【緊急続報】首相も呼びかけたPHP脆弱性｜更新の確認手順と再開状況

自社のサイトやシステムでPHPを使っているか、使っているなら修正済みの版かを、確認する必要があります。高市早苗首相は2026年10月21日夜、X（旧Twitter）で、「大至急のお願い」として、公開しているWEBサイトでPHPを使っているかの確認と、修正パッチの適用準備を呼びかけました。

PHPは、WordPressをはじめ、WEBサイトや業務システムの裏側で動くプログラミング言語です。DX（デジタルトランスフォーメーション）で導入した予約・顧客管理・ECのシステムが、PHPで動いている場合もあります。

前回の記事のあと、IPAが注意喚起を出し、影響を受ける版と修正版が示されました。状況は、公式の情報で更新されています。自社のPHPは修正版になっているのか、どう確かめればよいのか、気になっている方も多いのではないでしょうか。

本記事では、2026年10月23日朝に確認できた公式の情報をもとに、第一報のあとに分かったことを整理し、自社のPHPが修正版かを確かめる手順を解説します。公式サイトのリンクは、巻末の表にまとめています。

【本記事の要点】

• 高市早苗首相はXで、PHPの利用確認と、修正パッチの適用準備を呼びかけた
• IPAは2026年10月22日、影響を受ける版と、修正版（8.2.35、8.3.36、8.4.27、8.5.12）を示した
• 自社のPHPが修正版かを確かめ、更新できない間は緩和策を併用し、停止の判断と連絡先を決める

見出し一覧

続報：PHPの脆弱性php2shellで、第一報のあとに分かったこと

今回のPHPの脆弱性は2件あり、通称は「php2shell」です。どちらも、PHPの更新で修正されるため、本記事では2件をまとめて扱います。

第一報のあとの動きは、首相の呼びかけと、公式・専門事業者の情報の2点です。

首相がXで呼びかけた内容

高市早苗首相は、2026年10月21日夜のX上の投稿で、PHPのセキュリティチームが重大な2件の脆弱性について注意喚起を行っていると述べました。そのうえで、公開しているWEBサイトでPHPを使っているかの確認と、同日午後11時（日本時間）に公開される修正パッチを速やかに適用できる準備を求めています。

修正パッチの速やかな適用が難しい場合は、WEBサイトなどを一時的に停止することも、リスクを低減する有効策の1つと考えられると述べました。国家サイバー統括室のXアカウントの情報も、参考にするよう案内しています。

つまり、サイトを持つ事業者は、更新の準備に加えて、更新が間に合わないときの停止まで、検討する必要があります。

公式と専門事業者が示したこと

前回の記事のあとに確認できた情報から言えるのは、攻撃の手法が実証され、攻撃の通信も観測されているため、更新を急ぐ必要があることです。発表元ごとの内容は、次のとおりです。

IPAは10月21日の時点で、悪用した攻撃を確認しているわけではないとしています。一方で、攻撃の手法は実証され、攻撃の通信も観測されているため、更新を後回しにする理由はありません。

自社のPHPが修正版かを確かめる手順

ここからは、自社のPHPが修正版かを確かめる手順です。PHPを誰が管理しているかの確認は、前回の記事で解説しました。管理主体が分かったら、次の順に進めます。

手順1：PHPのバージョンを確認する

PHPのバージョンは、次のいずれかで確認できます。

確認は、公開中のサイト・システムと、実行環境ごとに行います。複数ある場合は、一覧にまとめましょう。自分で確認できない場合は、管理主体であるサーバー会社や制作会社に、利用中のバージョンを聞きます。

手順2：修正版かを照合する

確認したバージョンを、次の表の修正版と照らし合わせます。同じ系統で、修正版と同じか、それより新しい版であれば、IPAが示す影響の範囲には当たりません。例えば、利用中が8.4系であれば、8.4.27以降が修正版です。

注意したいのは、版番号だけでは判定できない場合があることです。Linuxのパッケージなどは、版番号を上げずに、修正だけを古い版へ反映する場合があります。

この反映のしかたを、専門用語でバックポート（新しい版の修正を古い版へ反映すること）と呼ぶのです。Red Hat（Linuxを提供する米国企業）は、同社の脆弱性情報のページで、版番号だけで判定するスキャナが、修正済みの製品を脆弱と誤って報告することもあると説明しています。

版番号が表の修正版より小さい場合は、契約中のサーバー会社や委託先に、この脆弱性は修正済みかを聞きましょう。提供元が修正済みと案内していれば、版番号が小さくても対応済みの場合があります。

手順3：8.1以前と8.2の扱いを決める

8.1以前は、通常の更新の提供が終了しており、IPAの注意喚起でも、今回の修正は提供されないとされています。ただし、PHP公式は、7.4・8.0・8.1向けに、最小限の修正（バックポート）を例外的に公開しました。サポートの再開ではありません。

8.1以前を使っている場合は、次の順に進めましょう。

1. 配布元・サーバー会社・委託先に、自社の環境向けの修正を提供しているかを聞く
2. 提供しているなら、適用されたかを確認する
3. サポートされているPHPへの移行を計画する（IPAの案内）
4. 有効な暫定対策が難しい場合は、外部からのアクセスの遮断や、サービスの一時停止を判断する（手順4）

8.2系には修正版の8.2.35がありますが、2026年12月31日にサポートが終了します。今回の更新を済ませたうえで、サポートされる版への移行の時期を決めましょう。

手順4：更新できない間の対応を決める

更新に時間がかかる場合の対応は、IPAとPHP公式の案内をもとに、次のように整理できます。

• 更新や移行までは、アクセス制限などの暫定対策をとる（IPA）
• 有効な暫定対策が難しい場合は、外部からのアクセスの遮断や、サービスの一時停止が必要かを判断する（IPA）
• PHP公式の緩和策は、更新できない場合の一時的な対策であり、完全な対策ではない
• WAFも、更新と組み合わせる防御の1つであり、更新の代わりにならない（Cloudflare）

PHP公式は、更新できない場合の緩和策を複数示しています。主な例は、次のとおりです。自分で設定する必要はありません。管理主体に、PHP公式の告知の全項目を確認してもらい、自社の環境・権限・機能への影響を確かめたうえで、適用できるかを判断してもらいましょう。

設定を変更できる契約や権限があるかどうかも、管理主体に確認します。

手順5：更新後に動作を確認する

更新したら、まず手順1と同じ方法で、稼働中のPHPの版を再確認します。版番号を変えずに修正を反映する提供形態では、提供元の修正済みの告知を確認します。対象と適用日は、記録しておきましょう。そのうえで、次の機能が動くかを確認します。

• トップページ、問い合わせフォーム、購入手続き
• 外部サービスとの連携
• 定期的な処理

不具合で、未修正の版に戻した場合は、脆弱性が残ります。戻した先が修正済みかを提供元の情報で確認し、原因を委託先と確かめて、更新をやり直しましょう。

企業・DX担当者の次の一手：委託先への確認項目と停止の判断

サイトやシステムの運用を委託している企業は、委託先に、次の項目を文面で確認します。

貴社のPHPの利用は、システム名・PHPの版・管理主体・更新日を1行ずつ記録した一覧にしておくと、次の脆弱性でも確認が早くなります。

停止の判断は、IPAの案内と、首相の呼びかけが同じ方向を示しています。有効な暫定対策が難しいときは、外部からのアクセスの遮断や、サービスの一時停止の要否を判断するのが基本です。

維持管理の体制を確保できない場合、IPAは、保守を受けられる製品への移行、機能の縮小、公開の終了、廃止も含めた検討を求めています。停止するなら、再開の見込みを含め、顧客への案内を先に決めておくと、混乱を抑えられるでしょう。

まとめ：更新の確認を終えるまでが、今回の対応

PHPの脆弱性への対応は、第一報の「確認する」段階から、「修正版への更新を終え、確かめる」段階に進みました。高市早苗首相がXで呼びかけ、IPAが影響を受ける版と修正版を示しました。

持ち帰る点は、次の3つです。

• 利用中のPHPのバージョンを確認し、修正版と照らし合わせる
• 8.1以前は、提供元の修正の有無を確認して移行を計画し、8.2は年内のサポート終了を見据える
• 更新できない間の緩和策やWAFは、更新の代わりにしない

貴社のサイトやシステムのPHPは、修正版になっているでしょうか。まずは、WordPressのサイトヘルスか、委託先への問い合わせで、PHPのバージョンを確かめるところから始めてみましょう。

状況は変わり続けます。最新の状況は、公式サイトで確認してください。公式サイトのリンクは、次のとおりです。