PHPの開発チームは、深刻度9.2の重大な脆弱性2件に対応するセキュリティアップデートを、2026年10月21日23時（日本時間）に公開する予定と発表しました。
深刻度9.2は、CVSS v4.0で「Critical（緊急）」に分類される水準です。今回の脆弱性は、サーバー上で不正なコードを実行されるなど、深刻な被害につながるおそれがあります。
PHPはWordPressだけでなく、ネットショップや企業サイト、独自開発のウェブサービスなど、幅広いシステムで利用されています。PHPを使用しているサイトやサービスの運営者は、修正版の公開に備えておきましょう。
WordPress以外も注意が必要
今回の問題は、WordPressだけに限った話ではありません。
PHPを利用する代表的なシステムには、次のようなものがあります。
- WordPress：ブログや企業サイトなど
- EC-CUBE：ネットショップ構築システム
- Magento（Adobe Commerce）：ECサイト向けプラットフォーム
- Drupal・Joomla!：ウェブサイトを構築するCMS
- Laravel・Symfony：PHPでウェブサービスを開発するためのフレームワーク
これらのシステムを運用している場合は、PHPのバージョンと更新方法を確認してください。
BASEやSTORES、Shopifyなどのホスティング型ECサービスでは、利用者が直接PHPのバージョンを管理しない構成が一般的です。その場合は、サービス提供元からのセキュリティ情報を確認しましょう。
PHPのバージョンを確認する方法
PHPの更新を自動化していない場合は、修正版が公開された後、自分で更新作業を行う必要があるかもしれません。まずは、使用しているPHPのバージョンを確認しておきましょう。
レンタルサーバーを利用している場合
サーバーのコントロールパネルにログインし、「PHP設定」「PHPバージョン」「PHP情報」などの項目を確認します。名称や操作方法はサービスによって異なります。
WordPressを利用している場合
管理画面の「ツール」→「サイトヘルス」→「情報」から、PHPのバージョンを確認できます。
VPS・専用サーバーを利用している場合
SSHで接続できる環境なら、コマンドラインで次のコマンドを実行すると、PHPのバージョンを確認できます。
php -v
ただし、コマンドラインで使用されるPHPと、ウェブサイトの実行環境で使用されるPHPは異なる場合があります。
独自開発のシステムなどで確認方法がわからない場合は、サーバー管理者や開発会社に問い合わせてください。
また、自動更新を設定していても、今回の修正版が自動的に適用されるとは限りません。サーバー事業者の対応状況も確認する必要があります。
修正版の公開前にできる対策
2026年10月21日18時時点では、修正版の公開は確認できていません。公開予定は同日23時ですが、予定が前倒しされる可能性もあるため、今のうちに準備を進めておきましょう。
- 運用中のウェブサイトやPHPを利用するシステムを洗い出す
- 各サイトで使用しているPHPのバージョンを確認する
- サイトとデータベースのバックアップを取る
- レンタルサーバーやシステム提供元の対応状況を確認する
- PHPの更新方法と、更新後の動作確認手順を確認する
PHPのバージョンが古い場合は、サポート状況も確認してください。サポートが終了したバージョンでは、今回の問題以外についてもセキュリティ修正を受けられない可能性があります。
設定変更だけでは十分な対策にならない可能性
今回の脆弱性について、セキュリティ企業のGMO Flatt Securityは、PHPの設定項目 session.upload_progress.enabled を 0 にする方法を緩和策として紹介しています。
ただし、同社の検証では、この設定変更を行っても攻撃自体は可能とみられ、緩和策にとどまるとされています。設定変更だけで安心せず、修正版の適用を優先することが重要です。
また、同社の記事では、脆弱性を悪用できると主張するコードがインターネット上に出回り始めたとの情報も紹介されています。これは実際の攻撃成功や被害発生を意味するものではありませんが、公開後の対応を迅速に行えるよう準備しておく必要があります。
修正版が公開されたら速やかに更新を
PHPの開発チームは、修正版が利用可能になり次第、速やかに更新するよう呼びかけています。
深刻度の高い脆弱性を悪用されると、サーバーへの侵入や不正なコードの実行を通じて、サイトの改ざんや情報漏えいなどにつながるおそれがあります。
修正版が公開されたら、公式情報で影響を受けるバージョンと修正済みバージョンを確認し、必要なアップデートを適用してください。
公式情報
- PHP公式ニュースアーカイブ
- PHP公式リリース一覧
- IPA：PHPのセキュリティリリース公開予定について
- GMO Flatt Security：PHPの重大な脆弱性「php2shell」の概要と対応指針
※本記事は2026年10月21日18時時点の情報をもとにしています。修正版の公開状況や対象バージョンについては、公式発表に応じて更新します。
