2026年10月の重大な脆弱性 緊急対応
Web サイトの脆弱性、
48時間で安全確認と
パッチ対応。
10月は PHP2Shell（PHP）、Node.js、Next.js、WordPress と、ログイン不要でサーバーを乗っ取られるおそれのある脆弱性が相次いで公表され、一部はすでに攻撃が確認されています。修正の適用確認・侵入チェック・CMS やアプリのチェックまで、アクセス情報をいただいてから48時間で完了します。
共用サーバー・CMS 59,800円（税込65,780円） VPS・独自アプリ 98,000円（税込107,800円）・カード決済・インボイス対応
- 受付は1日3社まで（先着順）
- 会社サイト・ブログ・WordPress などの CMS、シンプルな PHP／Node.js アプリが対象。サイトの作り直しは不要
- Web システムの構築・プラグイン開発に20年以上携わってきたチームが対応
OCTOBER 2026
2026年10月の主な脆弱性（PHP・Node.js・Next.js・WordPress）
| 対象 | 内容 | 状況 | 修正版 |
|---|---|---|---|
| PHP PHP2Shell | ログイン不要でサーバー上のプログラムを実行される（CVE-2026-109618／109619、CVSS 9.2） | 攻撃を確認 | 8.2.35／8.3.36／8.4.27／8.5.12。5.6〜8.1 も同じ系列の修正済みビルドあり |
| Node.js 10月21日のセキュリティリリース | Brotli の処理でリモートからコードを実行される（CVE-2026-111497）ほか、TLS・DNS など10件 | 攻撃コード公開 | 22.23.4／24.22.1／26.12.1。20 以前は修正なし |
| Next.js | キャッシュ機能・画像最適化の重大な脆弱性2件（CVSS 9.5） | 修正版公開 | 16.4.1／15.5.28 |
| WordPress | 本体の脆弱性（CVE-2026-87902）。公表から数時間で悪用 | 攻撃を確認 | 7.1.2 |
| WordPress プラグイン | Bricksforge でログイン不要の PHP ファイルのアップロード・実行（CVE-2026-85097、CVSS 10） | 攻撃を確認 | プラグインの最新版 |
各ベンダー・セキュリティ機関の公表情報より（2026年10月25日時点）。お使いの環境が該当するかは、診断・作業の中で確認します。
ログイン不要で乗っ取られる
どれも、外部からサーバーやサイトを操作されるおそれのあるものです。サイトの改ざん、情報の流出、他サイトへの攻撃の踏み台にされる被害につながります。
多くは修正版がある
PHP は古い系列（5.6〜8.1）にも修正済みビルドがあり、Node.js は 22・24・26 系に修正版があります。問題は、それが本当に入っているかです。
サイトはそのままでOK
多くの場合、同じ系列の修正済みバージョンへの更新で対応でき、サイトやアプリの作り直しは不要です。サポートが終わった系列は、移行方法をご提案します。
サーバー会社が「対応済み」でも、確認したい3つのこと
- 修正が、本当に入っているか古い PHP の修正済みビルドはバージョン番号が変わらず、管理画面では判別できません。Node.js やライブラリは、サーバー会社ではなく自社での更新が必要なことがほとんどです。
- 修正前に、攻撃されていないか攻撃は修正版の公開前から確認されています。修正しても、仕掛けられた不正なファイル（Web シェル）や改ざん、不審な管理者アカウントは残ります。
- CMS やライブラリに、別の穴がないか更新されていない WordPress 本体・プラグイン・テーマ、npm・Composer の古いパッケージなど。サーバー側の修正とは別の問題です。
WHAT WE CHECK
脆弱性対策として48時間で行うこと
修正の適用確認
PHP・Node.js・CMS・フレームワークに修正が本当に入っているかを、パッケージやサーバー会社の情報で確認します。
パッチ適用・暫定対策
未修正なら同じ系列の修正済みバージョンへ更新。更新できない環境では、設定・WAF・アクセス制限でリスクを下げます。
侵入痕跡の確認
Web シェル、改ざんされたファイル、不審な管理者アカウント、cron などを調べ、修正前に攻撃されていないかを確認します。
CMS・アプリのチェック
WordPress などの本体・プラグイン・テーマを確認し、更新します（作業前にバックアップ）。独自アプリは npm・Composer のライブラリと公開設定を確認します。
報告書
実施内容、残るリスク、次に何をすべきかの優先順位をまとめてお届けします。社内や制作会社と共有できます。
本対応の無料見積り
ご希望があれば、PHP・Node.js・CMS の更新や定期保守など、本対応のお見積りを無料でお送りします。契約義務はありません。
PRICING
サイトの環境に合わせて選べます
共用サーバー・CMS
59,800円 税抜
税込 65,780円
レンタルサーバーの WordPress などに
- 修正の適用確認
（未修正なら暫定対策） - 侵入痕跡の確認
（Web シェル・改ざん・不審な管理者） - CMS 本体・プラグイン・テーマの更新
（作業前にバックアップ） - 報告書
（実施内容・残るリスク・優先順位） - メール・Chatwork でやり取り
（打ち合わせ不要）
48時間はアクセス情報の受領からの目安です。カード決済（Stripe）・インボイス対応の領収書PDF。
VPS・独自アプリ
98,000円 税抜
税込 107,800円
自社管理のサーバー、PHP・Node.js・Next.js の独自開発に
- 修正の適用確認・パッチ適用
（PHP・Node.js を同じ系列の修正版へ） - 侵入痕跡の確認
（Web シェル・改ざん・不審なプロセス） - アプリケーションのチェック
（npm・Composer・公開設定） - 報告書
（実施内容・残るリスク・優先順位） - メール・Chatwork でやり取り
（打ち合わせ不要）
作業前にスナップショットを取得します。SSH（sudo）での作業になります。
無料見積り
0円
急ぎでない方、本対応・定期保守のご相談に
- PHP・Node.js・CMS の更新（本対応）のお見積り
- 定期保守・更新代行のお見積り
- 複数サイトのまとめてのご相談
- 契約義務なし
ネットショップなど、決済・会員情報を扱うシステムは対象外です（EC-CUBE は CubeCheckup へ）。
ORDER
緊急セキュリティ対応パックのお申し込み
- 1
申込・カード決済
このフォームから。Stripe の決済ページに進みます。
- 2
メールでご連絡
必要な情報をメール・Chatwork でご案内します。
- 3
アクセス情報を専用ページで
ログイン情報はメールではなく専用ページから。
- 4
48時間以内に対応
修正確認・パッチ／暫定対策・侵入チェック・CMS／アプリ点検。
- 5
報告書
実施内容・残るリスク・優先順位をお届け。
作業するのは、Web システムの構築とプラグイン開発に20年以上携わってきたチームです。
受付は1日3社まで（先着順）です。
FREE QUOTE
無料見積りのご依頼
急ぎでない方、本対応や定期保守を相談したい方はこちら。通常2〜3営業日以内にお見積りをお送りします。
COLUMN
お役立ちコラム
Node.js の脆弱性（2026年10月）：CVE-2026-111497 ほか10件と、今やること
2026年10月21日の Node.js セキュリティリリースで、Brotli の処理によるリモートコード実行（CVE-2026-111497）など10件が修正されました。修正版は 22.23.4／24.22.1／26.12.1。Node.js 20 以前は修正されません。確認方法と対応手順をまとめます。
WordPress の脆弱性（2026年）：本体・プラグイン・PHP2Shell の確認と対策
WordPress 本体の CVE-2026-87902（7.1.2 で修正）、悪用されている Bricksforge プラグイン（CVE-2026-85097）、WordPress を動かす PHP の PHP2Shell。2026年に WordPress サイトで確認すべき脆弱性と、改ざん・乗っ取りを防ぐ対策をまとめます。
Next.js の脆弱性（2026年10月）：重大な2件と修正版 16.4.1／15.5.28
2026年10月に Next.js で深刻度 CVSS 9.5 の脆弱性が2件公表されました（キャッシュ機能「use cache」と画像最適化）。修正版は 16.4.1／15.5.28。あわせて必要な Node.js の更新と、確認手順をまとめます。
PHP の脆弱性 PHP2Shell（2026年10月）：WordPress・Laravel・独自 PHP のサイトでやること
2026年10月21日に公表された PHP の重大な脆弱性 PHP2Shell（CVE-2026-109618／109619）。修正版は 8.2.35／8.3.36／8.4.27／8.5.12、古い 5.6〜8.1 にも同じ系列の修正済みビルドがあります。レンタルサーバー・VPS 別の確認方法と対策を解説します。
Webサイトの脆弱性診断・緊急対応の費用相場（2026年）と選び方
Webアプリケーション脆弱性診断、侵入調査（フォレンジック）、脆弱性の緊急対応（パッチ適用）の費用相場を整理。目的に合わない高額な診断を避け、今必要な対応を選ぶための考え方をまとめます。
WordPress 保守の費用相場と、契約前に確認したいこと（2026年）
WordPress 保守の月額は3,000円〜50,000円程度と幅があります。料金の違いが出るポイント、2026年の脆弱性（本体・プラグイン・PHP2Shell）を踏まえて保守に含めたい項目、緊急時の対応をまとめます。
FAQ
よくある質問
WordPress やプラグインを最新にすれば PHP2Shell は直りますか？
いいえ。PHP2Shell は WordPress ではなく、サーバー上の PHP 自体の脆弱性です。PHP を修正済みのものにする必要があります。古い PHP（5.6〜8.1）にも同じ系列の修正済みビルドが出ているため、多くの場合サイトを作り直さずに対応できます。
サーバー会社が PHP を修正済みなら、対応は不要ですか？
PHP2Shell の穴そのものは塞がりますが、修正がお使いの PHP のバージョンに本当に入っているか、修正前に攻撃されていないか、CMS やプラグインに別の脆弱性がないかは、サイト側での確認が必要です。
Node.js や Next.js のサイトも対応できますか？
はい。2026年10月21日の Node.js のセキュリティリリース（Brotli の RCE ほか10件）や Next.js の重大な脆弱性にも対応します。修正済みバージョン（Node.js 22.23.4／24.22.1／26.12.1 以降など）への更新と、npm 依存関係の確認を行います。Node.js 20 以前は修正版が出ていないため、移行方法をご提案します。「VPS・独自アプリ」プランをお選びください。
どちらのプランを選べばよいですか？
レンタルサーバー（Xserver・さくら・ロリポップ!・ConoHa WING など）で WordPress などを運用している場合は「共用サーバー・CMS」、自社で管理している VPS・クラウドや、PHP・Node.js の独自開発のシステムは「VPS・独自アプリ」をお選びください。分からない場合は無料見積りからご相談ください。
48時間で何をしますか？
修正の適用確認、未修正の場合のパッチ適用（共用サーバーでは暫定対策）、侵入痕跡の確認、CMS・アプリケーション（npm・Composer を含む）のチェックと更新、報告書の作成です。48時間はアクセス情報をいただいてからの目安です。
サーバーのログイン情報はどうやって渡しますか？
お支払い後にお送りする専用ページ（URLを知っている方のみ開けるページ）のフォームからお送りください。メールやお申し込みフォームには書かないでください。作業完了後は、パスワードの変更や作業用アカウントの削除をお願いしています。
費用は経費にできますか？
はい。クレジットカードでお支払いいただくと、適格請求書（インボイス）に対応した領収書PDFが発行されます。
ネットショップや決済のあるサイトも対象ですか？
Patch48 は、会社サイト・ブログ・WordPress などの CMS、シンプルな PHP／Node.js のアプリ向けです。カード決済や会員情報を扱うネットショップ・システムは対象外です。EC-CUBE のショップは専用サービス CubeCheckup、それ以外は無料見積りから個別にご相談ください。
対応しているのはどんな会社ですか？
株式会社スパイシーファンです。Web システムの構築とプラグイン開発に20年以上携わってきたチームが対応します。