皆さんこんにちは、BREAJONブログ担当のカズです。

　2026年10月21日、PHPというホームページを作る上での土台となるプログラミング言語『PHP』において、危険度の高い問題が2件見つかり、修正版が公開されました。Xなどでも話題となり、数多くの企業のホームページなどが一時的に緊急メンテナンスを行い、アクセスできなくなりました。

　この問題を悪用されると、条件によっては、攻撃者がログインしなくても、Webサイトが動いているサーバーで不正なプログラムを動かせる可能性があります。「サーバーで不正なプログラムを動かせる」と聞くと、とても怖く感じるかもしれません。ただし、PHPに問題が見つかったからといって、すべてのWebサイトが被害を受けたわけではありません。実際に危険かどうかは、使っているPHPのバージョンやサーバーの設定によって変わります。この記事では、PHPを知らない人にもわかるように分かりやすく解説していきます。

この記事でわかること

・PHPとは何か

・脆弱性とは何か

・今回の問題で何が危険だったのか

・攻撃されると何が起こるのか

・WordPressにも関係するのか

・管理者と一般ユーザーができる対策

■PHPとは？Webサイトの裏側で働く仕組み

　PHPとは、Webサイトの裏側で動くプログラミング言語です。プログラミング言語とは、コンピューターに仕事をお願いするための言葉です。たとえば、ネットショップで商品ページを開くと、サーバーでは次のような仕事が行われています。

・商品の名前を探す

・価格を表示する

・在庫があるか確認する

・ログインしているか確認する

・注文フォームの内容を処理する

■PHPは画面に見えない場所で動いている

　利用者が見るのは、スマートフォンやパソコンに表示されたWebページです。しかし、そのページを表示するために、裏側ではサーバーがいろいろな処理をしています。PHPは、Webサイトの裏側で働くスタッフのようなものです。そのため、PHPに問題があると、PHPを使っているWebサイトやサービスに影響する可能性があります。

■脆弱性とは？攻撃に使われる弱点

　脆弱性とは、ソフトウェアにある「攻撃に使われる可能性のある弱点」です。家で例えると、普段は気付かないけれど、特別な方法で開けられてしまう裏口のようなものです。その裏口から入られると、本来は許可されていない操作をされる可能性があります。

■脆弱性があっても、必ず被害が出るわけではない

　脆弱性が見つかったことと、実際に被害が出たことは同じではありません。仮に脆弱性があっても、攻撃者が悪用しなければ被害は起こりません。ただし、インターネットからアクセスできるサーバーに脆弱性が残っていると、外部から攻撃される可能性があります。また、修正版が公開されると、攻撃者が問題の内容を調べやすくなることがあります。そのため、Webサイトの管理者は、修正版への更新を後回しにしないことが大切です。

■2026年10月に修正されたPHPの問題

　2026年10月21日、PHPの開発元は、次の2件の脆弱性を修正しました。

今回の問題は「PHP2Shell」と呼ばれています。CVEとは、脆弱性を見分けるための番号です。CVSSは、脆弱性がどれくらい危険かを数字で表したものです。CVSS 9.2は、深刻度の分類で「Critical（緊急）」に該当します。人間で言うと今すぐ病院で手術を受けなければならない状態です。ただし、この数字は、すべてのWebサイトで実際に起きた被害の大きさを表すものではありません。

出典：PHP公式サイトのセキュリティ情報

1件目：メモリが足りないときの処理に問題

■CVE-2026-109618

　1件目は、コンピューターのメモリが足りなくなったときの処理に関する問題です。メモリとは、コンピューターが作業中のデータを一時的に置いておく場所です。机に例えると、メモリは作業スペースです。机がいっぱいになると、新しい作業を続けるのが難しくなります。通常、メモリが足りなくなった場合は、安全に処理を止める必要があります。しかし今回の問題では、処理が途中で止まったあとに、不完全なデータが使われる可能性がありました。

　流れは次のとおりです。

1. リクエストの処理で内部データが作られる

2. そのデータを保存していたメモリが解放される

3. 古い情報が残る

4.後続の処理で古い情報が使われる可能性がある

　この脆弱性も、条件によっては、攻撃者による不正なプログラムの実行につながる可能性があります。

■何が危険だったのか

1.  サーバーが外部からデータを受け取る

2. PHPがそのデータを処理する

3. メモリが足りなくなり、処理が途中で止まる

4. 途中までしかできていないデータが残る

5. そのデータが、あとで間違って使われる可能性がある

　本来なら、途中で失敗したデータは安全に捨てなければなりません。しかし、そのデータが残ってしまうと、攻撃者が用意した特別なデータによって、PHPの動きをおかしくされる可能性があります。条件がそろうと、サーバー上で不正なプログラムを動かされる可能性がありました。

2件目：使い終わったメモリを間違って使う問題

■CVE-2026-109619

　2件目は、使い終わったメモリを解放したあと、その場所にあった古いデータを使ってしまう問題です。プログラムは、使い終わったメモリを片付けて、別の処理で使えるようにします。しかし、片付けたあとの古いデータを間違って使うと、プログラムが予想外の動きをすることがあります。この問題は「Use After Free（解放後使用）」と呼ばれます。会議室に例えると、会議室を使い終わったので片付けて、次の人に貸したとします。ところが、前に使っていた人が「まだ自分の部屋だ」と思い込み、勝手に入ってきたら困りますよね。これと似たように、プログラムが「もう使ってはいけない場所」を使ってしまうのが、Use After Freeです。

■何が危険だったのか

1.  PHPがリクエストのデータを処理する

2. データを置いていたメモリを片付ける

3. その場所を別の処理が使う

4. それなのに、PHPが古いデータを使ってしまう

5. プログラムの動きがおかしくなる可能性がある

　この問題も、攻撃者が特別なデータを送ることで、PHPの動きを操作される可能性がありました。条件によっては、サーバー上で不正なプログラムを動かされる可能性があります。

■今回の2件で、特に危険だったこと

　今回の問題で特に注意が必要なのは、攻撃者がログインしなくても悪用できる可能性があったことです。通常、不正アクセスをするには、パスワードを盗んだり、アカウントを乗っ取ったりする必要があります。しかし今回の問題では、脆弱なPHPが外部からのデータを受け取る設定になっていると、特別なデータを送るだけで攻撃される可能性がありました。つまり、攻撃者が正しいパスワードを持っていなくても、サーバーの弱点を利用できる可能性があったということです。

　そのため、パスワードを複雑にするだけでは十分な対策になりません。PHPを修正版へ更新する必要があります。

PHPの脆弱性を悪用されると、何が起こる？

　最も大きな危険は、攻撃者がサーバー上で不正なプログラムを動かせる可能性があることです。「任意のコード実行」とは、攻撃者が本来許可されていないプログラムを、サーバー上で動かせる状態です。ただし、実際にどこまで被害が広がるかは、サーバーの権限や設定によって変わります。

1. Webサイトを書き換えられる

　攻撃者がWebサイトのファイルを変更できると、次のような被害が考えられます。

・ページの文章や画像を書き換えられる

・不正なページを設置される

・偽サイトへ誘導される

・サイトの一部が使えなくなる

　たとえば、正しいログイン画面に見せかけた偽の画面を作られ、パスワードを盗まれる可能性があります。ただし、今回の脆弱性によって、すべてのサイトが改ざんされたと確認されているわけではありません。

2. 情報を見られたり、盗まれたりする

　Webサイトやデータベースには、次のような情報が保存されている場合があります。

・会員情報

・注文情報

・配送先情報

・利用履歴

・サービスの設定情報

　攻撃者が必要な権限まで取得すると、これらの情報を見られる可能性があります。ただし、PHPに脆弱性が見つかっただけで、すぐに情報漏えいが起こるわけではありません。

3. Webサイトが使えなくなる

　攻撃者がファイルを変更・削除したり、サーバーに大きな負荷をかけたりすると、Webサイトが表示されなくなる可能性があります。ネットショップの場合は、次のような問題が起こることもあります。

・商品ページが開けない

・ログインできない

・注文できない

・管理画面が使えない

4. ほかのシステムへの攻撃に使われる

　サーバーに保存されたパスワードや接続情報が盗まれると、別のシステムへの攻撃に使われる可能性があります。たとえば、同じパスワードを別のサービスでも使っていると、被害が広がるおそれがあります。ただし、実際に別のシステムへ侵入できるかどうかは、ネットワークや権限の設定によって異なります。

■管理者と一般ユーザーの確認と対策

　WordPressを使っているWebサイトも、PHPの脆弱性の影響を受ける可能性があります。WordPressは、PHPを使って動くWebサイト管理システムです。WordPress本体やプラグインを更新していても、サーバーのPHPが古いままだと、今回の問題への対策が終わっているとは限りません。

■WordPressを使っている人が確認すること

・サーバーのPHPバージョン

・PHPの修正版が適用されているか

・レンタルサーバー事業者からのお知らせ

・WordPress本体の更新状況

・プラグインやテーマの更新状況

・Webサイトのバックアップ

　WordPressを使っていない場合でも、PHPを使っているWebサイトやサービスは影響を受ける可能性があります。

■一般ユーザーにも関係する？

　一般ユーザーが、自分でPHPを更新する必要は通常ありません。PHPの更新は、Webサイトの管理者やサービス提供者が行います。ただし、利用しているネットショップや会員制サービスが攻撃を受けると、次のような影響を受ける可能性があります。

・サービスを利用できなくなる

・偽のページへ誘導される

・不正なメールが届く

・登録情報の変更を求められる

・パスワードの変更を求められる

　Webサイトを見ただけで、必ず自分のパソコンやスマートフォンが感染するという意味ではありません。

■一般ユーザーができること

・不審なリンクを開かない

・サービスからのお知らせを確認する

・パスワードを使い回さない

・多要素認証を使う

・不審なログイン通知がないか確認する

・怪しいメールからパスワードを変更しない

■PHPの脆弱性への対策

　最も重要な対策は、PHPを修正版へ更新することです。PHPの開発元は、2026年10月21日に次の修正版を公開しています。たとえば、PHP 8.4.26を使っている場合は、PHP 8.4.27以降へ更新します。ただし、サーバー事業者が独自に修正している場合もあります。そのため、バージョン番号だけで判断せず、利用しているサーバー事業者の案内も確認してください。

1. PHPのバージョンを確認する

　レンタルサーバーを使っている場合は、管理画面でPHPのバージョンを確認できることがあります。自社サーバーの場合は、サーバー管理者や保守会社に確認してください。

・PHPのバージョン

・修正版が適用されているか

・サーバー事業者による独自修正の有無

・PHPのサポート期間

2. PHPを修正版へ更新する

　影響を受けるバージョンを使っている場合は、修正版へ更新します。更新後は、次の機能が正常に動くか確認してください。PHPの更新によって、古いプログラムやプラグインが動かなくなる場合があります。更新前にバックアップを取っておくと安心です。

・Webサイトの表示

・ログイン

・問い合わせフォーム

・商品の購入

・注文処理

・管理画面

3. サポートが終了したPHPを使わない

　サポートが終了したPHPは、新しい脆弱性が見つかっても修正版が提供されない可能性があります。PHP 8.1以前を使っている場合は、現在のサポート状況を確認し、サポート対象のバージョンへの移行を検討してください。ただし、Linuxの種類やサーバー事業者が独自に修正を提供している場合もあります。利用環境の公式情報を確認してください。

4. 更新できない場合は管理者に相談する

　古いシステムでは、PHPを更新するとWebサイトが動かなくなることがあります。それでも、脆弱性を放置してはいけません。サーバー管理者や保守会社に、次の点を確認してください。アクセス制限は、一時的に危険を下げるための対策ですので、PHPを更新する代わりにはなりません。

・現在のPHPバージョン

・今回の脆弱性への対応状況

・修正版の適用予定

・更新できない場合の一時的な対策

・アクセス制限やサービス停止の必要性

■Webサイトを停止するべき？

　PHPに脆弱性が見つかったからといって、すべてのWebサイトをすぐに停止する必要があるわけではありません。判断するには、次の情報が必要です。

・PHPのバージョン

・修正版が適用されているか

・外部からアクセスできる構成か

・サーバーの権限設定

・一時的な対策ができるか

　修正版へ更新できる場合は、更新後にWebサイトの動作を確認するのが基本です。すぐに更新できず、アクセス制限もできない場合は、サービスの一時停止を検討します。大切なのは、脆弱性があるから必ず停止することでも、Webサイトが動いているから問題ないと考えることでもありません。利用環境を確認し、管理者や保守会社と対応を決めることが重要です。

■PHPの脆弱性に関するよくある質問

Q1. PHPの脆弱性とは何ですか？

　PHPにある、攻撃者に悪用される可能性のある弱点です。今回の問題では、条件によって、攻撃者がログインせずにサーバー上で不正なプログラムを動かせる可能性がありました。

Q2. 今回の問題は、どれくらい危険ですか？

　2件ともCVSS v4.0で9.2と評価され、深刻度の分類では「Critical（緊急）」に該当します。ただし、実際の被害は、サーバーの構成や権限設定によって異なります。

Q3. WordPressを使っている場合も対策が必要ですか？

　はい。WordPressはPHPを使って動くため、サーバーのPHPが影響を受ける場合は対策が必要です。WordPress本体やプラグインだけでなく、サーバーのPHPも確認してください。

Q4. 一般ユーザーもPHPを更新する必要がありますか？

　通常、PHPを更新するのはWebサイトやサーバーの管理者です。一般ユーザーは、不審なリンクを開かない、パスワードを使い回さない、多要素認証を使うといった対策を行いましょう。

Q5. PHPを最新版にすれば、すべての問題が解決しますか？

　いいえ。今回の脆弱性への対策にはなりますが、Webサイト全体の安全が保証されるわけではありません。WordPress、プラグイン、テーマ、サーバー設定、アクセス権限、バックアップなども適切に管理する必要があります。

Q6. 今回の脆弱性による被害は発生していますか？

確認できる情報の範囲では、IPAは2026年10月21日時点で、今回の2件を悪用した攻撃を確認したとは説明していません。ただし、この情報だけで、世界中のすべての攻撃が存在しないと断定することはできません。最新情報は、IPAの脆弱性対策情報とPHP公式サイトで確認してください。

■まとめ

■まずはPHPの更新状況を確認しよう

　2026年10月21日、PHPで深刻な脆弱性が2件修正されました。今回の問題で危険だったのは、攻撃者がログインしなくても、特別なデータを送ることでPHPの動きをおかしくできる可能性があったことです。条件がそろうと、サーバー上で不正なプログラムを動かされる可能性がありました。ただし、脆弱性が見つかったことと、実際に被害が出たことは同じではありません。影響は、PHPのバージョンやサーバーの設定によって異なります。

管理者は、次の3点を確認してください。

1. PHPのバージョンと修正状況を確認する

2. 影響を受ける場合は、修正版へ更新する

3. 更新できない場合は、管理者や保守会社に相談する

　一般ユーザーは、利用しているサービスからのお知らせを確認し、不審なリンクを開かない、パスワードを使い回さない、多要素認証を使うといった基本対策を続けましょう。

■今すぐゲーミングPCを試してみたい方へ！

　弊社では、ゲーミングPCのサブスクリプションサービスを行っています。自分のスタイルに合わせて様々なプランの中からお選びいただけます。最低ご使用期間以降、ご解約料金等は一切発生いたしませんので、安心してご利用いただけます。また、ご希望のスペックを満たさなかった場合は他のプランへの変更が可能となっております。

　その他にも、BREAJONのサブスクリプションサービスではご利用期間中は不具合や故障発生時のサポート体制が充実しております！しかも自然故障の場合は無償での保守に対応してます。万が一壊してしまったらどうしようと不安な方には、さらに安心の過失故障にも対応した『BREAJON Care』(月額1,320円)も提供しております。

　さらに、ゲームに適したキーボード、マウス、マウスパッド、モニターが付属する周辺機器セット(月額6,820円)も提供しておりますので商品が到着次第、すぐにご利用することが出来ます。こちらは6か月のご使用でそのままプレゼントいたします！

　安心のサービスをお求めの方、まずは試しにゲーミングPCを使ってみたい方は是非サブスクリプションサービスを使ってみてはいかがでしょうか！

　下のバナーをクリックして、ぜひゲーミングPCをお気軽にご体験ください！

Discord公式サーバーを開設しました！

パソコンの事からゲームの事まで幅広くサポートいたします！

是非お気軽にご参加ください！

Discordサーバー参加はコチラから

最後までお読みいただきまして、誠にありがとうございました。

また別の記事でお会いしましょう！

BREAJONブログ担当　カズ

• Link
• X
• YouTube