PHPの脆弱性「php2shell」、うちのホームページは大丈夫？　5分でできる確かめ方

10月21日に発表されたPHPの脆弱性「php2shell」。ホームページを持つ中小企業・個人事業主の方が、自分で何を確認すればいいか（PHPのバージョンの確認方法と、古かったときの対処）を、専門用語を使わずにまとめました。

ニュースを見て「うちのホームページは大丈夫？」と気になった方もいると思います。

先に結論を書くと、多くの方は、契約しているレンタルサーバーの会社がもう直してくれています。ただ一部だけ、自分で確かめたほうがいいケースがあります。

見るのは「PHPのバージョン」ひとつだけです。

php2shellって何？　PHPって何？

PHPは、ホームページの裏側で動いている仕組みのひとつです。

お店にたとえると、お客さんから見える売り場ではなく、バックヤードで注文を受けて品物を用意する係のようなものです。WordPressや、お問い合わせフォーム、ネットショップの多くがPHPで動いています。

今回見つかった弱点（脆弱性）は、外から悪い人がこの係に勝手に指示を出せてしまう、というものです。「php2shell」は、その弱点につけられた呼び名です。正式な番号は CVE-2026-109618 と CVE-2026-109619 の2つで、深刻度は10点満点で9.2とのことです。

影響は大きく、10年以上続いてきたオンラインゲームが2本、「古い仕組みで十分な対策がとれない」として、そのままサービスを終了しました（ITmedia NEWS、4Gamer）。

うちは関係ある？　まず作り方で分かれます

ホームページをどう作ったかで、やることが変わります。

• Wix・Jimdo・STUDIO・ペライチなどで作った ➡ サービスの会社が対応する話です。自分で設定することは、ほぼありません
• WordPressで作った、制作会社にレンタルサーバーで作ってもらった ➡ 次の章へ
• 分からない ➡ 作ってもらった会社か担当の方に「PHPの脆弱性の件、うちは大丈夫ですか？」と一言聞くのがいちばん早いです

うちのサイトはPHPを使っている？　見分け方

いちばん確実なのは作った会社に聞くことですが、自分でも目安はつけられます。次のどれかに当てはまれば、PHPを使っている可能性が高いです。

• ページのURLの最後が「.php」になっている（例：/contact.php）
• WordPressで作っている（管理画面のURLに「/wp-admin/」が入る）
• サイトの中にお問い合わせフォームがあり、送ると自動で返信メールが届く
• ネットショップや予約の仕組みを、自分のサーバーで動かしている

ただし、どれにも当てはまらなくても「PHPを使っていない」とは言い切れません。PHPで動いていても、URLにも画面にも出てこないのが普通です。迷ったら、次の章の管理画面を見るか、作った会社に聞いてみてください。

PHPのバージョンの確認方法

レンタルサーバーで動いているサイトなら、見るのはひとつです。PHPのバージョンが8.2以上かどうか。

今回、PHPを作っている側が直した版を出したのは、8.2・8.3・8.4・8.5の4つだけでした。8.1より前の版は、もう面倒を見てもらえる期間が終わっていて、公式の直しは出ません。

確認方法1　WordPressの管理画面から

WordPressで作ったサイトなら、いちばん簡単です。

1. WordPressの管理画面にログインする
2. 左のメニューの「ツール」➡「サイトヘルス」を開く
3. 上の「情報」タブ ➡「サーバー」を開く
4. 「PHPバージョン」の行を見る

確認方法2　レンタルサーバー（エックスサーバーなど）の管理画面から

エックスサーバーなら、サーバーパネルの「PHP Ver.切替」です。ドメインごとに今のバージョンが出ています。うちのサーバーも、ここで見たらすべて8.3.36（直した版）になっていました。

ほかのレンタルサーバーでも、管理画面に「PHP」と書かれたメニューがあるはずです。見つからなければ、サーバー会社のヘルプで「PHP バージョン」と検索してみてください。

サーバー会社の対応

エックスサーバーは、10月22日の朝6時45分の時点で、8.2〜8.5を使っているサーバーには直しを入れ終えたと発表しています。そのあと夜までに、7.4〜8.1と5.6〜7.3にも独自の直しを入れ終えたと発表しました（公式Xの「メンテナンス状況について」④⑤）。10月23日の昼の時点でも、残っているのは5.5より前の版だけで、こちらは直しを準備中とのことです（エックスサーバーのお知らせ）。

エックスサーバーで5.6以上を使っていれば、利用者が急いでやることは今のところありません。ただ、8.1より前は、PHPを作っている側に面倒を見てもらえない版であることは変わりません。次にサイトを触るときに、8.2以上への切り替えを相談しておくと安心です。

ほかのサーバー会社も、それぞれお知らせを出しています。対応の進み方は会社ごとに違うので、契約先のお知らせを一度見ておくと安心です。

常陸大宮の事業者のサイト68件を、外から見てみた

では、地元では実際どうなのでしょうか？

10月の初めに、公開されている市内の事業者の一覧から、ホームページ68件を外から調べていました。今回の発表を受けて、同じ68件のPHPのバージョンを見てみました（10月22日の夕方）。

見えた4件は、発表の翌日にはもう直った版になっていました。サーバーの会社がすぐに動いてくれたのだと思います。

気になったのは残りの3件です。とくに5.3は、2014年に面倒を見てもらえる期間が終わった版です。12年前の仕組みで、今も動いていることになります。

正直に書いておくと、61件は外から見えなかっただけで、安全だという意味ではありません。バージョンを隠しておくのは、むしろ良い設定です。ここは中を見ないと分かりません。

8.1より前だったら、どうする？

慌てなくて大丈夫です。順番はこうです。

1. サーバーの会社のお知らせを見る（独自の直しが入ったかどうか）
2. 作ってもらった会社に連絡して、8.2以上に切り替えられるか聞く
3. 切り替えるときは、必ずバックアップを取ってから

切り替え自体はボタンひとつです。ただ、古いWordPressやお問い合わせフォームは、切り替えると画面が真っ白になることがあります。元に戻せるようにしてから触るのが安心です。

5.3・7.4・8.0など、版ごとの目安

エックスサーバーの場合で、版ごとにまとめるとこうなります（10月23日時点）。

とくに5.3などの古い版は、8.2以上に切り替えると、そのままでは動かないことが多いです。切り替えというより、作り直しも含めた相談になると思っておいてください。

ほかのサーバー会社では、対応が違うことがあります。契約先のお知らせで、自分の版がどう扱われているかを見てください。

作った会社と連絡がつかない、という方もいると思います。そういうときは、うちでも見られます。

よく聞かれること

WordPressを最新にしていれば大丈夫？

いいえ。今回の弱点はWordPressではなく、その下で動いているPHPのほうにあります。WordPressが最新でも、PHPが古ければ関係があります。

制作会社に保守をお願いしています。何かやることはありますか？

「PHPのバージョンはいくつですか？」と一度聞いておくと安心です。保守の中身に、PHPの更新が入っていないこともあります。

Wix・Jimdo・ペライチ・STUDIOで作ったサイトは？

サーバーの管理はサービスの会社がしているので、利用者が設定を変えることはありません。PHPのバージョンを選ぶ画面も、そもそもありません。

10月23日に探した範囲では、Jimdoやペライチから今回の件についてのお知らせは見つかりませんでした。気になるときは、使っているサービスのお知らせやヘルプを見てみてください。

静的なHTMLだけのサイトは？

PHPを使っていないので、今回の件は関係ありません。ただ、お問い合わせフォームだけPHPで動いている、という作りはよくあります。

今回の件で思ったこと

ゲーム2本の終了は、ちょっと衝撃でした。何年も遊んできた人にとっては、突然の別れです。

ホームページも同じで、ふだんは何の問題もなく動いています。だから、中が古くなっていても気がつきません。止まるのは、こういう「事件」のときです。

止まる前に、一度だけバージョンを見ておく。5分で終わる確認です。

最後までお読みいただきありがとうございます。

参考にした情報（10月23日時点）

• ITmedia オルタナティブ・ブログ（修正版の公開と、自分のサーバーでの検証）
• GMO Flatt Security Blog（php2shellの概要と対応指針）
• THREE D PLUS（エックスサーバーの対応の時系列）
• エックスサーバーのお知らせ（PHPの版ごとの対応状況）

あわせて読みたい

• ホームページのサーバーは誰の名義？　制作した9本が私ひとりの契約に乗っていた
• WordPressを10本作った制作者が、新規制作で使わなくなった理由
• ホームページのご相談はこちら