PHP の脆弱性 PHP2Shell（2026年10月）：WordPress・Laravel・独自 PHP のサイトでやること
PHP2Shell（CVE-2026-109618／109619）は、ログイン不要でサーバー上のプログラムを実行されるおそれのある PHP 本体の脆弱性で、攻撃も確認されています。8.2.35／8.3.36／8.4.27／8.5.12 以降が修正版です。5.6〜8.1 にも同じ系列の修正済みビルドがあるため、多くのサイトは作り直さずに対応できます。
WordPress・Laravel・CakePHP など、PHP で動くサイトはすべて対象です。直すのはサイトのプログラムではなく、サーバーの PHP です。
修正版
| PHP | 修正版 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 5.6〜8.1 | 公式の修正版はなし。OS ベンダーやメンテナー（Ubuntu・Red Hat 系・Remi・Sury など）が同じ系列の修正済みビルドを提供。バージョン番号は変わらない |
環境別の対応
レンタルサーバー（共用サーバー）
PHP はサーバー会社が管理しています。サーバー会社の告知で、お使いの PHP のバージョンに修正が入ったかを確認してください。新しい系列から順に対応している会社もあります。修正が入るまでは、管理画面のアクセス制限や WAF の有効化でリスクを下げます。
VPS・クラウド
自社で PHP を更新します。8.2 以降は公式の修正版へ、古い系列は同じ系列の修正済みパッケージへ入れ替え、PHP-FPM・Apache を再起動します。
修正しても残る問題
攻撃は修正版の公開前から確認されています。修正しても、すでに仕掛けられた Web シェルや改ざんは残ります。最近更新された PHP ファイルや、見覚えのない管理者アカウントがないかを確認してください。
確認と対応をまとめて任せたい場合は、Patch48 の 緊急セキュリティ対応パックをご利用ください。ネットショップ（EC-CUBE）は専用サービス CubeCheckup をご覧ください。
参考：The PHP Foundation ／ PHP2Shell の対応状況まとめ（Zenn） ／ GMO Flatt Security
よくある質問
PHP 7.4 のままでも対応できますか？
はい。7.4 にも同じ系列の修正済みビルド（Sury・Remi・Red Hat 系など）があるため、サイトを作り直さずに対応できます。ただし修正済みかどうかはバージョン番号では判別できないため、パッケージで確認が必要です。
サーバー会社が対応済みなら何もしなくていいですか？
修正が今の PHP のバージョンに入っているかの確認と、修正前に攻撃されていないかの確認は残ります。
WordPress を更新すれば直りますか？
直りません。PHP2Shell はサーバーの PHP の問題です。
自社のサイトが該当するか、48時間で確認・対応します
修正の適用確認・必要な場合のパッチ適用・侵入痕跡の確認・CMS やアプリのチェックまで。共用サーバー・CMS 59,800円（税込65,780円）、VPS・独自アプリ 98,000円（税込107,800円）。急ぎでなければ無料見積りもご利用いただけます。
緊急対応を申し込む →