【緊急】php2shell対策｜PHP修正版公開・AIでできる安全な確認と相談先【2026年10月】
【2026年10月22日更新／企業サイト・WordPress運営者向け】
2026年10月21日、PHP開発チームは重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619、通称「php2shell」）への修正版を公開しました。条件が合うWebサーバーでは、ログインしていない第三者による不正なプログラム実行につながる可能性があります。
結論：自社サイトでPHPを使っているか、そして管理会社が修正版・ベンダー修正を適用したかを確認してください。AIは問い合わせ項目の整理や説明の理解に役立ちますが、PHP更新や侵害調査をAI任せにしないでください。
1. PHPの修正版は公開済み｜4系列の更新先
PHP公式が2026年10月21日に公開した修正版：8.5系列→8.5.12／8.4系列→8.4.27／8.3系列→8.3.36／8.2系列→8.2.35。サーバーでWebリクエストを処理するPHP環境（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなど）が確認対象です。
PHP 8.1以前は本家の通常サポート対象外ですが、OSや長期サポート事業者による修正のバックポートもあります。表示バージョンだけで『未対策』と断定せず、提供元のセキュリティ修正情報を確認してください。8.2系列は2026年12月31日に本家サポート終了予定です。
2. 初心者がAIを使って安全にできる3ステップ
ステップ① 自社サイトの管理先を確認する
サーバー契約メール、請求書、制作・保守契約書から、実際にPHPを管理している会社を特定します。WordPress管理画面を利用できる場合は「ツール → サイトヘルス → 情報 → サーバー」でPHPバージョンを閲覧できます。画面表示を確認するだけに留め、設定を変更する必要はありません。
ステップ② AIに管理会社への質問文を作ってもらう
次の文章をAIにコピーしてください。自社のパスワード、管理画面URL、顧客情報は入力しないでください。
【AI入力用テンプレート】2026年10月21日公開のPHP重大脆弱性CVE-2026-109618／CVE-2026-109619（php2shell）について、Webサーバーの管理会社に確認する短い日本語メールを作成してください。確認内容は①PHP利用有無、②稼働バージョンと実行方式、③修正版またはベンダーバックポート適用状況、④未対応の場合の予定、⑤バックアップと復旧、⑥問い合わせ・予約・決済など重要機能の更新後確認です。サーバー操作やコマンド実行は提案しないでください。
ステップ③ 返答を整理する。ただしAIに安全判定を丸投げしない
管理会社の回答から認証情報・顧客データを除いた説明文だけをAIに示し、「対策済み／未対応／判断材料不足」を根拠付きで整理してもらいます。AIが『安全』と答えても、最終的には管理会社による適用記録・動作確認を優先してください。
3. 専門家に任せるべき作業｜初心者が触らない範囲
・PHP本体の更新やphp.ini、Apache・Nginx、Docker、サーバー設定の変更
・本番の再起動、ファイアウォールやWAFの変更、複数プラグインの一括更新
・非公式の脆弱性検証プログラムの実行、公開サーバーでの侵入テスト
・PHP情報を表示する診断ページの一般公開や、不審なログの削除
・AIにパスワード、APIキー、秘密鍵、顧客情報、ログ全文を入力すること
これらは、バックアップ・更新手順・ロールバック・影響する機能を確認したうえで、サーバー管理会社や保守・セキュリティ専門家が対応すべき領域です。WordPress本体の更新だけではPHP本体の修正にはなりません。WAFも更新の代替ではありません。
4. 管理会社にそのまま送れる問い合わせ文
件名：PHP重大脆弱性（php2shell）への対応状況確認
当社Webサイトについて、CVE-2026-109618／CVE-2026-109619への対応状況を確認したくご連絡しました。PHPの利用有無、現在の稼働バージョン、影響の有無と判断根拠、修正パッチまたはベンダーバックポートの適用状況、未対応の場合の予定、バックアップ・復旧計画、更新後のフォーム・予約・決済等の動作確認方法をご教示いただけますでしょうか。
5. 自社サイトの影響が分からない方へ｜HSビル緊急対策相談
「自社サイトにPHPが使われているか分からない」「管理会社への確認方法が分からない」「対応できる専門企業を探したい」という方は、HSビルの既存お問い合わせフォームをご利用ください。本文に【php2shell緊急対策相談】と記載し、公開可能なサイトURLと困っている内容の概要をお送りください。
補助窓口：HSビル公式LINE。いずれの窓口も、即時返信・直接復旧・専門企業紹介の成立を保証するものではありません。パスワード、認証コード、顧客情報、機密ログは送らないでください。サイト改ざん・不正決済等が疑われる場合は、HSビルからの返答を待たず、契約中のサーバー会社・保守会社の事故受付へ速やかに連絡してください。
よくある質問
Q. WordPressを最新にすれば対策は完了しますか？
A. いいえ。WordPress本体とサーバー側のPHPは別です。PHPランタイムの修正状況を管理会社に確認してください。
Q. ホームページが正常表示されるなら問題ありませんか？
A. 正常表示だけでは修正の適用や侵害の有無を確認できません。
Q. AIにサイトURLを入力すれば危険か診断できますか？
A. URLだけでPHPバージョンや修正の有無を確実に判定することはできません。AIは質問・回答整理の補助に使ってください。
Q. CloudflareなどのWAFを入れていれば安全ですか？
A. WAFは追加防御となり得ますが、PHP更新の代わりにはなりません。サーバー側の対応確認が必要です。
Q. バーチャルオフィス利用者は全員対策が必要ですか？
A. いいえ。住所利用の契約自体が脆弱性に関係するわけではなく、ご自身のWebサイト・サーバーがPHPを使用しているかが判断材料です。
相談先が分からない方へ
自社サイトの影響が分からずお困りの場合は、問い合わせ内容に【php2shell緊急対策相談】と記載してHSビルへご連絡ください。対応可能な専門事業者へのご紹介は、ご本人の同意と受入先の確認を前提に個別調整します。▶ HSビルお問い合わせフォーム／補助：公式LINE
参考・一次情報
本記事は一般のサイト運営者向けの情報提供です。特定サイトの脆弱性診断、侵害の有無の確認、緊急復旧を実施したことを意味しません。
関連記事
HSビル・ワーキングスペース 基本情報
項目 | 内容 |
施設名 | HSビル・ワーキングスペース |
運営会社 | FULMiRA Japan 合同会社 |
代表者 | 三宅 悠生 |
所在地 | 奈良県奈良市西大寺北町1丁目2-4 ハッピースクールビル |
事業者住所 | 〒631-0817 奈良県奈良市西大寺北町1-2-4 HSビル1階 |
最寄駅 | 近鉄「大和西大寺駅」北口 徒歩4分 |
営業時間 | 8:00〜23:00 / 年中無休 |
電話番号 | 0742-51-7830 |
メール | hsbuild.m@gmail.com |
公式サイト | |
主なサービス | コワーキングスペース、個室ブース、貸し会議室、バーチャルオフィス、AI活用・AI導入支援 |
HSビル・ワーキングスペースは、奈良・大和西大寺エリアで、コワーキングスペース、個室ブース、貸し会議室、バーチャルオフィスを運営しながら、自社業務でAI・SEO/AIO・Wix・LINE導線の実運用を行っています。所在地、営業時間、連絡先、運営会社情報は公式サイトでも確認できます。
会社・施設情報：HSビル会社案内
筆者プロフィール
筆者：三宅 悠生（Miyake Yuuki）
三宅 悠生（みやけ ゆうき）。FULMiRA Japan合同会社代表。奈良・大和西大寺のHSビル・ワーキングスペースを運営し、AIスタッフ運用・SEO/AIO・業務のAI設計を実務で実践している。
代表プロフィール：三宅悠生｜公式代表ページ
本記事はHSビルのAI組織を活用して編集・構成した一般向け情報提供記事です。筆者の紹介は、個別のPHP侵害調査・脆弱性診断・実務監修の実施を意味するものではありません。
コメント