2026年10月、世界中のホームページに影響する可能性がある、重大なセキュリティ上の問題が発表されました。
その名前は「PHP2Shell（ピーエイチピー・ツー・シェル）」。
あまり聞き慣れない名前かもしれませんが、実は企業のホームページを運営している方にとって、決して他人事ではない問題です。
特に、WordPress（ワードプレス）などを使ってホームページを運営している企業は、一度確認しておくことをおすすめします。
今回は、PHP2Shellとは何なのか、どんな危険があるのか、そして私たちは何をすればよいのかを、できるだけわかりやすく解説します。
そもそも「PHP」って何？
ホームページを作るためには、さまざまなプログラムが使われています。
その中でも「PHP」は、世界中のホームページで広く利用されているプログラミング言語の一つです。
例えば、こんなところで活躍しています。
- ホームページのお問い合わせフォーム
- お知らせやブログの更新機能
- 会員専用ページへのログイン
- 商品を販売するネットショップ
- WordPressによるホームページの管理
普段ホームページを見ているだけでは、PHPが動いていることを意識する機会はほとんどありません。
しかし、実際にはホームページの裏側で、さまざまな処理を担当しています。
例えるなら、PHPはホームページを動かすためのエンジンのようなものです。
今回、そのエンジン自体に重大な問題が見つかったのです。
「PHP2Shell」とは、どんな問題？
今回発見されたPHP2Shellは、PHPの内部に存在していた2つの重大なセキュリティ上の欠陥を指します。
こうした欠陥は「脆弱性（ぜいじゃくせい）」と呼ばれています。
簡単に説明すると、特定の条件がそろった場合に、外部の悪意ある第三者が、本来許可されていない操作をホームページのサーバー上で実行できてしまう可能性がある、という問題です。
例えば、会社の建物で考えてみましょう。
通常、建物に入るためには鍵が必要です。大切な部屋には、さらに厳重な鍵がかかっているかもしれません。
ところが今回の問題は、建物の設備そのものに欠陥があり、条件によっては鍵を持っていない人が内部に入り込めてしまうようなものです。
しかも、ホームページの管理者IDやパスワードを知らなくても、攻撃が成立する可能性があります。
そのため、セキュリティの専門家たちが非常に深刻な問題として警戒しています。
もし攻撃されたら、何が起きるの？
実際に攻撃が成功した場合、サーバーの設定や攻撃の内容によっては、次のような被害につながるおそれがあります。
- ホームページの内容を勝手に書き換えられる
- お客様の個人情報などを盗み出される
- 不正なプログラムを仕込まれる
- ホームページが正常に表示されなくなる
- サーバーが別のサイバー攻撃に悪用される
もちろん、PHP2Shellの問題があるからといって、必ずこうした被害が発生するわけではありません。
しかし、これまで正常に動いていたホームページでも、対策をしていなければ攻撃対象となる可能性があります。
「今まで問題なく動いていたから大丈夫」とは言い切れないのが、今回の問題の怖いところです。
世界中で対策が進められています
PHP2Shellの問題は、2026年10月20日に公表され、翌21日には修正版のPHPが公開されました。
問題の深刻度は、国際的な評価基準で10点満点中9.2点とされており、非常に高い危険性があると評価されています。
修正版の公開前後には、実際にこの問題を悪用しようとする攻撃も観測されました。
また、アメリカのサイバーセキュリティ当局も、実際に悪用が確認された脆弱性として取り扱っています。
つまり、単に「将来悪用されるかもしれない」という話ではありません。
すでに攻撃が確認されているため、早急な対応が求められているのです。
WordPressを使っている会社も対象になるの？
ここが、多くの企業にとって気になるところだと思います。
結論から言うと、WordPressを使っているホームページも、影響を受ける可能性があります。
WordPressはPHPを使って動作しているためです。
ただし、WordPressを利用しているすべてのホームページが、必ず危険な状態にあるという意味ではありません。
重要なのは、ホームページが動いているサーバーで、どのバージョンのPHPが使われ、必要なセキュリティ対策が適用されているかという点です。
なお、今回の問題はWordPressそのものの欠陥ではありません。
WordPressのプラグインを更新したり、管理者パスワードを変更したりするだけでは、今回の問題を根本的に解決できません。
ホームページの土台となるPHP自体への対策が必要なのです。
ホームページの管理者が確認したい3つのこと
では、企業のホームページ担当者は何をすればよいのでしょうか。
難しい操作をする前に、まずは次の3つを確認してみましょう。
1. 利用しているサーバー会社からのお知らせを確認する
レンタルサーバーを利用している場合、サーバー会社がセキュリティ対策を実施していることがあります。
まずは契約しているサーバー会社から、PHPのセキュリティ更新に関する案内が届いていないか確認しましょう。
2. PHPのバージョンを確認する
今回の問題に対応するため、2026年10月21日に以下の修正版が公開されています。
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
これらは今回の問題が修正された最初のバージョンです。
基本的には、使用しているPHPの系統に対応する修正版以降へ更新する必要があります。
ただし、サーバー会社によっては、表示されるバージョン番号を変えずにセキュリティ修正を適用している場合もあります。
そのため、番号だけで判断せず、サーバー会社や管理担当者に確認するのが確実です。
3. ホームページの制作会社・管理会社に確認する
技術的なことがよくわからない場合は、無理に自分で設定を変更する必要はありません。
PHPのバージョン変更によって、古いプログラムやプラグインが正常に動かなくなる場合もあるからです。
ホームページを管理している制作会社に、
「PHP2Shellというセキュリティ問題が発表されたようですが、うちのホームページは対策できていますか？」
と問い合わせてみてください。
これだけでも、対策の第一歩になります。
ホームページは「作って終わり」ではありません
今回のPHP2Shellの問題から、改めて考えていただきたいことがあります。
それは、ホームページも定期的なメンテナンスが必要だということです。
自動車であれば、オイル交換や定期点検を行います。
建物であれば、設備の点検や修繕を行います。
ホームページも同じです。
公開したときには安全だったとしても、時間がたてば新しいセキュリティ上の問題が見つかることがあります。
そして、それに対応するためには、プログラムやサーバー環境の更新が必要になります。
特に、何年も前に制作したホームページをそのまま使い続けている場合は、一度点検してみることをおすすめします。
まとめ：まずは「うちのホームページは大丈夫？」と確認を
今回のPHP2Shellは、ホームページを動かす基本的なプログラムに発見された、非常に重大なセキュリティ問題です。
ただし、必要以上に怖がる必要はありません。
問題はすでに公表され、修正版も提供されています。
大切なのは、問題を知らずに放置しないことです。
ホームページを管理している方は、ぜひ一度、サーバー会社やホームページ制作会社に確認してみてください。
私たちも、ホームページは公開して終わりではなく、その後も安全に使い続けられることが大切だと考えています。
お客様に安心してホームページを活用していただくためにも、日頃からの点検と適切な更新を心がけていきたいものです。
参考情報
※この記事は2026年11月4日時点の公表情報をもとに作成しています。
