セキュリティ情報

公開日：2026年10月22日

PHPの重大な脆弱性「php2shell」に関する注意喚起と対策について

2026年10月21日、WEBサイトやWEBアプリケーションで広く利用されているプログラミング言語「PHP」において、極めて深刻なセキュリティ上の脆弱性が公表されました。

今回発見された脆弱性は「php2shell」と呼ばれ、悪意のある第三者が外部からサーバー上で不正なプログラムを実行できる可能性があります。
PHPを利用したWEBサイトや業務システムを運用されている企業・組織においては、早急な確認と対策を推奨いたします。

今回公表された脆弱性は、以下の2件です。

いずれも深刻度を示すCVSS v4.0のスコアが「9.2（緊急）」と評価されており、認証を必要とせず、外部から攻撃を受ける可能性があります。

攻撃が成功した場合、次のような被害が発生するおそれがあります。

特に、インターネット上に公開されているPHPベースのシステムでは、迅速な対応が求められます。

PHPを利用するWEBサイトやWEBアプリケーションが対象となります。
代表的な例として、WordPress、Laravel、Symfony、Drupal、Joomlaなどを利用したシステムが挙げられます。

これらのソフトウェア自体を最新版に更新していても、サーバー側のPHPに脆弱性が残っている場合は、影響を受ける可能性があります。
PHPの開発チームから、以下の修正版が公開されています。

特にPHP 5系、PHP 7系などの古いバージョンは、公式サポートが終了しているため注意が必要です。

なお、OSやホスティング事業者が独自にセキュリティ修正を提供している場合もあるため、利用環境に応じた確認が必要です。

PHPを利用しているシステム管理者の方には、以下の対応を推奨いたします。

PHPの設定変更による緩和対応を実施してください。

現在利用しているPHPのバージョンを確認し、脆弱性が修正されたバージョンへの更新を実施してください。

PHPのバージョンアップによって既存のWEBサイトや業務システムに影響が生じる可能性があります。事前にバックアップを取得し、検証環境で動作確認を行ったうえで更新してください。

WAF（WEBアプリケーションファイアウォール）による攻撃の検知・遮断は、リスク低減に有効な場合があります。ただし、WAFのみで完全に防御できるとは限らないため、PHP自体の修正が必要です。

PHP 7系など、公式サポートが終了したバージョンを継続利用している場合は、今回の脆弱性への対応だけでなく、システム全体の更新や移行を検討してください。