自分のサイトは大丈夫？PHPのバージョン確認方法（PHP2Shell対応）

WindowsMac更新

PHPの開発元は2026年10月21日に、2件の重大な脆弱性CVE-2026-109618とCVE-2026-109619の修正版を公開しました。アメリカのCISAによると、この2件は「php2shell」と呼ばれています。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。自分のサイトが対象かどうかは、サイトが動いているPHPのバージョンという1つの数字でわかります。この記事は2026年10月23日時点の情報です。

要点

サイトのPHPバージョンは、WordPressなら「ツール > サイトヘルス > 情報 > サーバー」、またはレンタルサーバーの管理画面で確認できます。わからなければサーバー会社に問い合わせます。修正版は8.5.12、8.4.27、8.3.36、8.2.35です。これより古ければ更新が必要です。

対象のバージョンと修正版は？

JPCERT/CCの注意喚起は、次のバージョンを対象としています。

使っているバージョン対象修正版
8.5系8.5.12より前8.5.12
8.4系8.4.27より前8.4.27
8.3系8.3.36より前8.3.36
8.2系8.2.35より前8.2.35

PHPのアドバイザリは、ウェブのリクエストを処理しているすべてのPHPが影響を受け、ログインなしでリモートからコードを実行される（リモートコード実行）おそれがあるとしています。つまり、外部の誰かがサーバーに自分の命令を実行させられるかもしれないということです。

悪用の状況は、2026年10月23日時点で次のとおりです。CISAは10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないとしています。PHPのアドバイザリは、よく使われる構成の一つであるApacheのmod_phpについて、実際に動く攻撃方法が確認されており、危険度が最も高いとしています。

WordPressでPHPのバージョンを確認するには？

WordPressでは「サイトヘルス」の画面で確認できます。WordPress日本語版の「PHP の更新」ページが案内している手順は次のとおりです。

  1. WordPressの管理画面にログインします。
  2. 「ツール」>「サイトヘルス」を開きます。
  3. 「情報」タブをクリックします。
  4. 「サーバー」の項目を開きます。
  5. 「PHP バージョン」の行を確認します。

「情報」タブは情報を見るための画面で、ここから設定を変えることはできません。同じサイトヘルスの「ステータス」タブには、PHPが古いことが重大な問題として表示されることもあります。

レンタルサーバーの管理画面やcPanelで確認するには？

レンタルサーバーの管理画面は会社ごとに違い、PHPのバージョンを表示・変更する画面の名前もさまざまです。ご利用のサーバー会社のヘルプやマニュアルで「PHPバージョン」と検索してください。

管理画面がcPanelの場合は、「MultiPHP Manager」（MultiPHPマネージャー）で、ドメインごとのPHPバージョンを確認できます。cPanelの公式ドキュメントでは、このツールは「Software」（ソフトウェア）の中にあります。

  1. cPanelにログインします。
  2. MultiPHP Managerを開きます。
  3. 一覧から自分のドメインを探し、PHPのバージョンを確認します。

ドメインに「Inherited」（継承）と表示されている場合、cPanelのドキュメントによると、そのドメインはサーバー管理者が決めた標準のバージョンを使っています。この場合、バージョンの選択も更新もサーバー会社側の作業になります。

自分で見つけられないときは？

サーバー会社に問い合わせてください。WordPressの「PHP の更新」ページも、自分で設定が見つからない場合はメールで問い合わせるよう勧めていて、問い合わせ文の雛形も載せています。今回の件では、次の2点をはっきり聞くと話が早く進みます。

  1. 私のサイトは、いまどのバージョンのPHPで動いていますか。
  2. 2026年10月21日のPHPのセキュリティアドバイザリの修正版（8.5.12、8.4.27、8.3.36、8.2.35のいずれか）に更新済みですか。

1つの契約で複数のサイトやドメインを運営している場合は、それぞれについて確認してください。cPanelのドキュメントにあるとおり、ドメインごとに違うバージョンを使えるからです。

修正版ではなかったら、どう対応すればよいですか？

PHPを更新するか、サーバー会社に更新してもらいます。PHPのアドバイザリには、一時的に攻撃されにくくする設定も載っていますが、それらは「do not make an installation safe」（安全な状態にはならない）と書かれています。

IPAは、すぐに更新できない場合は緩和策やアクセス制限で一時的に対応し、それでも足りなければ外部からのアクセスの遮断やサービスの停止を検討するよう勧めています。

誰がサーバーを管理しているかで、やり方が変わります。

  1. 共用のレンタルサーバーやマネージドサービスの場合、PHPはサーバー会社が管理しています。修正版、または修正版がある新しいバージョンへの切り替えを依頼してください。
  2. 管理画面でバージョンを選べる場合、自分で切り替えられることがあります。バックアップの取り方を含めてWordPressのPHPを更新する方法で説明しています。

JPCERT/CCは、修正版を適用したうえで、攻撃を受けた形跡がないかも調べるよう勧めています。サイトの持ち主の立場でやることはホームページが改ざんされたときの対処にまとめています。

PHP 8.1以前を使っている場合は？

PHPのアドバイザリによると、PHP 8.1以前にはPHPの開発元からの更新はもう提供されません。一部のLinuxディストリビューションや長期サポート（LTS）の提供元が修正を独自に取り込んでいるので、提供元に確認するか、サポート中のバージョンに移行するよう求めています。PHPのセキュリティチームは7.4、8.0、8.1向けの最小限の修正も公開していますが、これはPHPを自分でビルドする人向けです。

個人のサイトであれば、サーバー会社に、自分のバージョンにこうした修正を適用しているかを直接聞いてください。適用していない場合、PHPの開発元はサポート中のバージョンへの移行を勧めています。

また、PHP 8.2.35のリリース告知によると、PHP 8.2は2026年12月31日でサポートが終わり、その後はセキュリティ修正が出ません。8.2.35で今回の問題は修正されますが、近いうちに新しいバージョンへの移行が必要になります。WordPressはPHP 8.3以上を推奨しています。

よくある質問

PHP 8.3.36ならPHP2Shellは大丈夫ですか？

PHPのアドバイザリによると、PHP 8.3.36は8.3系の修正版です。ほかの系列の修正版は8.5.12、8.4.27、8.2.35です。なお、PHPの開発元は10月23日に、珍しいセッション設定のときだけ起きる、起こりにくい別の問題についても情報提供のアドバイザリを出しています。

WordPressを最新にしていれば影響はありませんか？

いいえ、影響を受けることがあります。脆弱性はWordPressではなく、WordPressが動いているPHPにあります。WordPress、テーマ、プラグインを最新に保つことは大切ですが、今回の対策はPHPの修正版への更新です。

「PHPのパッチ」とは何のことですか？

パッチは、脆弱性などを直すための修正のことです。今回は、修正を含んだPHP 8.5.12、8.4.27、8.3.36、8.2.35のリリースがそれにあたります。PHPのアドバイザリによると、Linuxディストリビューションや長期サポートの提供元には事前に修正が渡されているので、それらのPHPを使っている場合は提供元の更新パッケージを確認します。

ネットの脆弱性チェックツールで安全かどうかわかりますか？

この記事の出典にしている公式の発表には、オンラインのチェックツールについての記載はありません。公式に示されているのは修正版の一覧なので、確かめるべきなのは、サイトのPHPのバージョンが自分の系列の修正版以上かどうかです。サーバー会社に聞くか、サイトヘルスや管理画面で確認できます。

サーバー会社から「対応済み」と連絡が来ました。何かする必要はありますか？

サイトヘルスや管理画面でバージョンを確認し、修正版の一覧と照らし合わせて、自分のサイトに反映されていることを確かめてください。ドメインが複数ある場合は、それぞれ確認します。

出典