を選択する
- 「サイトヘルス」を開く
- 「情報」タブを選択する
- 「サーバー」の項目を開く
- 「PHPバージョン」を確認する
利用中のバージョンを控えておけば、修正版が公開された際に影響を受けるかどうか確認しやすくなります。
② レンタルサーバー会社の案内を確認する
エックスサーバーなどのレンタルサーバーを利用している場合は、契約しているサーバー会社からの案内も確認してください。
サーバー会社によって、PHPのバージョンを利用者が変更する場合と、提供会社側で更新を行う場合があります。
今回の脆弱性に対して、どのような更新が必要なのかは公式発表とサーバー会社の説明を確認する必要があります。
③ 更新前にバックアップを取る
PHPのバージョンを変更する場合は、事前にWordPressのファイルとデータベースをバックアップしておくと安心です。
PHPを更新すると、古いプラグインやテーマが対応しておらず、不具合が発生する場合があります。
ただし、今回のような重大なセキュリティ問題への対応を必要以上に遅らせないことも重要です。
④ WordPress本体の更新とは別に確認する
WordPress本体やプラグインを最新の状態にしていても、PHPそのものが更新されるとは限りません。
WordPressとPHPは別のソフトウェアだからです。
WordPressの更新通知が表示されていない場合でも、PHPの状態は別途確認する必要があります。
PHPの脆弱性はすでに悪用されている？
今回の問題について、実際の攻撃が確認されているかどうかも重要です。
オーストラリア政府のACSCは、今回の脆弱性に関連した活動中の悪用について、注意喚起の時点では把握していないと説明しています。
ただし、攻撃が確認されていないことと、攻撃が絶対に起きていないことは同じではありません。
また、Xで関連動画が公開されていることだけを理由に、攻撃が実際に行われていると判断することもできません。
今後、PHP公式から技術的な情報が公開されることで、状況が変わる可能性があります。
現時点で分かっていること・分かっていないこと
PHP公式の事前発表を中心に、公開前の情報を整理しました。
| 項目 | 確認できる内容 |
|---|---|
| 脆弱性の件数 | 2件 |
| 深刻度 | いずれもCVSS v4.0で9.2 |
| 修正版公開予定 | 2026年10月21日23時（日本時間） |
| 影響するバージョン | PHP公式の事前告知では未公表 |
| 修正済みバージョン | 公開時に発表予定 |
| 具体的な攻撃方法 | PHP公式の事前告知では未公表 |
| WordPressへの影響 | 利用するPHPのバージョンなどによって異なる |
| 「php2shell」の映像 | 今回の脆弱性との直接的な関係は未確認 |
| 悪用状況 | ACSCは注意喚起時点で活動中の悪用を把握していないと説明 |
この表は修正版公開前の公式告知に基づいています。公開後には対象バージョンや修正内容について、新しい情報が発表される可能性があります。
まとめ
PHPの開発チームは、重大な脆弱性2件への対応として、2026年10月21日23時（日本時間）にセキュリティリリースを公開する予定だと発表しました。
2件ともCVSS v4.0で9.2と評価され、深刻度は最も高い「Critical」に分類されています。
PHPはWordPressをはじめ、多くのWebサイトで使用されているため、個人ブログや企業サイトの運営者も注意が必要です。
XではPHP Foundationやセキュリティ企業の注意喚起に加え、「php2shell」と呼ばれる映像も話題になっています。
ただし、この映像が今回の脆弱性と直接関係するかどうかは確認されていません。
まずは利用中のPHPバージョンを確認し、PHP公式と契約しているレンタルサーバー会社からの更新情報を確認することが重要です。
コメント