「PHP2Shellの修正版が公開されたらしいけど、自分のWordPressは大丈夫？」
「PHPって、どこから更新するの？ 間違えてブログが壊れたら困るんだけど……！」
そんな不安を抱えているサイト運営者さんに、重要なお知らせです。
2026年10月21日、PHPの重大な脆弱性「PHP2Shell」に対応した修正版4つが正式公開されました。
修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。
ただし、ここで注意したい落とし穴があります。
WordPressを最新版にしただけでは、今回のPHP2Shell対策が完了するとは限りません。
さらに、レンタルサーバーの管理画面で「PHP 8.4」を選択できても、それが修正済みの「8.4.27」であるとは限らないのです。
「えっ、数字がそんなに大事なの!?」
そうなんです。今回は、この小さな数字の違いが重要になります。
この記事では、修正版の一覧からWordPressでの確認方法、ConoHa WINGでのPHPバージョン変更、更新できない場合の対処法まで、初心者さんにもわかりやすく紹介します。
※情報は2026年10月22日朝時点の公式発表を基にしています。
1. PHP2Shellの修正版が公開！対応する4つのバージョン
1-1. 2026年10月21日に公開された修正版一覧
PHPの開発チームは2026年10月21日、2件の重大な脆弱性を修正するセキュリティ更新を公開しました。
今回の修正版は、次の4つです。
| PHPの系列 | 修正済みバージョン |
|---|---|
| PHP 8.5 | 8.5.12以降 |
| PHP 8.4 | 8.4.27以降 |
| PHP 8.3 | 8.3.36以降 |
| PHP 8.2 | 8.2.35以降 |
例えば、PHP 8.4.26を利用している場合、公式の修正基準では8.4.27への更新が必要です。
一方、すでに8.4.27が導入されていれば、今回公表された2件の脆弱性について修正済みの状態です。
ただし、レンタルサーバー会社が独自に修正を適用している場合もあるため、表示されるバージョン番号だけで判断できない例外もあります。
1-2. PHP2Shellとは？危険性はどれくらい？
PHP2Shellとは、PHPで発見された重大な脆弱性2件をまとめて呼ぶ通称です。
対象となるのは、次の2件です。
| 脆弱性の識別番号 | 主な問題 |
|---|---|
| CVE-2026-109618 | メモリ不足時の処理に起因する不正なコード実行 |
| CVE-2026-109619 | 古いメモリ情報が残ることによる不正なコード実行 |
どちらもCVSS v4.0で9.2という深刻度です。
難しい名前が並んでいますが、簡単に説明すると、PHPの内部処理の弱点を突かれることで、外部からサーバー上で不正なプログラムを動かされる恐れがあります。
しかも、攻撃者がWordPressの管理画面にログインしなくても悪用できる可能性があります。
つまり、強力なパスワードを設定していても、それだけで今回の脆弱性を防げるわけではありません。
とはいえ、PHPを利用しているサイトがすべて攻撃されたという意味ではありません。
重要なのは、自分が利用しているPHPに適切な修正が導入されているか確認することです。
1-3. PHP 8.1以前を使っている場合は？
PHP 8.1以前は、PHPプロジェクトによる通常のサポートが終了しています。
そのため、基本的には現在サポートされているPHPへの移行が必要です。
ただし、古いPHP向けにOSの提供元などが独自の修正を提供しているケースもあります。
今回もPHP開発側は、一部の古い系列について修正を移植するためのソースコードを公開しています。
「古いバージョンだから絶対に未対策」と決めつけず、サーバー会社の対応状況を確認しましょう。
2. WordPressはPHP2Shellの影響を受ける？確認方法を紹介
2-1. WordPressでPHPのバージョンを調べる手順
WordPressの管理画面では、現在利用しているPHPのバージョンを確認できます。
操作は次のとおりです。
- WordPressの管理画面にログインする
- 左側メニューから「ツール」を選択する
- 「サイトヘルス」をクリックする
- 「情報」タブを開く
- 「サーバー」の項目を展開する
- 「PHPバージョン」を確認する
例えば「8.4.26」と表示されていた場合、PHP公式が公開した修正版「8.4.27」より前のバージョンです。
この場合は、修正が適用されているか確認する必要があります。
ここで大切なのは、WordPressのバージョンとPHPのバージョンを混同しないこと。
WordPressが最新版でも、PHPが古いままになっている場合があります。
2-2. PHPのバージョンが新しければ安心？
実は、ここにも落とし穴があります。
例えば、次の2つを比べてみましょう。
| PHPバージョン | 今回の脆弱性への対応 |
|---|---|
| PHP 8.4.26 | 公式の修正版より前 |
| PHP 8.3.36 | 公式修正版 |
一見すると、8.4の方が新しいように感じますよね。
しかし今回のPHP2Shellでは、8.3.36には修正が含まれている一方、8.4.26には公式修正が含まれていません。
つまり、数字の大きな系列を選べば安全というわけではないのです。
なお、サーバー会社による独自修正が適用されているケースでは、この比較と異なる場合があります。
2-3. WordPressの更新ボタンを押せば修正される？
残念ながら、WordPress本体の更新とPHPの更新は別物です。
WordPressはWebサイトを管理するソフトウェア。
PHPは、そのWordPressなどをサーバー上で動かすプログラミング言語です。
WordPressの更新だけで、サーバー側のPHPが必ず更新されるわけではありません。
そのため、WordPressの管理画面に更新通知が出ていないからといって、PHP2Shellへの対策が完了しているとは判断できません。
今回必要なのは、PHPそのものに修正が適用されているか確認することです。
3. PHP2Shellのアップデート方法！ConoHa WINGの操作手順
3-1. 更新前にバックアップを確認しよう
PHPのバージョンを変更する前に、まずバックアップを確認しましょう。
PHPの更新によって、古いプラグインやテーマが正常に動作しなくなる可能性があるためです。
ConoHa WINGでは、過去14日間分の自動バックアップを取得する仕組みが用意されています。
確認手順は次のとおりです。
- ConoHa WINGのコントロールパネルにログイン
- 「WING」を選択
- 「サーバー管理」を開く
- 「自動バックアップ」を選択
- バックアップ一覧を確認する
「Web」「Mail」「DB」などのバックアップ状況が表示されます。
ただし、自動バックアップがあるから何が起きても完全に元に戻せるとは限りません。
大切なサイトでは、更新直前のファイルとデータベースを別途保存しておくことも検討しましょう。
3-2. ConoHa WINGでPHPバージョンを変更する方法
ConoHa WINGでは、コントロールパネルからPHPのバージョンを変更できます。
公式の操作案内に沿った手順はこちらです。
- ConoHa WINGのコントロールパネルにログインする
- 上部メニューの「WING」を選択する
- 左側の「サイト管理」をクリックする
- 「サイト設定」を開く
- 「応用設定」タブを選択する
- 「PHP設定」を開く
- 「PHPバージョン」の編集アイコンをクリックする
- 利用可能なバージョンを確認する
- 対応するバージョンを選択し「保存」をクリックする
これがConoHa WINGでの基本的なPHPバージョン変更方法です。
ただし、ここで重要な注意点があります。
管理画面からPHP 8.4や8.5を選択して保存しただけでは、PHP2Shellの修正が適用されたと断定できません。
実際に導入されている細かなバージョンや、サーバー会社による修正状況を確認する必要があります。
また、PHPの系列を変更すると、テーマやプラグインとの互換性に影響する可能性があります。
現在のPHPが古いからといって、確認せずに最も新しい系列へ切り替えるのは避けましょう。
3-3. 更新後はWordPressの動作確認も忘れずに
PHPの変更が終わったら、WordPressの動作を確認しましょう。
最低限、次の項目をチェックしておきたいところです。
- トップページが正常に表示されるか
- 投稿記事が開けるか
- WordPressの管理画面にログインできるか
- 画像やメニューが正常に表示されるか
- 問い合わせフォームなどが動くか
- サイトヘルスでPHPのバージョンがどう表示されるか
表示に問題がある場合は、プラグインやテーマの互換性などを確認します。
ただし、トラブルが起きた際に、修正前の脆弱なPHPへ戻したまま運用を続けるのは危険です。
必要に応じてサーバー会社やサイト保守担当者に相談してください。
4. PHP2Shellを更新できない場合は？ConoHa WINGの対応状況と注意点
4-1. ConoHa WINGはPHP2Shellに対応済み？
2026年10月21日、ConoHa WINGは緊急メンテナンスを発表しました。
公式に案内された内容は次のとおりです。
| 項目 | 発表内容 |
|---|---|
| 開始日時 | 2026年10月21日19時 |
| 終了予定 | 2026年10月22日10時 |
| 対象 | ConoHa WING利用者 |
| 作業内容 | システムの保守作業 |
| 影響 | 一時的に接続できない可能性 |
ただし、10月22日朝に確認した公式告知では、メンテナンスがPHP2Shellの修正を目的としたものかは明記されていません。
したがって、このメンテナンスが実施されたことだけをもって、PHP2Shellへの対策が完了したとは判断できません。
今後、サーバー会社から追加のお知らせが出る可能性があります。
利用者としては、PHP修正版の導入状況や追加操作の必要性について、公式情報を確認することが大切です。
4-2. 自分で更新できないときの対処方法
共用レンタルサーバーでは、PHPの細かな修正バージョンを利用者が自由に指定できない場合があります。
例えば、管理画面で「PHP 8.4」と表示されていても、その内部で8.4.26が使われているのか、8.4.27に更新されているのか、画面だけではわからないことがあります。
そんな場合は、次の3点をサーバー会社に確認しましょう。
- PHP2Shellの対象となる2件の脆弱性への修正は完了しているか
- 現在利用中のPHPに修正が適用されているか
- 利用者側でバージョン変更などの操作が必要か
また、メンテナンス中に管理画面へアクセスできない場合は、公式案内を確認し、復旧状況に応じて操作してください。
更新できないまま危険な状態が続く場合は、必要に応じてサイトの一時停止や外部からのアクセス制限も検討する必要があります。
特に重要な顧客情報などを扱うサイトでは、自己判断で運用を続けず、専門家やホスティング事業者に確認することをおすすめします。
4-3. セキュリティプラグインやWAFだけで防げる？
「WordPressのセキュリティ対策プラグインを入れているから大丈夫！」
そう思いたくなるところですが、今回は少し事情が違います。
PHP2ShellはWordPressのプラグインではなく、PHP本体に存在する脆弱性です。
WAFと呼ばれるWeb攻撃を防ぐ仕組みは、特定の攻撃を遮断するのに役立つ可能性があります。
しかし、WAFが有効だからといって、今回の脆弱性を完全に修正できるわけではありません。
また、ネット上では一部のPHP設定を変更する対策も紹介されていますが、設定変更だけですべての攻撃経路を防げるとは限りません。
根本的な対策は、適切な修正が適用されたPHPを利用することです。
更新までの防御と、脆弱性そのものの修正は、分けて考えましょう。
5. PHP2Shell修正後の確認事項とよくある質問
5-1. 修正後に確認したいチェックリスト
PHP2Shellの修正版が導入されたら、次の項目をチェックしてください。
- PHP2Shellへの修正が適用されていることを確認した
- WordPress本体を必要に応じて更新した
- テーマやプラグインの更新状況を確認した
- Webサイトが正常に表示される
- 管理画面や主要な機能が正常に動く
- バックアップを確認した
- 不審な管理者アカウントや意図しないサイト変更がないか確認した
なお、更新が完了したとしても、更新前に攻撃されていなかったことまで証明できるわけではありません。
不審なファイルの変更、見覚えのない管理者アカウント、勝手なページ転送などが見つかった場合は、アクセスログなどの証拠を保全し、専門家やサーバー会社に調査を依頼しましょう。
5-2. よくある質問
Q. PHP2Shellの修正は無料でできますか？
PHP自体はオープンソースのソフトウェアで、公式修正版を利用するためのライセンス料金は不要です。
ただし、サーバー契約や更新作業の代行には費用がかかる場合があります。
Q. WordPressを最新版にすれば安心ですか？
それだけでは不十分です。
WordPress本体とPHPは別のソフトウェアなので、PHP側の修正状況も確認してください。
Q. PHP 8.4を使っていれば問題ありませんか？
PHP 8.4という表示だけでは判断できません。
公式修正版は8.4.27以降です。ただし、サーバー会社が独自に修正を適用しているケースもあります。
Q. 更新したらブログが消えることはありますか？
通常、PHPのバージョン変更だけで記事データが自動削除されるわけではありません。
ただし、テーマやプラグインとの互換性によって表示や機能に問題が起きる可能性があります。更新前のバックアップ確認が重要です。
Q. ConoHa WINGの自動更新に任せてもいいですか？
サーバー会社が修正を適用する場合もありますが、今回の対応が完了したかは別途確認が必要です。
自動的に対策されていると思い込まず、公式のお知らせを確認しましょう。
5-3. まとめ：PHP2Shellは更新ボタンより「修正済みか」の確認が大切
2026年10月21日、PHP2Shellに対応した修正版が正式に公開されました。
PHP 8.5.12、8.4.27、8.3.36、8.2.35が今回の公式修正版です。
WordPressを利用している方は、まず現在のPHPバージョンを確認しましょう。
ConoHa WINGを利用している場合は、管理画面でPHPの設定を確認できますが、修正が実際に適用されているかはサーバー側の対応状況も重要になります。
ここで、一つだけ覚えておきたいことがあります。
「更新したつもり」と「安全になった」は、同じではありません。
最新のソフトウェアへ変更することだけが目的ではなく、問題となった脆弱性がきちんと修正されているか確かめることが本当のゴールです。
焦って操作するより、正しい情報を確認して、確実に対策を進めましょう。
大切なブログを守るために、今日できる確認から始めてくださいね。
コメント