【緊急】PHPの脆弱性「PHP2Shell」について：影響範囲とウルトラサーバーの対応

「PHP2Shell」は、PHP本体における2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619／いずれもCVSS 9.2）に対する通称です。なお、PHP公式の修正版は2026年10月21日に公開されました。

この記事の要点

PHP本体に、ログイン不要で外部からサーバー上のプログラムを実行される重大な脆弱性が2件見つかりました。通称「PHP2Shell」、深刻度は10点満点中9.2です。
修正前のPHPで動くWordPressなどのサイトは、プラグインやテーマの状態にかかわらず影響を受けるおそれがあります。
PHP公式の修正版は、日本時間10月21日深夜に公開されました。ウルトラサーバーでは10月22日、提供中のすべてのPHP（7.4、8.3、8.5）への修正の適用を完了いたしました。
すべてのお客様に、運用中のサイトをPHP 8.3へ切り替えていただくことを強くおすすめいたします。当社では近い将来、PHP 8.3より前のバージョンのサポートを終了し、提供そのものも廃止する見込みです（時期は未定）。

2026年10月20日、PHPの開発チームは、PHP本体に深刻な脆弱性が2件あることを事前告知し、翌21日に修正版を公開しました。研究者のあいだでは「PHP2Shell」と呼ばれており、国内でもIPA（情報処理推進機構）が事前準備を呼びかけています。本記事では、PHPの脆弱性PHP2Shellの内容と影響範囲、ウルトラサーバーをご利用のお客様への影響、当社の対応、そしてお客様にお願いしたいことを順にご案内いたします。

PHP2Shellとは：PHP本体に見つかった2件の重大な脆弱性

PHP2Shellは、Webサイトを動かすプログラミング言語「PHP」そのものに見つかった、2件の脆弱性の通称です。識別番号はCVE-2026-109618とCVE-2026-109619で、いずれも脆弱性の深刻度を0から10で示す世界共通の指標（CVSS v4.0）で9.2と、最も危険な「緊急」の水準に分類されています。

どちらも、PHPがメモリ不足などのエラーで処理を中断したあとの、後片付けの不具合に原因があります。攻撃者は細工したリクエストを送ってこの状態を意図的に起こし、サーバー上で任意のプログラムを実行できます（リモートコード実行、RCE）。ログインは必要なく、WordPressなどのプログラムが動き出す前の段階で攻撃が成立することを、PHP公式が実証済みの例として示しています。

識別番号	内容	深刻度
CVE-2026-109618	エラーで処理が中断したあとの片付けが不十分で、壊れたデータを正しいものとして扱ってしまう	9.2（緊急）
CVE-2026-109619	エラー後に片付け漏れの情報が残り、次のアクセスで悪用されてしまう	9.2（緊急）

本来は修正版の公開日まで伏せられる予定でしたが、情報が予定より早く漏れたため、PHPの開発チームは公開を前倒ししました。海外では攻撃の試みが観測されたと報じられていますが、実際の被害はまだ確認されていません。詳しくはPHP公式サイトのセキュリティ勧告（英語）をご覧ください。

影響を受けるPHPのバージョン

修正版より前のPHPは、サポートが終了した古いバージョンも含め、ほぼすべてが影響を受けると報告されています。Webページを表示する一般的なサーバー構成（PHP-FPM、Apacheのmod_php、LiteSpeedなど）は、いずれも対象です。PHP公式が修正版を公開したのは、現在サポート中の4系列です。

PHPのバージョン	公式の修正版
PHP 8.5	8.5.12で修正
PHP 8.4	8.4.27で修正
PHP 8.3	8.3.36で修正
PHP 8.2	8.2.35で修正
PHP 8.1以前（7.4、8.0、8.1を含む）	公式の修正版なし。7.4、8.0、8.1にはPHPの開発チームが緊急措置として最小限の修正を公開

WordPressのサイトが特に注意すべき理由

WordPressはPHPの上で動いています。今回の脆弱性はPHP本体にあるため、WordPress側の更新だけでは解消しません。WordPressを最新にしていても、PHPが修正前のままであれば攻撃を受けるおそれがあります。WordPressの脆弱性対策とあわせて、PHPのバージョン管理が欠かせません。

ウルトラサーバーをご利用のお客様への影響

ウルトラサーバーでは、10月16日にPHPバージョンのアップデートを実施し、提供バージョンをPHP 7.4、8.3、8.5に切り替えたばかりでした。

今回の脆弱性は修正前のすべてのバージョンに及びます。そのなかで、先週のアップデートが修正への近道になりました。提供中のPHP 8.3と8.5は公式の修正版が公開された系列で、すぐに修正を適用できます。PHP 5.3や7.1のままであれば、修正版そのものが存在しないところでした。

ウルトラサーバーの提供バージョン	今回の脆弱性への対応
PHP 8.5	公式の修正版（8.5.12）を適用済み
PHP 8.3	公式の修正版（8.3.36）を適用済み。当社が推奨するバージョンです
PHP 7.4	修正を適用済み。PHP公式のサポートは終了しており、当社でも近い将来サポートを終了する予定です

ウルトラドメインの対応

当社では、PHP公式の修正版の公開に備えて事前に作業手順を整えており、10月22日、ウルトラサーバーの提供中のすべてのPHP（7.4、8.3、8.5）への修正の適用を完了いたしました。サーバー側のPHPの修正は、当社ですべて行っております。メンテナンスの情報は工事・障害情報でもご確認いただけます。

そのうえで、すべてのお客様に、運用中のサイトをPHP 8.3へ切り替えていただくことを強くおすすめいたします。

PHP 7.4にも修正を適用済みですが、PHP公式のサポートはすでに終了しています。当社では近い将来、PHP 8.3より前のバージョンのサポートを終了し、提供そのものも廃止する見込みです（時期は決まり次第お知らせいたします）。PHP 7.4でサイトを運用中のお客様は、お早めにPHP 8.3への切り替えをお願いいたします。

お客様にお願いしたいこと

1. ご利用中のPHPのバージョンを確認する

サーバーのコントロールパネルでご確認いただけます。WordPressをお使いの場合は、管理画面の「ツール」から「サイトヘルス」を開き、「情報」タブの「サーバー」でもPHPのバージョンを確認できます。

2. すべてのサイトをPHP 8.3へ切り替える

切り替え後は、表示や問い合わせフォームなど、サイトが正しく動くかをご確認ください。古いテーマやプラグインは新しいPHPで動かないことがあるため、事前にWordPress本体・テーマ・プラグインを最新にしておくと安心です。

3. 不審な変化がないか確認する

WordPress管理画面の「ユーザー」に見覚えのない管理者がいないか、また知らないファイルや改ざんされたページがないかをご確認ください。今回の脆弱性ではサーバーのメモリ内の情報が漏れる可能性も指摘されているため、念のためWordPressの管理者パスワードや、サイトで使っているAPIキーなどの変更もご検討ください。

よくあるご質問

WordPressのプラグインを更新すれば防げますか？

プラグインを更新しても、PHP本体の脆弱性は解消しません。対策はPHPを修正版にすることです。ウルトラサーバーでは、提供中のすべてのPHPに当社が修正を適用済みです。

PHP 8.3や8.5を使っていれば、何もしなくてよいですか？

提供中のすべてのPHPに、当社が修正を適用済みです。そのうえで、PHP 8.5をお使いのお客様も含め、すべてのサイトをPHP 8.3へ切り替えていただくことを強くおすすめいたします。あわせて、WordPress本体・テーマ・プラグインを最新に保ち、不審な変化がないかをご確認いただくことをおすすめいたします。

PHP 7.4を使っています。どうすればよいですか？

PHP 7.4にも当社で修正を適用済みです。ただし、PHP公式のサポートは終了しています。コントロールパネルからPHP 8.3へ切り替え、サイトの動作をご確認ください。当社では近い将来、PHP 8.3より前のバージョンのサポートを終了し、提供そのものも廃止する見込みです（時期は決まり次第お知らせいたします）。

ウルトラサーバーへの修正版の適用は終わっていますか？

はい。10月22日に、提供中のすべてのPHP（7.4、8.3、8.5）への修正の適用を完了いたしました。

切り替えや動作確認がわからない場合はどうすればよいですか？

お問い合わせフォームよりご連絡ください。ご利用中の環境を確認のうえ、ご案内いたします。

更新履歴

2026年10月22日：公開
2026年10月22日：PHP 8.3と8.5への修正版の適用完了を反映し、すべてのお客様にPHP 8.3への切り替えをおすすめする内容に更新
2026年10月22日：PHP 8.3より前のバージョンの提供終了予定（終了日は未定）を追記
2026年10月22日：PHP 7.4を含む提供中のすべてのバージョンへの修正適用と、PHP 8.3より前のバージョンのサポート終了・廃止の見込みを明記

参考情報

ご不明な点がございましたら

当社では引き続き状況を確認し、新しい情報があり次第、本ページとお知らせにて更新いたします。PHPのバージョン確認や切り替えでお困りの際は、お問い合わせフォームよりお気軽にご相談ください。ウルトラサーバーのご案内もあわせてご覧いただけます。