記事 · 2026年10月30日

PHP2Shell とは？ WordPress サイトで確認すること、やること

PHP 本体の重大な脆弱性 PHP2Shell（CVE-2026-109618、CVE-2026-109619）。WordPress を更新しても直りません。影響の確認方法、ホスティング会社への聞き方、乗っ取りのサインまで。

2026年10月20日に、PHP 本体の重大な脆弱性「PHP2Shell」の情報が出回り、翌日に修正版が公開されました。すでに攻撃も確認されています。WordPress を使っている方に関係するのは、次の一点です。

これは WordPress の不具合ではなく、PHP の不具合です。WordPress やプラグインを更新しても直りません。直すのは PHP です。

PHP2Shell とは

PHP2Shell は、PHP の二つの脆弱性（CVE-2026-109618 と CVE-2026-109619）の通称です。深刻度はどちらも 9.2（CVSS v4.0、10 段階で「緊急」）。

細工したリクエストを一つ送るだけで、ログインなしにサーバー上で攻撃者のコードを動かせる可能性があります。しかも WordPress が読み込まれる前、PHP の中で起きるので、WordPress 側の設定やセキュリティプラグインでは防げません。サーバーのメモリの中身（パスワードやセッション情報など）が漏れるおそれも指摘されています。

影響を受けるのは PHP 5.4 から 8.5 まで。つまり、ほぼすべての WordPress サイトです。

自分のサイトは影響を受ける？

WordPress の管理画面で ツール → サイトヘルス → 情報 を開きます
サーバー の項目で PHP バージョン を確認します
次の表と比べます

PHP のバージョン	修正済みのバージョン
8.5	8.5.12 以上
8.4	8.4.27 以上
8.3	8.3.36 以上
8.2	8.2.35 以上
8.1 以前	公式の修正なし（ホスティング会社の対応次第）

ひとつ注意があります。Ubuntu などのサーバー OS では、バージョン番号を変えずに修正だけを取り込むことがあります。番号が古く見えても修正済みの場合があるので、最終的にはホスティング会社に確認するのが確実です。

Ubuntu のサーバーの場合

Ubuntu では、PHP のバージョン表示は「8.3.6」のままでも、パッケージが新しければ修正済みです。目安は次のとおりです（Ubuntu の公式発表より）。

Ubuntu	修正済みのパッケージ
26.04 LTS	`8.5.4-0ubuntu1.5`
24.04 LTS	`8.3.6-0ubuntu0.24.04.13`
22.04 LTS	`8.1.2-1ubuntu2.28`
20.04（ESM）	`7.4.3-4ubuntu2.29+esm5`

VPS などを自分で管理している場合は、sudo apt update && sudo apt upgrade で更新し、PHP を再起動します。

やること

ホスティング会社に確認する：「PHP2Shell（CVE-2026-109618、CVE-2026-109619）の修正は、私のサーバーに適用されていますか？」と聞けば十分です。対応状況をお知らせページで公開しているホスティング会社も多いので、先に確認してみてください
管理画面で PHP を上げる：PHP のバージョンを自分で選べるサーバーなら、8.2 以上の修正済みバージョンに切り替えます
PHP 8.1 以前を使っているなら、これを機に上げる：公式の修正はもう出ません。Meow Apps のプラグイン（AI Engine、SEO Engine、Media Cleaner など）は PHP 8.1 から 8.5 で動くので、更新の妨げにはなりません

切り替えたら、念のためサイトの表示と管理画面を一通り確認してください。

乗っ取られていないか確認する

PHP を直しても、修正の前に入り込まれていた場合は、それでは消えません。攻撃者はよく、隠れた管理者アカウントや小さな裏口ファイルを残していきます。

ユーザー の一覧に、見覚えのない管理者がいないか
プラグイン に、入れた覚えのないものがないか
Google で site:あなたのドメイン と検索して、身に覚えのないページ（スパムや怪しい商品ページ）が出てこないか
Google Search Console の セキュリティの問題 に警告がないか
wp-content/uploads の中に .php ファイルがないか（ここは画像や書類の置き場所で、PHP ファイルはふつう入りません）

何か見つかったら、ホスティング会社か専門の業者に相談してください。慌てて消すより、まず状況を記録するほうが大切です。

なお、最近のマルウェアには、管理画面のユーザー一覧から自分を隠すものもあります。一覧に何もなくても安心はできません。詳しい確認と対処の順番は、WordPress が乗っ取られたかも？にまとめました。

AI に確認を手伝ってもらう

AI Engine の MCP で Claude や ChatGPT をつないでいるなら、上の確認の多くを会話で頼めます。読み取り専用（Read-only）の接続で十分です。

「このサイトの管理者ユーザーを一覧にして。それから、インストールされているプラグインの一覧も見せて。何も変更しないで」

見覚えのない名前がないか、一覧を自分の目で確認します。ただし、ユーザーを隠すマルウェアは、AI が見る一覧からも隠れている可能性があります。ここで何も見つからなくても、上の Google や Search Console の確認は省かないでください。

つなぎ方は MCP のページにまとめています。PHP のバージョンそのものはサーバー側の話なので、サイトヘルスかホスティング会社で確認してください。

まとめ

PHP2Shell は PHP の脆弱性。WordPress の更新では直らない
PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以上なら修正済み（番号が同じでも修正済みの場合あり）
迷ったらホスティング会社に一行で聞く
直したあとは、乗っ取りのサインがないかも確認する