2026年10月に公表されたPHP本体の重大な脆弱性2件の通称。外部からサーバーを乗っ取られうるRCE（遠隔コード実行）で、深刻度は最高クラスの9.2。WordPressなどPHPで動くサイトは本体の更新が必要になる。
php2shellは、Web業界を駆け巡ったPHP本体の重大な脆弱性2件（報道ではCVE-2026-109618／109619）の通称です。深刻度はCVSS 9.2と最高クラスで、種類はRCE（リモートコード実行）——つまり、攻撃者が外部からサーバー上で任意のプログラムを動かし、サイトの改ざんや情報の持ち出し、サーバーの乗っ取りまでできてしまう恐れのある穴です。PHP開発チームは2026年10月20日に修正版の公開を予告し、日本時間10月21日深夜にセキュリティリリースが行われました。
騒ぎが大きくなった理由は、PHPの使用率の高さにあります。WordPress・EC-CUBE・Laravelなど、世界のWebサイトのかなりの割合がPHPで動いているため、「影響範囲がWeb全体級」の話になるからです。重要なのは、これがWordPressなどアプリ側ではなく**PHP本体**の問題だということ。プラグインやテーマをいくら更新しても直らず、サーバーのPHPそのものを更新する必要があります。2026年10月21日時点で、悪用が確認されたという公式情報はありませんが、悪用できると主張するコードが出回り始めたとの報告もあり、修正版の速やかな適用が呼びかけられています。
判定はシンプルです。①WordPressでブログやサイトを運営している→**関係あります**（WordPressはPHPで動いています）。②レンタルサーバー（エックスサーバー、さくら、ロリポップ等）でサイトを持っている→**多くの場合関係あります**。③ブログやSNSを「読む・書く」だけの利用者→サービス運営側が対応する話なので、あなた自身の作業はありません。④Next.jsやReactなどPHPを使わない構成のサイト→関係ありません。
「自分のサイトがPHPかどうか分からない」場合は、WordPressなら確実にPHPです。レンタルサーバーの管理画面に「PHPバージョン」という項目があれば、それが使っている証拠。逆にVercelやNetlifyで動く静的サイト・Node.js系のサイトは対象外です。
サイトを持っている人がやることは一つで、**サーバーのPHPを修正版に更新する**ことです。レンタルサーバー利用者は、多くの場合サーバー会社側が更新を実施（または管理画面でPHPバージョンを切り替え）するので、契約しているサーバー会社の「お知らせ」を確認してください。自分でサーバーを管理している場合は、修正版への更新を最優先で。なお「Session Upload Progress機能の無効化だけでは対策にならない」との指摘がセキュリティ企業から出ており、小手先の設定変更ではなく本体更新が必要です。
注意したいのは、この種の騒ぎに便乗する**偽の注意喚起メール**です。「あなたのサイトが危険です。今すぐこちらから更新を」といったメールのリンクから偽の管理画面に誘導する手口は、大型脆弱性の報道のたびに現れます。更新は必ず、自分でブックマークしたサーバー会社の管理画面から行ってください。
この手の「いま起きているセキュリティ事案」は、AIチャットに聞くときに注意が要るテーマです。AIの知識には鮮度の限界があるため、発生直後の事案については古い情報や一般論が返ってくることがあります。「php2shellの対処法を教えて」と聞いて、もっともらしい手順が返ってきても、それが今回の脆弱性に対応した内容とは限りません。
正しい使い方は、一次情報（PHP公式・サーバー会社・IPAなどの告知）を自分で確認した上で、「この告知文の意味を噛み砕いて」「自分の環境だと何をすればいいか整理して」とAIに手伝わせること。情報の取得は人間と公式、理解の補助はAI——この分担は、セキュリティに限らずニュース全般で効く型です。
いいえ、セキュリティ企業が付けた通称です。正式にはPHP本体の2件の脆弱性（報道ではCVE-2026-109618／CVE-2026-109619）を指します。CVE番号も公式発表と報道で扱いが分かれた経緯があるため、正確な情報はPHP公式の告知で確認してください。
直りません。これはWordPressではなく、その土台であるPHP本体の脆弱性です。プラグイン・テーマ・WordPress本体の更新とは別に、サーバーのPHPを修正版に更新する必要があります。レンタルサーバーなら、サーバー会社の対応状況を確認してください。
直接の作業は何もありません。対応するのはサイトやサーバーの運営側です。強いて言えば、改ざんされたサイトを踏むリスクは理論上ありますが、それは普段どおりのセキュリティ習慣（不審なリンクを踏まない・ソフトを最新に保つ）でカバーする範囲です。
用語を覚えるより、ストーリーで体感するほうが早い。