「PHPというプログラムに重大な欠陥が見つかり、政府が急いで修正するよう呼びかけている」「AIの発達でサイバー攻撃が一気に速くなった」。こうしたニュースを見て、自分が使うホームページやブログは大丈夫なのか、不安になっていませんか。
実は今回のニュースには、別々の出来事が重なっています。ひとつは、PHPの深刻な脆弱性が発見され、日本の情報処理推進機構（IPA）などが修正プログラムを適用するよう注意喚起したこと。もうひとつは、Microsoftが中国政府と連携すると評価する攻撃グループによるAI活用のサイバー攻撃を報告したことです。
この2件が同じ事件である、あるいはPHPの新しい欠陥をその中国政府系グループが悪用したと確認された、というわけではありません。この記事では公式発表で裏付けられることだけを整理し、WordPress利用者や一般の方が取れる行動を分かりやすく解説します。
※情報の基準日：2026年10月25日。セキュリティ情報は変更されるため、実際の更新時は開発元・レンタルサーバー会社の最新案内を確認してください。
結論：PHPを使うサイトの運営者は、該当バージョンか早急に確認
- PHPの2つの脆弱性（CVE-2026-109618、CVE-2026-109619）は「PHP2shell」と呼ばれる。
- PHP開発元は2026年10月21日に修正版を公表。IPAも10月22日に更新を呼びかけた。
- 悪用条件が成立すると、認証を受けていない第三者にサーバー上でコードを実行されるおそれがある。
- WordPressの管理画面やプラグインを更新しただけでは、サーバーのPHP本体の対策は完了しない。
- AIを用いた攻撃の高速化に関するMicrosoftの分析は別件であり、今回のPHP2shell攻撃と一括りにはできない。
そもそもPHPとは？WordPressにも関係するの？
PHPは、ホームページや会員サイトなどの裏側で動くプログラミング言語です。たとえばお問い合わせフォームの処理、ログイン機能、記事の保存や表示などに使われます。WordPressもPHPを使う代表的な仕組みの一つです。
専門知識がなくてもブログを運営できるのは便利ですが、画面に見えない裏側ではPHPが働いています。だからこそPHP自体に重大な弱点が見つかった場合、利用者が「自分には関係ない」と片づけることはできません。
ただし、PHPを使っているだけで、すべてのサイトが侵入されたわけではありません。脆弱性の影響はバージョン、実行方式、システム構成などによって変わります。運営者は利用中の環境を確認して、提供元の修正情報に従う必要があります。
「PHP2shell」とは何か？2つの重大な脆弱性
CVE-2026-109618とCVE-2026-109619
IPAは2026年10月22日、次の2つの脆弱性への対策を公表しました。
| 識別番号 | IPAが示した概要 |
|---|---|
| CVE-2026-109618 | メモリ不足（OOM）のエラー処理に起因する脆弱性 |
| CVE-2026-109619 | リクエスト処理に関連する脆弱性 |
組み合わせは「PHP2shell」と呼ばれ、悪用された場合には、インターネット越しの第三者がサーバーで任意のコードを実行する可能性があるとされています。これは、サイトを動かしている機械の上で、攻撃者が意図した処理を実行できるおそれがあるという意味です。
深刻な影響には、サイトの改ざん、情報の窃取、追加の侵入などが考えられます。ただし、脆弱性があることと、実際に個人情報が漏えいしたことは別です。被害の有無は調査が必要で、脆弱性発見だけを理由に「このサイトから情報が漏れた」と断定してはいけません。
修正版が公開されたバージョン
2026年10月21日にPHP開発元が修正版を公開しました。IPAが案内している対象と修正版は次の通りです。
| 利用している系統 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| PHP 8.2系 | 8.2.35より前 | 8.2.35 |
| PHP 8.3系 | 8.3.36より前 | 8.3.36 |
| PHP 8.4系 | 8.4.27より前 | 8.4.27 |
| PHP 8.5系 | 8.5.12より前 | 8.5.12 |
PHP開発元は、通常のログインを必要としないリモートコード実行につながる可能性があるとして、更新を強く推奨しています。PHP 8.1以前は開発元によるサポートが終了しているため、サポート中の系列への移行を含めて検討する必要があります。古い系列についてはディストリビューションやサービス提供元のセキュリティ更新方針も確認してください。
出典：IPA｜PHPの脆弱性対策について（PHP2shell）
日本政府・自治体が注意喚起した理由
IPAは「修正プログラムを速やかに適用」と案内
IPAは10月21日に事前準備の案内を出し、翌22日には修正版の公開を受けて注意喚起を更新しました。PHPはウェブサイトから業務システムまで幅広く使われているため、影響を受ける可能性のあるシステムを棚卸しし、適切な更新を行うことが重要です。
内閣官房の国家サイバー統括室からの注意喚起は、経済産業省などを通じて各業界にも共有されました。直ちに修正できない環境では、アクセス制限や一時的なサービス停止を含む対応を検討するよう呼びかけられています。
東京都や財務省も予防的な対応を公表
東京都は10月22日、現時点で都や区市町村への被害は確認されていないとしつつ、修正プログラムの適用や一部サービスの予防的停止などを進めていると説明しました。財務省も10月21日、緊急点検と修正対応のため、一部コンテンツ・サービスを一時停止すると公表しました。
「政府サイトが停止した」と聞いても、それだけで「侵入を受けた」とは限りません。未然に被害を防ぐために止めたサービスと、実際に攻撃されたサービスは分けて考えましょう。
AIがPHPの重大な弱点を見つけたという話は本当？
はい。OpenAIは10月21日、AIを活用した脆弱性の発見・修正の取り組み「Patch the Planet」を公表しました。この取り組みではAIを用いた研究によってPHPの重大な欠陥が見つかり、Wizも独立して両方の脆弱性を発見・報告したとしています。実際の修正とリリースはPHPの開発者らが主導しました。
ここで忘れたくないのは、AIは攻撃者だけの道具ではないということです。プログラムの欠陥を人より速く探す可能性がある一方、見つけた問題を開発者に届け、修正を協力して準備するためにも使われています。
もっとも、AIが欠陥を発見できるからといって、すべてのサイトを自動で守ってくれるわけではありません。運営者が影響を確認し、必要な修正を適用して初めて対策が進みます。
Microsoftの「中国政府系ハッカー集団」発表はPHP攻撃と同じ事件なのか
ここは特に誤解しやすい部分です。Microsoftは10月21日、中国の国家と連携する攻撃主体と評価する「Storm-0940」がAIを利用する侵入テスト用フレームワーク「ARTEX」を悪用し、世界各地の多数の組織を狙ったと報告しました。Microsoftは、この集団がConnectWiseに関連するサプライチェーン侵害に関与したと分析・評価しています。
Microsoftが確認した活動では、攻撃の一部が短時間でクラウド環境の強い権限を得た事例もありました。また、パスワード試行などをAIで高速化すると、防御する側の対応時間が短くなることが指摘されています。
ただし、これはPHP2shellの発見と同じ出来事ではありません。今回のPHP脆弱性をStorm-0940が実際に悪用したという確認は、このMicrosoftの報告にはありません。中国政府が今回のPHPの脆弱性を作った、あるいは日本の特定のサイトを攻撃したと断定することもできません。
「Microsoftが中国政府系と評価した組織による攻撃が報告された」という事実と、「PHPの新しい欠陥を誰が悪用したか」という問いは、慎重に分けて伝えるべきです。
出典：Microsoft Security｜Storm-0940とAI活用攻撃に関する分析
WordPress・レンタルサーバーの利用者がまずやること
1．自分のサイトで使っているPHPのバージョンを確認する
WordPress利用者なら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPバージョンを確認できる場合があります。ConoHa WINGなどのレンタルサーバーでは、サーバー会社の管理画面にPHPバージョン切り替え機能があることもあります。
ただし、サーバー会社が提供しているPHPには独自のセキュリティ修正が適用されることがあります。画面のバージョン番号だけで判断せず、必ずホスティング会社の対応状況・保守情報を確認してください。
2．バックアップと復元方法を先に確認する
PHPを更新すると、古いプラグインやテーマの互換性問題が表面化する場合があります。サイトを運営しているなら、更新前にファイルとデータベースのバックアップを取り、戻し方も確認しましょう。これはセキュリティ更新を遅らせるためではなく、安全かつ迅速に更新するための準備です。
3．PHP本体とWordPressの更新を混同しない
WordPress本体、プラグイン、テーマの更新は大切ですが、それだけでサーバーのPHP自体が更新されるわけではありません。反対にPHPを更新しても、WordPress側の古いプラグインの脆弱性が自動的に解消するとは限りません。両方の状態を確認してください。
4．保守会社・サーバー会社の案内に従って適用する
共用レンタルサーバーでは、利用者がシステム全体のPHPを直接更新できない場合があります。自分の権限と契約プランで更新できる範囲を確認し、提供元が公表する対策に従ってください。不明な場合はサポートに「PHP2shellへの対応状況と、利用中のPHP系列が安全か」を問い合わせることができます。
5．更新が難しい場合も放置しない
互換性などで直ちに更新できないときは、アクセス制限、影響を受ける機能の一時停止、ログの点検、監視強化などを提供元と検討しましょう。ただしPHP開発元は完全な回避策はないとして修正更新を重視しています。WAFだけを頼りに長期放置する方法はおすすめできません。
普通にネットを見るだけの人にも対策は必要？
一般の閲覧者が、利用先のサーバーのPHPを自分で更新することはできません。スマートフォンやWindowsにPHPを新しくインストールする必要があるという話でもありません。
利用者ができることは、ログイン先からの正式な通知を確認し、不審なメールを開かず、重要なアカウントのパスワードを使い回さないことです。可能なら多要素認証やパスキーを設定し、知らないログインや不正な利用履歴がないか確かめてください。
「PHPの脆弱性が見つかったので今すぐこのリンクから本人確認を」というメールが届いたら、クリックせずにサービスの公式アプリや、普段使うブックマークから確認してください。
関連記事：GMO・カプコンの情報漏えいは何が起きた？公式発表と個人の対策
よくある質問
Q．自分のWordPressサイトはすでに乗っ取られていますか？
PHPに脆弱性があることと、実際に侵入されていることは違います。利用中のバージョン、サーバーの構成、アクセスログなどを確認しない限り断定できません。心配な場合はサーバー会社の案内と、管理画面のセキュリティ通知を確認しましょう。
Q．PHPを新しいバージョンへ変更すれば対策完了？
公式の修正済みバージョンや提供元の安全な更新パッケージを適用することが基本です。ただし、サイトの動作確認やWordPress本体・プラグインの更新、ログ点検なども必要に応じて行いましょう。
Q．Microsoftは「中国政府がPHPの欠陥を使って攻撃した」と発表したの？
いいえ。Microsoftが中国政府と連携する攻撃主体と評価したStorm-0940のAI悪用を分析したことは事実ですが、その報告だけで、今回のPHP2shellの悪用主体を特定したことにはなりません。
Q．AIはセキュリティを悪化させるだけ？
いいえ。AIによって攻撃準備や大量の試行が速くなることはありますが、今回のPHPの問題の発見や開発者への修正支援など、防御にも利用されています。重要なのは発見から修正・適用までの時間を短くすることです。
まとめ：サイト運営者はPHPの状態を確認、閲覧者は公式情報を確かめる
今回のPHP2shellでは、PHP開発元が重大なリスクを公表し、IPAや政府関係機関が早期の対応を呼びかけました。国内の行政機関でも、被害の有無と切り離して予防的にサービスを止める対応が行われています。
サイトを運営している方は、①PHPのバージョンと提供元の修正状況を確認、②バックアップを確保、③必要な修正を迅速に適用、④更新後の動作とログを点検。この順番を意識してください。
一方、AIを使う中国政府関連と評価された攻撃グループの動きについては、PHPの脆弱性問題と別々に事実を確認することが大切です。驚くニュースほど、見出しだけで断定せず、公的機関と開発元の一次情報を確認しましょう。
※本稿は2026年10月25日時点の公式発表に基づいています。修正状況は更新され得ます。サイトの更新作業はバックアップ・互換性・提供元の案内を確認して実施してください。
