PHPの脆弱性はスマホに影響する？iPhoneとAndroidで確認しておくこと

iPhoneAndroid更新 2026-10-31

PHPプロジェクトの2026年10月21日のアドバイザリは、影響を受けるのはウェブのリクエストを処理するすべてのPHPだとしています。これはサーバーのソフトウェアの話で、スマホやタブレット、ブラウザには触れていません。iPhoneやAndroidでウェブサイトを見ても、そのサイトのPHPがスマホの上で動くわけではありません。ただ、改ざんされたサイトは別の形で問題を起こすことがあります。

要点

PHP2Shellは、PHPの深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619）の呼び名です。PHPのアドバイザリは、影響を受けるのはウェブのリクエストを処理するPHPだとし、PHPのマニュアルは、PHPのコードはサーバーで実行されるとしています。スマホが受け取るのは結果のページです。それでもiOSやAndroidは最新にし、見慣れないサイトでのダウンロードやログインには注意してください。

PHPのアドバイザリは何が影響を受けるとしていますか

ウェブのリクエストに応えるためにPHPを動かしているサーバーです。アドバイザリによると、PHP 8.5.12、8.4.27、8.3.36、8.2.35は、認証なしでのリモートコード実行を許しうる2件の深刻な脆弱性を修正したものです。影響を受けるものとして、PHP-FPM、ApacheのPHPモジュール（mod_php）、php-cgi、FrankenPHP、LiteSpeedを含む、ウェブのリクエストを処理するすべてのPHPを挙げ、リスクが最も高いのはmod_phpだとしています。

どれも、ウェブサイトの裏側でPHPを動かす方法です。JPCERT/CCとIPAの注意喚起も、PHPやPHPを使った製品を利用している側に、修正版の適用や侵害の有無の調査を求めるものです。脆弱性そのものや、10月23日にPHPプロジェクトが出した、はるかに起こりにくい別の問題についてはPHP2Shellの解説で説明しています。

スマホでサイトを見ても、なぜPHPは動かないのですか

PHPが仕事をする場所がサーバーだからです。PHPのマニュアルは、PHPがクライアントサイドのJavaScriptと違うのは、コードがサーバーで実行され、その結果がクライアントに送信される点だとしています。クライアントは結果を受け取りますが、その出力を作ったコードがどんなものかを知ることはできません。

この文の「クライアント」が、スマホのブラウザです。スマホが受け取るのはHTMLで、それを作ったPHPではありません。PHP2Shellを直すのはサイトの運営者の仕事です。

アドバイザリはiOSにもAndroidにも触れておらず、この記事でも、それぞれの中にどんなソフトウェアが入っているかについては何も主張しません。出典から言えるのはもっと狭いことで、アドバイザリはウェブのリクエストを処理するPHPについてのものであり、ウェブページを読むスマホは受け取る側だ、ということです。

改ざんされたサイトは、スマホでも問題を起こしますか

別の形で起こすことがあります。スマホに関係する点がひとつあります。Googleはサイト運営者向けのポリシーで、ハッカーはユーザーを有害なページやスパム行為をするページにリダイレクトする悪質なコードをサイトに挿入することがあり、このリダイレクトはリファラー、ユーザーエージェント、デバイスによって異なる場合があるとしています。つまり、改ざんされたサイトが、パソコンとスマホで違う動きをすることがありえます。

改ざんされたサイトが何をしうるか、ブラウザの警告、パスワードを入れてしまったときの対処は改ざんされたサイトを見ただけで感染するかで説明しています。使っているサービスのアカウントについては個人情報の漏洩を確認する方法をご覧ください。

iPhoneを最新にするには

Appleは、ソフトウェアを常に最新の状態にしておくことは、Apple製品を安全に使うための最も重要な方策のひとつだとしています。PHP2Shellの修正ではありませんが、日頃からしておきたいことです。

iCloudかコンピュータでiPhoneをバックアップします。
電源に接続し、Wi-Fiでインターネットに接続します。
「設定」＞「一般」＞「ソフトウェアアップデート」をタップします。
アップデートがあれば「ダウンロードしてインストール」をタップし、画面の案内に従います。

自動で入れるには、「設定」＞「一般」＞「ソフトウェアアップデート」＞「自動アップデート」で「自動インストール」をオンにします。Appleによると、iPhoneが充電中でWi-Fiに接続されている夜間にアップデートがダウンロード、インストールされ、インストールの前に通知が届きます。

Androidスマホを最新にするには

バージョンを確かめるには、設定アプリを開き、「デバイス情報」をタップしてから「Android バージョン」をタップします。Android バージョン、Android セキュリティアップデート、Google Play システムアップデート、ビルド番号が表示されます。

Wi-Fiに接続し、充電しておきます。Googleは、大きなアップデートは時間がかかることがあるため、75%以上の充電を勧めています。
設定アプリを開き、「システム」＞「ソフトウェアアップデート」をタップします。
表示される指示に従います。

Googleは、アップデートのスケジュールはデバイス、メーカー、携帯通信会社によって異なるとしています。Pixel以外のスマホでは、メニューの名前が違うことがあります。

アプリはどこから入れればいいですか

公式のストアからです。フィッシング対策協議会も、アプリは公式ストアからインストールし、アプリ名と提供元を確かめるよう勧めています。IPAは「情報セキュリティ10大脅威 2026 個人編」で、対策の基本の最初にソフトウェアの更新を挙げているので、入れたアプリも最新にしておいてください。

iPhoneのアプリはApp Storeから入れます。Appleは、App Storeのすべてのアプリは既知のマルウェアが潜んでいないか自動的に審査されるとしています。Androidでは、Google Play プロテクトがアプリやデバイスが有害な動作を引き起こさないかをチェックし、Google Play ストアからダウンロードする前にアプリの安全チェックを行います。オンになっているかは、Play ストアアプリで右上のプロフィールアイコンをタップし、「Play プロテクト」の設定で「Play プロテクトによるアプリのスキャン」がオンになっているかで確かめられます。

Failshotについて

iPhone版、Android版、Windows版のFailshotは準備中です。

Macでは、Failshotは「2つ目の層」のデバイスセキュリティ（second layer device security）です。パスワードが1つ目の層で、Failshotはその次の層です。誰かがあなたのMacの前に座り、ロックを解除する瞬間のためのものです。オンの間は、Macのロックを解除した人の写真を撮り、Pro では続けて5秒間の動画も記録します。Failshotのウインドウは、ロック解除が撮影されたことを解除した人に知らせます。オフにしたり、メニューから終了したりするには、Touch IDかFailshotのPINと答えが必要で、Macのパスワードでは操作できません。

Macアプリは、failshot.appからmacOS 14以降向けに無料でダウンロードできます。無料で使えます。Pro では動画、メール通知、暗号化された Vault が加わります。Failshot Proは、failshot.appで7日間無料で試せます。申し込み時にカードを登録し、解約しない限り8日目に請求されます。アプリは英語版のみです。

よくある質問

iPhoneやAndroidにPHP2Shell用のアップデートはありますか

PHPのアドバイザリは触れていません。2026年10月23日時点で、その修正はPHPの新しいリリース、8.5.12、8.4.27、8.3.36、8.2.35で、スマホのソフトウェアは挙げていません。AppleとGoogleのアップデートは、何を直すものであれ、届いたら入れてください。

古いスマホで、もうアップデートが来ません。PHP2Shellは心配ですか

PHP2Shellはサーバーの問題なので、それが理由ではありません。ただ、IPAは、脆弱性を放置することは非常に危険だとし、製品を選ぶときにはサポートの手厚さやサポート期限も考えるよう勧めています。

MacやパソコンもPHP2Shellの影響を受けますか

PHPが入っているかどうかによります。これはスマホとは別の問題です。MacはPHPの脆弱性の影響を受けるかで、ターミナルでの確認方法と更新の方法を説明しています。

修正されるまでウェブサイトを使わないほうがいいですか

PHPのアドバイザリも、JPCERT/CCとIPAの注意喚起も、一般の人にウェブサイトの利用をやめるようには求めていません。呼びかけはPHPを動かしている側に向けたもので、内容は更新です。閲覧する側は、とくにダウンロードとログインの画面で、いつもの注意を続けてください。