この記事の要点
- PHP本体の脆弱性です。WordPressの更新だけでは対処できません。
- PHP 8.2.35、8.3.36、8.4.27、8.5.12が修正版です。
- 更新とあわせて、侵害の痕跡も確認してください。
php2shellとは
php2shellは、PHP本体で公表されたCVE-2026-109618とCVE-2026-109619を指す呼び名です。PHP公式は、認証されていない第三者による遠隔コード実行につながる重大な問題として、2026年10月21日に修正版を公開しました。
PHPをWebリクエストの処理に使うサイトが対象です。WordPress本体やプラグインの更新だけではPHP本体の修正になりません。
影響と修正版を確認する
PHP 8.2〜8.5系では、それぞれ修正版より前のリリースが対象です。PHP 8.1以前はPHPプロジェクトによる通常のサポートが終了しているため、サポート中の系統への移行や提供元による修正状況の確認が必要です。
Linuxディストリビューションやレンタルサーバーでは、修正を独自にバックポートしている場合があります。表示されたバージョン番号だけで判断せず、サーバー会社やOS提供元の告知も確認します。
- 8.2系：8.2.35以上
- 8.3系：8.3.36以上
- 8.4系：8.4.27以上
- 8.5系：8.5.12以上
サイト担当者が今すぐ行うこと
まず、サイト・問い合わせフォーム・会員機能などPHPを使う範囲を洗い出し、サーバーの管理画面で実行中のPHPと更新担当者を確認します。修正済みのパッケージが利用できる場合は、バックアップと主要機能の動作確認を準備して更新します。
JPCERT/CCは、更新に加えて侵害有無の調査も勧めています。不自然なPHPSESSID、疑わしいmultipartリクエスト、PHPワーカーの異常終了などを手掛かりにできますが、痕跡が見えないことだけで安全とは断定できません。
- PHPの稼働場所とバージョン、保守担当を確認する
- サーバー会社・OS提供元の対策状況を確認する
- ファイルとデータベースをバックアップして更新する
- アクセスログと不審ファイルを確認する
更新後も確認したいこと
表示、ログイン、フォーム送信、決済などの主要な動作を検証し、エラーログを確認します。侵害が疑われる場合はログを保全し、影響範囲の調査と認証情報の入れ替えを検討してください。