「PHP2Shell」というPHPの重大な脆弱性のニュースを見て、自分の会社も関係するのか、不安になった方もいると思います。
「ホームページは制作会社に任せている」「WordPressなら使っている」「ネットショップは普通に開ける」。そんな場合、何を確認すればよいのでしょうか。
まず確かめたいのは、自社のサイトが今回の問題に関係するか、必要な修正が済んでいるか、誰が確認しているかの3つです。 専門的な設定を自分で変更する必要はありません。制作会社や保守担当に聞くべきことを、この記事で整理します。
レイズでも今回、自社のサーバーと、お客様のサイト・業務システムの確認を進めました。サイトが再び開けたときは、ほっとしました。ただ、その後も確かめることが残っていました。実際の対応で分かったことを交えながら、経営者・Web担当者が確認する10項目を紹介します。
公開・情報確認日：2026年10月23日。PHP2Shellの呼称と対象CVEは2026年10月25日に追記・確認しました。提供元の対応状況は更新されるため、ご契約先の最新案内も確認してください。
この記事の目次を見る
PHP2Shellとは？ WordPressを使っている会社にも関係します
PHPは、ホームページやWebシステムを動かすために、サーバーの中で使われるソフトウェアです。WordPressもPHPを使っています。自分でプログラムを書いたことがなくても、会社のサイトを通じて利用していることがあります。WordPress公式の動作要件
PHP2Shellは、PHP本体の2つの脆弱性（CVE-2026-109618・CVE-2026-109619）の通称です。 2026年10月21日に修正が公表されました。発見元Wizの解説
PHP2Shellは、条件によっては外部の第三者がサーバー上で不正な処理を実行できる、というものです。サイトの改ざんや情報への不正なアクセスにつながるおそれがあり、修正への対応が必要です。PHP公式の注意喚起
ただし、PHPを使うすべてのサイトで被害が起きた、という意味ではありません。自社の状況を一つずつ確認しましょう。
まず担当者に聞きたい3つのこと
急いで確認するなら、サイトのURLを添えて、制作会社・保守担当・サーバー会社に次の3点を聞いてください。
- このサイトは、PHP2Shell（CVE-2026-109618・CVE-2026-109619）について確認が必要ですか？
- 必要な修正は済んでいますか？ このサイトにも適用されたと確認できていますか？
- こちらで行うことや、まだ確認できていないことはありますか？
回答が「確認中」でも、確認する人と次に連絡をもらう時期が分かれば、状況を追えます。未修正の場合は、修正予定と、それまでの公開継続・アクセス制限の扱いも相談してください。IPAの対策案内
自社の状況を確認する10項目
1．自社のホームページは、PHPを使っていますか？
WordPressを使っていれば、PHPも使っています。それ以外のサイトでも、お問い合わせフォームや予約機能など、一部だけで使っている場合があります。
分からなければ、制作会社にURLを伝えて確認します。見た目や、URLの末尾だけでは判断できません。
2．会社案内のサイト以外も、確認に入っていますか？
ネットショップ、採用サイト、ブログ、予約ページ、昔作ったキャンペーンページ、社内で使うWebシステム。会社のトップページ以外にも、確認が必要な場所があります。
レイズでも、公開サイトと業務システムを分けて確認しました。一つの確認が済んでも、別の契約・別の仕組みで動くサイトに、その結果をそのまま当てはめることはできません。
3．契約しているサービスから、対応完了の案内は出ていますか？
サーバー会社やネットショップの提供元によって、利用者が操作する場合と、提供元がまとめて修正する場合があります。古い障害案内だけでなく、最新のお知らせと、自社の契約プランが対象かを確認してください。
例えば、お名前.comは2026年10月22日20時45分時点で、対象プランの修正完了を発表しています。PHPの表示バージョンを変えずに修正を取り込んだため、利用者自身によるバージョン変更は不要と案内しています。お名前.comの対応完了のお知らせ
レイズの自社サーバーでも、この点を確認しました。画面に出ている番号だけで「未対応だ」と決めず、自社の契約に対する修正状況を確かめることが大切です。
4．「対応済み」は、自社のサイトまで確認した結果ですか？
「サーバー会社が対応したそうです」という伝聞で止めず、自社のサイトにも修正が適用されているか、担当者に確認してもらいます。複数のサイトがある場合は、それぞれの結果が必要です。
レイズは自社のサーバー2環境で、提供元の完了案内と、実際にサイトを動かしているPHPの状態を照合しました。経営者が同じ技術作業をする必要はありません。「うちのサイトも確認できていますか」と聞いてください。
5．更新する場合、バックアップと復旧方法は用意されていますか？
自社側で更新する必要がある場合は、更新直前のデータと設定を保存し、不具合が起きたときに誰が復旧するかを決めます。ネットショップなら、更新中に入った注文をどう扱うかも確認します。
レイズの支援先でも、業務アプリの更新前にバックアップを取り、更新後に設定と主要画面を確認しました。
ただし、修正前のPHPへ戻すと今回の問題も戻る場合があります。復旧時の公開範囲や、修正済み環境へ移す方法まで担当者と相談してください。
6．トップページだけでなく、仕事に使う機能も動きますか？
サイトが開けても、注文、お問い合わせ、予約、管理画面のログインなどが動くとは限りません。普段使う人と一緒に、重要な機能を確かめます。
確認するなら、例えば「問い合わせが送れるか」だけでなく、「担当者に届いたか」まで。購入テストは実注文や請求を発生させる場合があるため、店舗担当者と方法を決めて行います。
7．見覚えのない変更や、不審な通知はありませんか？
知らない管理者が増えている、ページの内容が変わっている、心当たりのないログイン通知が来た。こうした異変があれば、画面や通知を残して担当者に連絡してください。原因が分からないまま、記録を消したり初期化したりするのは避けます。
PHPの修正と、過去に不正なアクセスがなかったかを調べる作業は別です。JPCERT/CCも、修正とあわせて侵害の調査を呼びかけています。異変が見つからないことだけで、被害がなかったとは断定できません。JPCERT/CCの注意喚起
8．WordPressの更新も、担当者が確認していますか？
WordPress本体、テーマ、プラグインの更新状況も確認します。更新を保留しているなら、理由と対応予定を聞いてください。
レイズでは、支援先のWordPressで必要なプラグイン更新を進め、表示・管理画面・独自機能の保護を確認しました。更新通知が消えたかだけでなく、普段使う機能の動作確認も担当者に依頼してください。
WordPressやプラグインの更新だけでは、PHP2Shellへの対策は完了しません。 PHPの対応状況は、3・4の項目で確認してください。PHP公式の修正案内
9．管理画面のパスワードや、二段階認証は見直せますか？
今回のPHP対応とは別に、管理画面の入口も見直す機会です。使い回しているパスワードがあれば、そのサービス専用の長いものへ変更し、対応しているサービスでは二段階認証を使います。
レイズの支援先では、利用者が使い慣れているメールで確認コードを受け取る方式を導入し、実際にログインできたところまで確認しました。設定を増やすだけでなく、普段使う人が無理なく使えることも大切です。メール方式では、コードの受信先となるメールアカウントの保護も必要になります。
二段階認証を導入しても、PHPの修正は必要です。
10．確認した結果を、次の担当者にも引き継げますか？
「多分大丈夫だったと思う」にならないよう、URL、確認日、確認した人、結果、残っている作業を一か所に記録します。提供元の案内や回答も一緒に残します。
レイズでも、確認できた環境と、提供元への追加確認が必要な環境を分けて管理しています。回答待ちがある場合は、担当者と次の確認日を決めます。
今回の対応で、レイズが大切だと感じたこと
一番難しかったのは、何かのボタンを押すことより、自分たちでできる作業と、提供元の対応を待つ作業を見分けることでした。
管理画面に入れない時間もありました。その間も、確認するサイトや機能を整理し、提供元の案内を追い、再開後に何を確かめるかを準備しました。
また、サーバーの修正、WordPressの更新、管理画面の認証は、それぞれ担当する範囲が違います。一つ終わるたびに何が確認できたかを残すことで、次にすることがはっきりします。
お客様の業務システムでは、二段階認証を設定した後、実際の利用者からログインできたとの連絡をいただきました。技術的な設定と、日々の仕事で使えること。その両方を確かめて進めることが必要だと感じています。
どこに聞けばよいか分からない方へ
制作会社や保守担当がいる場合は、まずこの記事の「3つの質問」を伝えてください。
「担当者がいない」「返事をもらっても、自社が対応済みか分からない」という場合は、レイズでも確認をお手伝いします。
初回は1社1サイトを無料で確認し、分かること・追加確認が必要なこと・対応が必要なことを整理します。URLだけでは判断できない場合は、契約先の案内や設定情報など、必要な確認事項をご案内します。更新作業が必要な場合は、内容と費用を事前にお見積もりします。
参考情報
今回の対象：PHP2Shell（CVE-2026-109618、CVE-2026-109619）。公式情報は2026年10月23日、呼称と対象CVEは2026年10月25日に追加確認しました。
