PHP2Shellとは？PHP重大脆弱性をわかりやすく解説｜pixiv・ニコニコが緊急メンテ・阿部寛のホームページも一時見られず・高市首相も呼びかけ｜止まったサービス一覧・AIが発見・今やること・英語ニュースの読み方
- ウェブの裏側で動くプログラム言語PHPに、ログインなしで外からサーバー上で不正なプログラムを動かされるおそれのある穴が2つ見つかった（通称PHP2Shell、2件とも深刻度は10点満点の9.2）
- 修正版は10月21日（予告は日本時間23時）に公開。その前後にpixiv・ニコニコ、銀行や鉄道会社のネットサービス、首相のホームページなどが一時停止
- 穴を見つけたのはAIを使った研究者。ふつうの利用者がPHPを更新する必要はなく、対応するのはサイトやサーバーの運営側
何が起きた？発見から公開までの約2か月
実は穴が見つかったのは8月。それから2か月、PHPの開発チームと研究者、大手IT企業が悪用されないよう非公開で修正と公開の時期を調整し、10月21日に一斉に公開しました。
- 8月19日セキュリティ会社Wiz（Google傘下）の研究者が、AIを使って最初の穴を発見
- 8月24日WizがPHPのセキュリティチームに報告
- 9月21日PHP側が報告を受理。関係者と調整しながら、非公開で修正を進める
- 10月17日Amazonの「おとりサーバー（ハニーポット）」に、この穴を狙った攻撃の試みがすでに届く（公開の4日前）
- 10月20日PHPが「特別な修正版を出す」と予告。番号（CVE）が出回り始める
- 21日
午後〜夜BASE、コドモン、pixiv、ニコニコ、ゲーム、銀行などが次々と緊急メンテへ - 21日夜高市首相がXで「今夜に対応して頂きたい大至急のお願い」。すぐ直せないならサイトの一時停止も有効、と呼びかけ
- 21日
23時予定PHPが修正版を公開（予告は協定世界時の14時＝日本時間23時） - 22日「阿部寛のホームページ」も置き場所のサービスのメンテナンスで一時見られなくなり、Xでトレンド入り。首相や閣僚のホームページも停止。サービスは順次再開へ
政府は、今のところ被害の報告はないとしています。多くの会社は、安全のための予防的な停止と説明しています。修正版と技術情報が公開されたあと、悪用の試みが増えることも警戒されていました。ただし、すべてのサービスについて攻撃や被害の有無がはっきりしたわけではありません。
PHP2Shellとは？わかりやすく
PHPは、ウェブサイトの裏側（サーバー）で動くプログラム言語です。ブログを表示したり、ログインやショッピングの処理をしたりするのに使われ、WordPressもPHPで作られています。
サイトの割合※
（CVSS・10点満点）
PHP 5.4から
今回の穴は2つ（番号はCVE-2026-109618とCVE-2026-109619）。研究者たちからは通称PHP2Shell（ピー・エイチ・ピー・トゥー・シェル）と呼ばれています。Shell（シェル）はコンピューターに命令を打ちこむ窓口のことで、「PHP to shell」＝PHPの穴を足がかりに、サーバー上で命令を実行できるところまで行けるという意味の名前です。2021年に世界中を騒がせた「Log4Shell」と同じ名づけ方です。
- サーバーは、同じテーブルを次々とお客さんが使うレストランのようなもの（お客さん＝アクセス）
- あるお客さんが食事の途中で倒れる（メモリ不足のエラー）と、片付けが中途半端になる
- テーブルに前のお客さんの伝票やカギが残ったまま、次のお客さんが座る
- 悪い客はわざと「倒れる」ように仕向け、残ったカギを使って厨房（サーバーの中）で勝手なことをする
実際の中身は「メモリ不足のときの後始末の不備」と「前のアクセスで使ったメモリを解放したあとも、それを指す内部情報が残り、同じワーカー（処理係）が次のアクセスで誤って使ってしまう不具合」です。Wizは、検証した時点の「latest」タグのコンテナイメージで動かしたWordPress・Drupal・Joomlaの環境で、ログインなしに不正なプログラムを動かせることを確かめています。成功すると、情報を盗まれたりサイトを書きかえられたりするおそれがあります。
どのバージョンが危ない？
| PHPのバージョン | どうなる？ |
|---|---|
| 8.5 / 8.4 / 8.3 / 8.2 | 修正版あり：それぞれ 8.5.12／8.4.27／8.3.36／8.2.35 以降へ |
| 7.4〜8.1 | PHPからの新しい正式版はなし（最小限の修正コードは公開）。OSやサーバー会社の修正版を確認し、サポート中の版へ |
| 5.4〜7.3 | サポート終了。PHPからの修正なし → サポート中の版へ |
なぜここまで大騒ぎになった？3つの理由
止まったサービス一覧（報道ベース）
21日の午後から22日にかけて、全部または一部を止めたと報じられた主なサービスです。各社が理由として「PHP」とはっきり書いているとは限りません。銀行や鉄道はウェブサイトや一部のネットサービスの停止で、お金のやりとりや列車の運行そのものが止まったわけではありません。
pixiv・BOOTHは夜のうちに作業を終え、ニコニコも予防のメンテナンスから復旧したと報じられています。
なぜ「阿部寛のホームページ」まで？
「阿部寛のホームページ」は、とにかく表示が速いことで有名なシンプルなサイト。ネットの速さを試すときに開く人もいるほどで、「あそこが見られないなら回線の問題」と言われてきました。
そのサイトが22日朝、「緊急メンテナンス」の表示に。サイトが置かれている「@nifty ホームページサービス」が、PHPの穴に対応するため21日夜から緊急メンテナンスに入ったためとみられます。阿部寛さんのサイト自体に穴があったと確認されたわけではなく、置き場所のサービス全体の点検で一時的に見られなくなったとみられます。Xでは「静的HTMLに戻ろう」といった、驚きと笑いまじりの投稿も話題になりました。
見つけたのはAI？10年以上残っていた穴
今回の穴は、AIを使った研究で見つかりました。
| だれ | 使ったAI |
|---|---|
| Wiz（Google傘下） | Wiz Atlas、Gemini 4 Argon、GPT-5.6 Sol |
| Calif（OpenAIの「Patch the Planet」に参加） | GPT-5.6 Sol |
影響は少なくとも2012年に出たPHP 5.4までさかのぼり、ここ10年に出たPHPはすべて、どちらかの穴の影響を受けるとされています。長年使われ、多くの技術者が調べてきたコードに、問題が公に直されないまま10年以上残っていたことになります。
Wizは「以前なら一流チームが何か月もかかった仕事を、1人の研究者が1週間でやり終えた」と書いています。AIは守る側の研究を速める一方、攻撃コードづくりにも使われうるとWizは注意しています。今回の発見は、その両面を改めて意識させるものになりました。
私たちは何をすればいい？
- PHPを自分で更新する必要はありません。メンテナンス明けを待ちましょう
- 騒ぎに便乗した「脆弱性対応のためパスワードを再設定して」のようなメールやSMSに注意。リンクは開かず、公式アプリやブックマークから確かめる
- あとで使っているサービスから正式なお知らせ（パスワード変更のお願いなど）が出たら、それに従う
- WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認
- PHP 8.2〜8.5なら、同じ系列の 8.2.35／8.3.36／8.4.27／8.5.12 以降へ。レンタルサーバーやOSの修正版は番号が違うこともあるので、会社のお知らせを確認（会社側で対応済みのことも多い）
- WordPressやプラグインの更新では直りません。直すのはサーバーのPHP本体
- PHP 8.1以前なら、上の4つに当てはまる修正版はありません。サーバー会社やOSの修正版を確かめ、サイトが動くか確認したうえでサポート中の版へ移る。すぐ無理なら一時的にサイトを止めるのも手
- Amazonは「調べるなら公開日ではなく10月17日から」とすすめている。アクセス記録におかしな点がないか確認
ニュースの英語で読んでみよう
海外ではこのニュースが「PHP Armageddon（PHPハルマゲドン）」という見出しで報じられるほどの大騒ぎに。英語ニュースによく出る単語をおさえておくと、IT系のニュースがぐっと読みやすくなります。
例文で読む
ミニクイズ（全4問）
よくある質問
Q. PHP2Shellとは何ですか？
Q. 一般の利用者は何かする必要がありますか？
Q. なぜ阿部寛のホームページが見られなくなったのですか？
Q. 個人情報の流出などの被害はありましたか？
Q. 自分のWordPressサイトは大丈夫ですか？
あわせて読みたい
参考にした発表・報道
- Wiz「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」
- OpenAI「Patch the Planet: global response coordination as agents uncover critical vulnerabilities」
- Tenable「php2shell (CVE-2026-109618, CVE-2026-109619) FAQ」
- AWS Security Blog「Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure」
- TechCrunch「PHP Armageddon: OpenAI, Google’s Wiz find ancient holes」
- ITmedia NEWS「PHPの『緊急』レベルの脆弱性、開発元が修正バージョン公開」
- Impress Watch「国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策」
- ビジネス+IT「PHP重大脆弱性でWebサイト緊急停止」
- TBS NEWS DIG（Yahoo!ニュース）「高市総理『大至急のお願いです』」
- 時事ドットコム「高市首相・自民幹部がホームページ停止 PHP問題で」
- 電ファミニコゲーマー「『阿部寛のホームページ』がXでトレンド入り」
