PHPに重大な脆弱性「PHP2Shell」が発覚！WordPressサイト運営者が今すぐ確認したいセキュリティ対策

ホームページの制作や運用に欠かせないプログラミング言語の一つが「PHP」です。
WordPressをはじめ、多くのWebサイトやWebシステムで利用されています。

しかし、2026年10月21日、PHPに関する2件の重大な脆弱性（通称「PHP2Shell」）が公表され、国内外で注意喚起が行われました。

今回の脆弱性が悪用されると、外部の第三者によってサーバー上で任意のコードを実行され、その結果、Webサイトの改ざんや情報漏えい、サーバーの不正利用などにつながるおそれがあります。

国内でも1,000件以上のWebサイト・サービスが一時停止

2026年10月に公表されたPHP2Shellの脆弱性を受け、国内でも多くの企業やサービスが緊急対応を実施しました。
株式会社アシュアードが運営する脆弱性管理サービス「yamory」の調査を紹介した報道によると、2026年10月26日時点で、国内のWebサイトやオンラインサービスなどの停止告知は累計1,090件に達したとされています。

その中には、企業のホームページだけでなく、スマートフォンアプリやオンラインサービスなども含まれています。

なお、これらすべてがサイバー攻撃による被害を受けたわけではありません。
脆弱性の悪用による被害を未然に防ぐため、システムの安全確認や更新を目的として、予防的にサービスを一時停止したケースもあります。

つまり、PHPの脆弱性はホームページだけの問題ではなく、普段利用しているアプリやオンラインサービス、企業の業務システムにも影響する可能性があるのです。

自社のホームページやWordPressが安全な状態で運用されているか、PHPのバージョンやセキュリティ設定を改めて確認することが重要です。

そもそもPHPとは？

PHPを料理店に例えると、お客さんの注文に合わせて料理を作る「厨房の料理人」のような存在です。
例えば、ラーメン店を想像してみてください。

お客さんが「醤油ラーメンをください」と注文すると、料理人はレシピを確認し、必要な材料を用意してラーメンを作ります。
そして、完成した料理をお客さんに提供します。

Webサイトも、これと似た仕組みで動いています。

ユーザーがWebサイトのページを開くと、PHPがプログラムに従ってデータベースから必要な情報を取得し、HTMLを生成します。
そのHTMLをブラウザに送ることで、ユーザーがページを閲覧できるようになります。

つまり、料理人が注文に合わせて料理を作るように、PHPはユーザーの操作や要求に応じてWebページを生成しているのです。

もし料理人が使う調理器具や作業手順に問題があれば、料理を正しく作れなくなるだけでなく、厨房を悪用される危険もあります。

PHPも同様に、プログラムに脆弱性（セキュリティ上の弱点）があると、攻撃者に悪用され、サーバー上で不正なプログラムを実行される可能性があります。

そのため、WordPressなどのWebサイトを安全に運営するには、見た目やデザインだけでなく、裏側で動作するPHPも定期的に更新し、適切に管理することが大切です。

PHPのセキュリティを高めるために実施したい5つの対策

PHPを安全に利用するためには、脆弱性が発見された際に速やかに対応することが重要です。

WordPressを運営している場合は、PHPだけでなく、WordPress本体やプラグイン、テーマ、サーバー環境も含めてセキュリティ対策を行う必要があります。

1. PHPを修正済みのバージョンに更新する

重要な対策の一つが、PHPを脆弱性の修正が適用されたバージョンに更新することです。
今回のPHP2Shellでは、2026年10月21日に次のバージョンで修正が提供されました。

• PHP 8.5系：8.5.12以降
• PHP 8.4系：8.4.27以降
• PHP 8.3系：8.3.36以降
• PHP 8.2系：8.2.35以降

なお、PHP 8.1以前はPHPプロジェクトによる通常のセキュリティサポートが終了しています。
利用しているサーバーやOSの提供元が修正パッチを提供しているか確認し、必要に応じてサポート対象のバージョンへの移行を検討しましょう。

また、PHPを更新する際には、WordPress本体やプラグイン、テーマとの互換性を事前に確認することも大切です。

2. WordPress本体・プラグイン・テーマを更新する

PHPを更新しても、WordPress本体やプラグインに別の脆弱性が残っていれば、Webサイトが攻撃される可能性があります。
そのため、次の項目を定期的に確認し、常に適切な状態を維持しましょう。

• WordPress本体を最新の状態にする
• プラグインを最新版に更新する
• 使用しているテーマを更新する
• 利用していないプラグインやテーマを削除する

特に、長期間更新されていないプラグインや、開発・サポートが終了したテーマには注意が必要です。

3. サーバーのセキュリティ設定を見直す

Webサイトを運営するサーバーにも、適切なセキュリティ設定が必要です。
例えば、次のような対策が挙げられます。

• 不要なポートやサービスを停止する
• 管理画面へのアクセスを制限する
• WAF（Web Application Firewall）を導入する
• ファイルやディレクトリのアクセス権限を適切に設定する
• サーバーのOSやミドルウェアを更新する

WAFは、Webサイトへの不正な通信や攻撃を検知・遮断するための仕組みです。
ただし、PHP自体の脆弱性を修正するものではありません。

WAFなどによる防御だけに頼るのではなく、PHPやサーバーソフトウェアの更新と組み合わせて対策することが重要です。

4. 定期的にバックアップを取得する

万が一、Webサイトが不正アクセスや改ざん、サーバー障害などの被害を受けた場合に備えて、定期的にバックアップを取得しておきましょう。
バックアップでは、次のデータを保存することが重要です。

• WordPressのファイル一式
• 画像やアップロードファイル
• データベース
• テーマやプラグインなどの設定情報

また、バックアップデータはWebサーバーとは別の場所にも保管し、定期的に正常に復元できるか確認しておくことが大切です。

5. 管理画面のログイン情報を適切に管理する

WordPressの管理画面への不正アクセスを防ぐためには、ログイン情報の適切な管理も欠かせません。
具体的には、次のような対策を実施しましょう。

• 推測されにくい強固なパスワードを設定する
• 他のサービスと同じパスワードを使い回さない
• 二要素認証を導入する
• 不要な管理者アカウントを削除する
• ログイン履歴や不審なアクセスを定期的に確認する

こうした対策を組み合わせることで、管理画面への不正アクセスのリスクを軽減できます。

PHPの脆弱性対策だけでは不十分？UTMによるネットワーク防御も重要

PHPの更新やWordPressのセキュリティ対策は、Webサイトを守るために欠かせません。

しかし、企業のセキュリティ対策はWebサイトだけを守れば十分というわけではありません。
社内ネットワークやパソコン、業務用サーバーなど、企業のIT環境全体を保護することも重要です。

そこで注目したいのが、UTM（統合脅威管理）です。

UTMとは？

UTMとは、複数のセキュリティ機能を一つにまとめ、ネットワークを包括的に保護する仕組みです。
主に次のような機能を備えています。

これらの機能を組み合わせることで、社内ネットワークに対するさまざまな脅威への対策を強化できます。

PHPの脆弱性対策とUTMを組み合わせるメリット

PHPの更新とUTMは、守る対象や役割が異なります。
例えば、PHP2Shellのような脆弱性への対策では、PHP自体を修正済みのバージョンに更新することが基本です。

一方、UTMはネットワークを通過する通信を監視し、不正なアクセスや攻撃の兆候を検知・遮断する役割を担います。

ただし、UTMを導入すればPHPの脆弱性がなくなるわけではありません。
また、UTMがすべての攻撃を防げるわけでもありません。

特に、レンタルサーバーなど社外の環境でホームページを運用している場合、社内に設置したUTMが外部サーバーへの攻撃を直接防御できるとは限りません。

PHPやWordPressの更新を基本としながら、UTMによる社内ネットワークの保護も組み合わせることで、企業全体のセキュリティ対策を強化できます。

企業のWebサイトと社内ネットワークを守るために

今回のPHP2Shellのような脆弱性は、Webサイトを運営する企業にとって、日頃のセキュリティ対策を見直すきっかけになります。
PHPやWordPressの定期的な更新に加え、社内ネットワークへの不正アクセス対策やウイルス対策なども重要です。

特に、顧客情報や業務データを取り扱う企業では、Webサイトだけでなく、社内のパソコンやネットワーク環境も含めた総合的なセキュリティ対策が求められます。

セキュリティ対策の見直しはドリームオフィスにご相談ください

企業のセキュリティ対策は、一つの機器やソフトウェアを導入すれば完了するものではありません。
Webサイトの管理、パソコンのウイルス対策、社内ネットワークの保護など、それぞれの環境や運用状況に合わせた対策が必要です。

ドリームオフィスでは、企業のネットワーク環境やセキュリティ対策に関するご相談を承っています。

「社内ネットワークのセキュリティを強化したい」「UTMの導入を検討している」「現在のセキュリティ対策で十分なのか不安」といったお悩みがありましたら、お気軽にご相談ください。

企業のIT環境や運用状況に合わせたセキュリティ対策をご提案し、安心して業務を続けられる環境づくりをサポートします。