宜野湾の事務所で、10月21日の夕方にPHP公式のニュースを開いたとき、先に浮かんだのは用語より、更新担当が空欄のままの会社サイトでした。修正は2件。認証なしで、サーバー側の命令を実行されうる、という書き方です。WordPressの画面の不具合ではありません。
英語圏の通称は php2shell です。米国CISAが、この2件をまとめてそう呼んでいます。PHP公式の告知本文には、この通称は出てきません。深刻度は、事前告知の時点で2件とも CVSS v4.0 の 9.2 です。
自分は宜野湾で、WordPressのホームページを作って、公開のあともPHPを見てきました。この種類の告知は、たまに出ます。今回は温度が違います。公式がリスクが最も高いと書いた Apache の mod_php では、認証のないリクエストが、アプリケーションのコードが動く前に通りうる、と実証の話まで書いています。直す本筋は、WordPressの「更新」ボタンではなく、PHPそのものです。
管理画面を最新にしても、サーバーのPHPが古ければ、今回の穴は開いたままです。HTMLだけのページでも、同じサーバーがPHPを外から動かしているなら、無関係とは言い切れません。自分は、この告知を読んだ週に様子見はしません。すでに日本中がやられている、とも書きません。
同じ日の夕方に、自分の言葉で先に置いた記録は PHPの重大な脆弱性、WordPressは大丈夫？ です。このページは、沖縄の会社サイトで、WordPressの保守を続けるか、Astroで公開面を作り直すか、の判断に寄せて書き直しています。攻撃のやり方は書きません。
2026年のPHP脆弱性は、WordPressの更新では届かない
対象は、ウェブのリクエストを処理しているPHPです。WordPressの「更新」は、WordPressのファイルを入れ替えます。PHPのプログラムは、サーバー側の更新です。ここを取り違えると、管理画面は最新なのに穴だけ残ります。
2026年10月20日、PHPのセキュリティチームは、翌21日に重大な修正を出す、と事前告知しました。予定時刻は 14:00 UTC です。実際の修正版は2026年10月21日に公開されました。分単位の時刻は、PHP公式のニュース一覧にはありません。CERT-EUは 13:30 UTC、ENISAは 13:40 UTC と書いていて、出典がずれています。日付は10月21日、として扱います。Google Cloudの同日の説明では、調査側として Wiz Research の名前が出ています。
番号は次の2件です。
- CVE-2026-109618（GHSA-w8hw-w9fx-j79w）。メモリ不足の処理の途中で、リクエストの内部データが中途半端なまま残り、あとからそれを正しいデータとして扱ってしまう、という問題です。
- CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）。リクエストが使っていた内部状態が、メモリを解放したあとも残り、同じ作業プロセスが次のリクエストでその古い状態を使ってしまう、という問題です。
PHP公式は、どちらも認証なしの遠隔コード実行につながりうると書いています。AWSは、そのPHPの作業プロセスの権限で、命令の実行、そのプロセスから見えるデータの読み取り、処理の停止が起きうる、と整理しています。Google Cloudは、メモリ上の情報が見えてしまう可能性にも触れています。どこまでが実証で、どこからが影響の説明かは、出す組織ごとに違います。
ログインがいらない、というのが今回の重さです。公式が名前を挙げているのは、PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed です。Nginxそのものに穴がある、という話ではありません。Nginxが PHP-FPM へ渡しているなら、渡した先のPHPが対象です。PHP Foundationは、mod_php では初期設定のままで遠隔コード実行が示された、と書き、PHP-FPM の遠隔コード実行はアプリケーション側の経路を通った確認、と分けています。「どのサイトでも、プログラムが一行も動く前に必ず侵入される」とは、公式は言っていません。
コマンドの php -v は、ウェブで動いているPHPと違うことがあります。ウェブ側は、WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」に近いです。
実証コードが公開の場に出始めた、という記述は CERT-EUの2026-018 にあります。CISAは、10月21日の公表時点では悪用を観測していない、と書いています。攻撃通信の観測、実証コードの流通、実際の侵害。この三つは別です。日本国内の被害が確認された公的発表は、原稿をまとめている10月22日の時点では見つけられていません。未確認は、急がなくてよい、という意味ではありません。実証コードが出始めた週に、古いPHPをインターネットへ向けたままにする理由は、自分には見つかりません。
一時的な設定変更は、PHP公式の2026年ニュース が「特定の経路への露出を下げるが、安全にはしない」と書いています。完全な対策は更新だけ、とも書いています。WAF（ウェブアプリケーションファイアウォール。不審な通信を手前で落とす仕組み）も、更新までの一部の保護にはなりえます。入れただけで直った、とは扱いません。
影響するPHPのバージョン
いまサポート中の 8.2、8.3、8.4、8.5 は、それぞれ指定の版以降へ上げる話です。8.1以前は、PHPプロジェクトの通常の修正リリースはありません。
| 系統 | 影響として整理されている範囲 | 公式の修正版 |
|---|---|---|
| 8.5 | 8.5.0〜8.5.11 | 8.5.12 |
| 8.4 | 8.4.0〜8.4.26 | 8.4.27 |
| 8.3 | 8.3.0〜8.3.35 | 8.3.36 |
| 8.2 | 8.2.0〜8.2.34 | 8.2.35 |
| 8.1以前 | 通常の修正リリースはなし | 7.4 / 8.0 / 8.1 はソースの最小差分。OSのパッケージは別 |
範囲の整理は、AWSのセキュリティ掲示と Google Cloud の同日の説明に沿っています。8.2は、2026年12月31日でこの系統のセキュリティ修正が終わる、と 8.2.35 のリリース文に書いてあります。今回の修正が入っても、この系統に居続ける判断は年末までの話です。
Ubuntu、Red Hat、Debian、国内のレンタルサーバーが、10月22日の時点でどのパッケージを配り終えたかは、一件ずつ確認できていません。配り終えた連絡が来るまで「うちは大丈夫」にはしません。確認先は、サーバー会社の案内と、契約中の管理画面です。
WordPressを使っているサイトは、保守で塞ぐ
WordPressを使っていること自体が、今回の欠陥ではありません。それでも、そのWordPressを動かしているPHPが古く、外からリクエストを受けているなら、対象の真ん中です。本体とプラグインが最新でも、PHPが 8.5.11 まで、8.4.26 まで、8.3.35 まで、8.2.34 までなら、今回の修正は入っていません。
プラグインの放置は、別の入口です。今回の話と混ぜると、「WordPressが悪い」で終わります。直す場所が違います。予約も更新もあるサイトなら、自分は先にPHPを上げて、そのあと毎月見る人を決めます。静的化は、その次の選択です。
レンタルサーバーでは、利用者がPHPを自分でコンパイルする契約は少ないです。切り替え画面がある会社もあれば、会社側がまとめて上げる会社もあります。国内のどの社が上げ終えたかの一覧は、この記事では未確認です。見るものは、サーバー会社のメール、管理画面のお知らせ、サイトヘルスのバージョン、の三つです。沖縄の会社サイトでも、この三つが空欄のまま週末に入るのを、自分は何度も見ています。
制作会社に聞くなら、一文ずつで足ります。ウェブで動いているPHPの版。誰が更新する契約か。8.5.12、8.4.27、8.3.36、8.2.35、またはベンダーのバックポートを、いつ入れるか。入れたあとに、管理画面とフォームと予約が開くかを誰が見るか。ログイン情報をチャットで全部送る必要はありません。
WordPressの保守で、今回に限って自分が見るのは次です。ウェブ側のPHPの版。修正版か、サーバー会社の対応済み案内があるか。8.1以前なら、上げるのか、バックポートに乗るのか。バックアップは、上書きする前の世代が残っているか。更新のあと、トップ、フォーム、予約が開くか。来月も、同じ版を見る人がいるか。
更新の責任が納品のあとに空欄になる構造は、WordPressの格安制作と、あとからかかる費用 に書いています。保守の中身の話は、沖縄の社長さんのためのWordPress保守 です。作り方そのものは、WordPressホームページ制作・リニューアル です。
PHPの版が分からない、上げる人がいない、管理画面には入れるがサーバーは触ったことがない。その状態のまま、ボタンを勘で押す必要はありません。WordPressを残して、今回のPHPから毎月の更新までを見る相談は、お問い合わせ・無料相談 で受けています。セキュリティの完全な検査を約束するページではありません。版と、担当と、日付を切り分ける入口です。宜野湾は対面、県外はオンラインです。
PHPを使っていないように見えるサイト
「PHPが入っている」ことと、「インターネットから、そのPHPにリクエストが届く」ことは別です。届かなければ、今回の告知の主対象ではありません。届くなら、見た目がHTMLでも対象になりえます。
WordPressを静的HTMLに書き出しても、元の管理画面や xmlrpc.php が同じサーバーで生きていれば、PHP側は残ります。止めるところまでが作業です。PHPを実行しないホスティングなら、その配信経路については今回の穴を踏みません。フォームの送信先が別のPHPなら、送信先は別です。
Astroで作り直すのは、PHPを上げたあとの選択
移した方がよいサイトと、WordPressのまま保守した方がよいサイトが、両方あります。今回の脆弱性を、静的化の強制理由にはしません。先に塞ぐのは、いま外に向いているPHPです。
セキュリティだけを見ると、ページを開くたびにPHPとデータベースが動かない構成の方が、今回のような言語本体の穴は踏まない方向です。維持は、更新の手間が減るかわりに、記事の出し方が変わります。表示は、できあがったHTMLを渡すので速くしやすいです。SEO（検索エンジン最適化。検索結果にどう出るかの設計）は、URLとタイトルと本文と案内文を保てば維持できることが多いです。移すときにアドレスを変える、本文を薄くすると、落ちます。速さそのものが順位を保証するわけではありません。
フォームは、静的HTMLだけではメールを受け取れません。外部のフォームか、別の小さな受け口が要ります。週に何本も記事を出す、会員だけが見る、在庫と連動している。そのサイトは、管理画面が残るWordPressを保守する方が素直です。お知らせ程度で、公開面からPHPを外したいサイトは、作り直しの候補です。
静的サイトを組み立てる道具には、Astro、Hugo、Eleventyなどがあります。Astroは、必要なページだけを先にHTMLへ組み立て、必要なところにだけプログラムを載せる考えの道具です。自分は、官公庁のサイトも、大手のサイトも、Astroで作ってきました。庁名や社名は、公開してよいものだけが外に出ます。ここでは、その実績がある、という事実だけ置きます。自分が納品している静的の土台は Astro です。Hugo と Eleventy を、いつでも同じ条件で納品している、とは書きません。
1993年頃からの実務で、政府・官公庁のWebやシステムはプロジェクトマネージャーとしても見てきました。2025年には、WordPress公式オーガナイザーの認定を受けています。同じ宜野湾の拠点で、次世代のDX人材・デジタルクリエイター育成として、沖縄のマインクラフト・プログラミング教室 クロスウェーブ を宜野湾・うるま・北谷で直営しています。今回の記事は、その現場から、PHPの版と、公開面をPHPの上に置き続けるかを分けて書いています。経歴の固定ページは 会社概要・プロフィール です。
三つの選び方を、同じ条件で置きます。
WordPressを続けて、PHPと本体とプラグインとバックアップを見る。予約や会員や、頻繁な更新があるなら、こちらが先です。今回の件は、PHPを上げれば足ります。上げる人がいないなら、保守の契約が先です。
いまのWordPressを静的HTMLへ書き出す。見た目とURLを大きく変えたくないときの途中です。書き出したあとに元のWordPressを同じ公開領域へ残すと、PHPは残ります。
Astroで、公開面から作り直す。ページ数が読めて、更新はお知らせ程度、速度と、PHPを毎回動かさないことを優先するときに候補です。初期の作り直し費用はかかります。役割の分け方は、WordPressとAstroの役割分担 に条件で書いています。制作の入口は、本格Webサイト制作・デザイン と、ホームページ制作 宜野湾 です。
Astroにしたあとも、見なくてよい、にはなりません。減るのは、PHPとデータベースを毎回動かす面です。残るのは、ホスティングの公開設定、ドメインとDNS、外部のJavaScript、フォームのアカウント、部品のライブラリ、GitHubなどの権限、バックアップ、改ざんや停止の見回りです。「静的にしたからセキュリティは終わり」は、PHPの話を別の放置にすり替えただけ、になります。
PHPを上げてWordPressを残すか、公開面をAstroで作り直すか。URLと、更新の頻度と、予約の有無が分かれば、どちらが先かはその場で切れます。Astroでの制作の相談も、同じ お問い合わせ・無料相談 です。見積は、ページ数とフォームと、元のWordPressを止めるかどうかで変わるので、この記事では金額を書きません。
放置すると、入口は何段にも増える
今回のPHPだけの話ではありません。WordPress本体の更新が止まると、本体側で直った不具合が残ります。プラグインとテーマは、作者が更新をやめた瞬間に、直す人がいないコードになります。PHPのサポート終了は、言語そのものに修正が来なくなる段です。今回の8.1以前が、その段にいます。
管理者アカウントが退職者のメールのままだと、パスワードの再設定も、サーバー会社への本人確認も止まります。バックアップが「どこかにあるはず」だと、戻す先がありません。今回の2件で、日本の顧客情報が漏れた、という確認は取れていません。漏えいの一般論と、今回の穴は、同じ恐怖の文章には混ぜません。
管理者がいないとき、パスワードの連打はロックされるだけで、PHPは古いままです。先に残るのは、ドメイン名、サーバー会社、ドメイン管理会社、最後に触った人です。契約者の確認ができないと、中の更新は始まりません。
よく聞かれること
WordPressを最新にすれば、今回は終わりますか
終わりません。WordPressの更新はファイルの入れ替えです。PHPはサーバー側です。両方を、担当が違う作業として分けます。
レンタルサーバーなら、自動で上がりますか
会社によります。メール、管理画面のお知らせ、サイトヘルスの版。この三つが揃うまで、上がったとは置きません。
静的サイトなら、もうPHPは関係ありませんか
PHPへ処理を渡していない配信なら、今回の穴は踏みません。元のWordPressが同じサーバーに残っていれば、PHPは残ります。絶対に安全、とも言いません。
保守と、Astroでの作り直しは、同時に必要ですか
同時ではありません。予約や更新が多いサイトは、先にPHPを上げて保守します。お知らせ程度で、公開面からPHPを外したいサイトは、Astroが候補です。どちらも、今週の版を空欄にしない、が先です。
被害は、もう出ていますか
CISAは、10月21日の公表時点では悪用を観測していない、と書いています。CERT-EUは、実証コードが流通し始めた、と書いています。日本での被害確認は、10月22日のこの原稿の時点では未確認です。
参照した公開情報
確認日は2026年10月22日です。書いた人は鈴木孝昌、沖縄ホームページ制作工房WEBCRAFTSです。
- PHP公式ニュース 2026
- PHP Foundation
- CISA（php2shellの呼称、公表時点では悪用を未観測）
- 英国NCSC
- IPAの事前準備のお願い（公開前。影響版は当時未確定）
- CERT-EU 2026-018
- 同じ日のNote
未確認のまま残しているもの。NVDのスコア内訳、JPCERT/CCとJVNの個別掲載、国内レンタルサーバー各社の対応完了、10月22日以降の悪用観測、WordPress.org自身の声明、です。この記事は、個別サーバーの侵入調査の手順書ではありません。
Web制作から、WordPressの保守、Astroでの作り直しまで、エンジニアの視点で成果につながる仕組みの構築を支援します。見た目だけでなく、更新担当と、PHPの版と、問い合わせが届く先まで含めて決める、という意味です。
「PHPの版が分からない」「WordPressは残したいが、上げる人がいない」「公開面はAstroで作り直したい」。分かる範囲のURLだけで足ります。沖縄県内は対面、県外はオンラインでお伺いします。
保守の中身は 沖縄の社長さんのためのWordPress保守 、作り直しの条件は WordPressとAstroの役割分担 に置いています。
沖縄ホームページ制作工房WEBCRAFTS
代表：鈴木 孝昌
（エンジニアとしての長年の現場経験・政府・官公庁案件PM・日本ソフトウェア大賞・Google／Meta本社招聘 等）
次世代のDX人材・デジタルクリエイター育成事業：沖縄のマインクラフト・プログラミング教室 クロスウェーブ（宜野湾・うるま・北谷直営）
沖縄県宜野湾市伊佐2-20-15 伊佐ビル2F
会社概要・プロフィール
沖縄で教育版マインクラフトを使ってプログラミングを学ぶ｜クロスウェーブ
沖縄のRoblox（ロブロックス）プログラミング教室｜クロスウェーブ
(c) 2012-2026 WEVA. All Rights Reserved.