PHPの脆弱性「php2shell」はなぜここまで騒がれたのか｜理由と、サイト運営者がやるべき改善策

2026年10月21日、Webサイトの裏側で広く使われているプログラミング言語「PHP」に、
深刻な脆弱性が見つかりました。

通称は「php2shell」です。

人気のWebサービスが次々と緊急メンテナンスに入り、
首相がXで対応を呼びかけるという、これまでにない広がり方をしました。

この記事では、なぜここまで騒がれたのかを3つの理由に分けて整理し、
サイトを運営する側が今やるべき改善策と、次に備えて見直しておきたいことをまとめます。

※2026年10月22日時点で、公的機関の発表と報道をもとに整理しています。

そもそもPHPとは？10月21日に何が起きたのか

PHPは、Webサーバーの上で動くプログラミング言語です。

ページを開いたりフォームを送ったりしたときに、裏側でページを組み立て、
データベースとやり取りする役目を担っています。

コーポレートサイトやブログで使われるWordPress、
ネットショップのEC-CUBEなど、多くのシステムがPHPを土台に動いています。

今回見つかったのは、そのPHP本体にある2件の脆弱性です。

出典：PHP公式／IPA／JPCERT/CC

ここまで騒がれた3つの理由

脆弱性のニュースは珍しくありません。

それでも今回が特別だったのは、次の3つの条件が重なったからです。

理由1｜WordPressを最新にしても塞がらない「土台の穴」だった

欠陥はPHP本体にあるため、
その上で動くWordPressやプラグインをいくら更新しても直りません。

直す場所はサーバーのPHPで、レンタルサーバーなら事業者の作業、
自社サーバーなら自社の作業になります。

「いつもどおりWordPressを更新したから大丈夫」が通用しなかったことが、
混乱を大きくしました。

理由2｜公表の前から攻撃が始まり、公表後に一気に広がった

報道によると、修正版の公開より前から攻撃の試みが観測されていました。

公表後には、悪用の試みが45分で数万件、
その後数百万件規模に達したとCloudflareのCEOが報告しています（ITmedia NEWS）。

「様子を見てから対応する」余裕がほとんどなかったわけです。

理由3｜政府が異例の速さで呼びかけ、大手サービスが相次いで止まった

国家サイバー統括室が注意喚起を出し、
10月21日21時55分には高市首相がXで「今夜に対応して頂きたい大至急のお願いです。」と呼びかけました（高市早苗氏のXポスト）。

首相の投稿の要点は、次の3つです。

1. 公開しているサイトでPHPを使っているかを確認する
2. 同日23時に公開される修正パッチを、すぐ当てられるよう準備する
3. すぐに当てられない場合は、サイトを一時的に止めることもリスクを下げる有効策の一つ

翌22日の続報では、首相自身の公式サイトもいったんアクセスを止めて対応したことに触れ、
委託を受けているサイト管理者やサーバー管理者が早く気付くことの大切さを発信しています（続報のXポスト）。

同じ日、pixiv、ニコニコ、BASE、
コドモンなど多くのサービスが予防的にメンテナンスへ入り、
まとめサイトpiyologは国内で211の組織がサービスを止めたと集計しています（piyolog）。

身近なサービスが止まったことで、ふだんサイトの裏側を意識しない人にまで話題が広がりました。

自分のサイトは対象？見分け方の目安

一般のインターネット利用者に、特別な対応は求められていません（総務省のXポスト）。

対応が必要なのは、サイトを運営している側です。

WordPressなら、管理画面の「ツール」から「サイトヘルス」を開き、
「情報」のサーバーの項目でPHPのバージョンを確かめられます。

今すぐやるべき改善策

PHPで動くサイトを運営している場合は、IPA、
JPCERT/CC、PHP公式が示している次の対策を確認します。

1. PHPを修正版（8.5.12／8.4.27／8.3.36／8.2.35）以上に更新し、PHPのプロセスを再起動する
2. PHP 8.1以前なら、サーバー会社やディストリビューションの個別の修正を確認するか、新しいバージョンへ移行する
3. すぐに更新できない場合は、サイトを一時的に止めることも検討する
4. WAF（Webアプリケーションファイアウォール）で攻撃の通信を遮断する
5. 修正前に攻撃を受けていないか、見覚えのないファイルや管理者ユーザー、不審なアクセスログを確認する

PHP公式は、設定変更による回避策は攻撃の経路を一部ふさぐだけで、
完全な対策は更新しかないとしています。

また、JPCERT/CCは、
痕跡が見つからなくても攻撃を受けていないとは断定できないという考え方を示しています（JPCERT/CC）。

制作会社に保守を任せている場合は、「修正を当てたか」だけでなく、
「更新後に正常に動くか確認したか」「侵入の痕跡を調べたか」まで確認しておくと安心です。

次に同じことが起きたときのための備え

今回の騒動で多くの企業が困ったのは、技術の問題よりも「誰が直すのか分からない」ことでした。

同じような脆弱性は、これからも見つかります。

落ち着いた今のうちに、次の3つを整えておきましょう。

1つ目｜会社が持っているサイトをすべて書き出す

コーポレートサイトのほかに、採用サイト、キャンペーン用のLP、
昔作った特設ページが残っていないかを確認します。

2つ目｜サイトごとに「土台を更新する人」を決めておく

自社なのか、制作会社なのか、サーバー会社なのかを、契約書や保守の範囲とあわせて確認します。

3つ目｜使っていないサイトは閉じ、作り方そのものを見直す

更新されないまま放置されたサイトは、攻撃の入口になりやすくなります。

保守の手間をかけられないなら、
サーバーの管理をサービス側に任せられる仕組みへ移ることも選択肢です。

詳しい経緯や立場別の確認ポイントは、
PHPとphp2shellとは？（株式会社ラジャのブログ）でも整理されています。

作り直しを考えるなら　相談先の選び方

サイトの棚卸しや作り直しを考えるときは、
保守の手間まで含めて相談できる制作会社を選ぶと安心です。

サーバーの管理をサービス側に任せられるWixで作り直す場合は、
Wixのパートナープログラムでのレベルと、実際の制作実績を確認しましょう。

おすすめを1社挙げるなら、
Wixレジェンドレベルパートナーの株式会社ラジャです（筆者が代表を務める会社です）。

Wixでのホームページ制作代行の費用相場や会社の選び方は、
Wixホームページ制作代行おすすめ10選で詳しく解説されています。

まとめ

php2shellがここまで騒がれたのは、
WordPressの更新では塞がらない土台の穴だったこと、公表前後から攻撃が急速に広がったこと、
政府の呼びかけと大手サービスの停止が重なったことが理由です。

PHPで動くサイトを運営しているなら、修正版への更新と痕跡の確認を急ぎましょう。

そして落ち着いた今こそ、会社のサイトを誰がどう守るのかを見直すよい機会です。