【PR】この記事にはアフィリエイト広告が含まれています。

2026年10月、Webサイトを動かす仕組みとして広く使われている「PHP」に、重大な脆弱性（セキュリティ上の弱点）が見つかりました。通称は「PHP2Shell」です。WordPressのブログを持っている人にも関係するニュースですが、専門用語が多くて分かりにくいと感じた人も多いと思います。

この記事では、何が起きたのか、自分のサイトは大丈夫なのか、何をすればよいのかを、専門家でない人向けにできるだけかみ砕いて説明します。あわせて、対応の早さが話題になっていたエックスサーバーの動きも、公式発表をもとに整理します。

内容は2026年10月30日時点で、IPA（情報処理推進機構）とエックスサーバーの公式発表を確認したものです。状況は変わることがあるので、最新の情報は公式サイトで確認してください。

先に結論：レンタルサーバーでWordPressを使っている人は

  • まず、契約しているレンタルサーバー会社のお知らせを確認します。PHPは多くの場合、サーバー会社が管理しています。エックスサーバーのレンタルサーバーでは、会社側で対策が済んでいます。
  • WordPressやプラグインを更新しても、この弱点は直りません。直す必要があるのは、その下で動いているPHPそのものです。
  • VPSなど、自分でサーバーを管理している人は、自分でPHPを更新する必要があります。

そもそもPHPとは

PHPは、Webサイトの裏側で動くプログラミング言語です。WordPressもPHPで作られています。ブログを開いたときに、記事の一覧を並べたり、ログイン画面を表示したりする処理は、サーバーの上でPHPが動いて作っています。

つまり、WordPressのブログを持っている人の多くは、意識していなくてもPHPを使っていることになります。

何が起きたのか：PHP2Shellという弱点

項目内容
通称PHP2Shell
正式な番号CVE-2026-109618、CVE-2026-109619
何ができてしまうか遠く離れた第三者が、サーバーの上で好きなプログラムを動かせてしまうおそれがある
対象PHP 8.2〜8.5の、修正版より前のバージョン。PHP 5.4以降の古いバージョンも、少なくとも一部が影響を受ける可能性がある
修正版PHP 8.2.35、8.3.36、8.4.27、8.5.12
悪用の状況2026年10月26日（米国時間）、米国の政府機関CISAが「実際に悪用された脆弱性」の一覧に追加。IPAは、国内での被害事例は把握していないとしている

「好きなプログラムを動かせてしまう」とは、たとえるなら、お店の裏口の鍵が壊れていて、外から誰でも入って勝手に機械を操作できてしまう状態です。サイトの書き換えや、情報の持ち出し、ほかへの攻撃の踏み台にされるおそれがあります。

注意したいのは、PHP 8.1以前はすでに公式のサポートが終わっていて、公式の修正版が出ないことです。古いPHPのまま使っている場合は、サポート中のバージョンへの更新を考える必要があります。

自分のサイトは大丈夫？確認すること

1. どこでサイトを動かしているか

使い方PHPを管理するのはやること
レンタルサーバー（共用サーバー）多くの場合、サーバー会社契約先のお知らせを確認し、案内があればそれに従う
VPS・クラウドサーバー自分PHPのバージョンを確認し、修正版へ更新する
WordPress.comなどのサービス型サービス会社サービス側のお知らせを確認する

2. PHPのバージョン

WordPressの管理画面では、「ツール」→「サイトヘルス」→「情報」→「サーバー」で、使っているPHPのバージョンを確認できます。レンタルサーバーの管理画面にも、PHPのバージョンを確認・切り替えるメニューがあります。

3. やってはいけないこと

慌ててPHPのバージョンを大きく変えると、古いテーマやプラグインが動かなくなり、サイトが表示されなくなることがあります。まずは契約先の案内を確認し、バージョンを変える場合は、バックアップを取ってから行ってください。

エックスサーバーはどう対応したか

私が見ていた範囲でも、エックスサーバーの対応の早さは話題になっていました。公式発表をもとに、時系列で整理します。

日時（2026年）エックスサーバーの対応
10月21日 12:00まで修正版の公開を待たずに、緩和策（被害を防ぐための応急処置）を実施。サーバーは動かしたまま
10月21日 16:00予防のため、公式サイトや管理画面などを一時停止。お客様のサイト表示やメールは止めずに継続
10月21日 23:00ごろPHPの修正版が公開される
修正版の公開後PHP 8.2〜8.5に順次修正を適用。サポートが終わった古いバージョンにも対象を広げる
10月22日 9:30ごろ〜管理画面などを順次再開。20:10ごろから公式サイトと新規申し込みも再開
10月26日 6:20までPHP 5.1〜8.5の対象サーバーすべてへの対応を完了

ポイントは3つです。

  • 修正版が出る前に、応急処置を済ませていた。
  • お客様のサイト表示やメールは止めなかった。止めたのは公式サイトや管理画面などです。
  • サポートが終わった古いPHPにも、設定中のバージョンを変えずに修正を当てた。古いPHPを使っている人も、急いでバージョンを変えずに済みました。

エックスサーバーは、レンタルサーバーの利用者に対して、今回の対策としてPHPのバージョン変更を急ぐ必要はないと案内しています。一方、XServer VPSなどのVPSは、OSやPHPの管理がお客様側のため、自分で修正版への更新などを行う必要があります。

なお、ほかのレンタルサーバー各社も、それぞれ緊急メンテナンスや修正の適用を行っています。対応の内容やタイミングは会社によって違うので、契約先のお知らせを確認してください。

サーバー選びで、今回のことから分かること

レンタルサーバーを使う大きな利点は、今回のようなPHP本体の弱点に、サーバー会社が代わりに対応してくれることです。自分でサーバーを管理するVPSは自由度が高い一方で、こうした更新も自分の仕事になります。

これからブログを始める人は、料金や速さだけでなく、「何かあったときにどう対応してくれる会社か」も、選ぶ基準に入れてみてください。

エックスサーバーの料金・プランは公式サイトで確認できます

独自ドメインを複数お持ちの方にお勧めのレンタルサーバー！

ちなみに、このサイトは2026年10月から、WordPressを使わない静的サイトとしてCloudflareで運用しています。PHPを使っていないので、今回の弱点の影響は受けていません。WordPressで始めたころの手順は、こちらの記事にまとめています。

まとめ

  • PHP2Shellは、PHPそのものの重大な弱点。WordPressの更新では直らない
  • レンタルサーバーなら、まず契約先のお知らせを確認する。エックスサーバーのレンタルサーバーは対応済み
  • VPSなど自分で管理している場合は、自分でPHPを修正版へ更新する
  • PHP 8.1以前は公式サポートが終わっているので、サポート中のバージョンへの更新を考える

参考にした公式情報（2026年10月30日確認）

END OF NOTEほかのノートを読む ↗