PHP脆弱性、サイトを見るだけの人・利用者は何をする？

このページは、サイトを「見る・使う」側の方に向けた解説です。 自分で運営・管理しているサイトやサーバーのPHPを確かめたい方は、当サイトのチェッカーをお使いください（ご自身が所有・管理しているものだけを対象にしてください）。チェッカーは、入力されたバージョン番号をブラウザの中で表と照らし合わせるだけで、サイトやサーバーへアクセスして検査することはありません。当サイトは独立したサイトで、PHP Group・php.netとは無関係です。

先に結論

今回の問題（通称「php2shell」、CVE-2026-109618 と CVE-2026-109619）は、サイトを運営している側のサーバーで動くPHPの問題です。確認した公的機関やPHP公式の案内は、サイトの運営者や開発者、組織の担当者に向けたもので、サイトを見る人にアプリのインストールなどを求める記載は見当たりませんでした。
パスワードを変えるべきか、変えなくてよいかは、確認した範囲では、公的機関もPHP公式も述べていません。 このページでも、どちらとも断定しません。利用しているサービスが自社のお知らせで案内していれば、それに従ってください。
「このサービスは使って大丈夫？」に、一律の答えはありません。サービスごとに、PHPを使っているか、対応が済んでいるかが違うためです。判断は、そのサービス自身のお知らせを確認するのがいちばん確実です。
「攻撃はまだ確認されていない」とは言えない状況です。機関ごとの発表は、下の表で日付つきで並べています。

確認日は2026年10月22日です（Q4の表には、各発表の時点を別に書いています）。状況は変わるため、リンク先の最新の案内もご覧ください。

何が起きたのか（1分で）

PHPは、WordPressなど多くのホームページやブログ、会員サイトの裏側で動いているプログラムです。そのPHP本体に重大な脆弱性が2件見つかり、PHP Groupが2026年10月21日に修正版を公開しました。PHP Groupは、どちらも認証なしで、外部からサーバー上で任意のコードを実行され得る（リモートコード実行）ものだと説明しています（php.net）。

危険があるのは「Webの要求を受け付けているPHP」、つまりサイト側のサーバーです。PHP公式は、影響を受ける対象を、Webの要求を処理しているすべてのPHP環境（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど）という趣旨で書いています（原文は英語で、日本語は当サイトによる要約です）。JPCERT/CCとIPAが運営するJVNも、サーバー上で任意のコードが実行される可能性があるとしています（JVN JVNVU#99905564）。

攻撃の手順や仕組みの詳細は、ここでは扱いません。

Q1. 私はサイトを見るだけです。何かインストールや更新が必要ですか？

確認した範囲では、サイトを見る人に何かを入れるよう求める公式の案内は、見当たりませんでした。

IPAの10月21日の案内は、PHPを使っているウェブサイトの運営者や、PHPを使ったウェブアプリケーションの開発者に呼びかける内容です（IPA 事前準備のお願い）。10月22日の続報は、自組織で開発・利用している製品への影響を、その開発者やサービス提供元の情報で確認し、対策を検討するよう案内しています（IPA 2026年10月22日）。
JVNの対策欄は「開発者が提供するパッチを適用する」で、直すのは開発者側です（JVN）。

つまり、手元の端末にこの件専用の修正を入れる、という話ではなさそうです。ただし、これは「あなたに影響が出ない」という意味ではありません。次のQ2〜Q4も合わせてご覧ください。

Q2. パスワードは変えたほうがいいですか？

「変えるべき」とも「変えなくてよい」とも、公式には言われていません。 そのうえで、確かめられている事実を分けて書きます。

PHP Groupは、CVE-2026-109619について、確認済みの影響に「メモリの内容の漏えい（memory disclosure）」を含めています。サーバー内部のメモリの内容が読み取られ得る、という意味です（PHP Groupの公表（GHSA））。もう1件（CVE-2026-109618）の公表では、確認済みの影響は認証なしのリモートコード実行とされています（GHSA）。
脆弱性の調査に関与したセキュリティ企業のWizは、自社ブログで、読み取られ得るメモリにパスワードや認証トークンなどが含まれ得ると説明しています（Wiz）。これは同社自身の説明で、PHP Groupの発表ではありません。
一方で、PHP Group、IPA、JPCERT/CC（JPCERT-AT-2026-0033）、JVNのどの案内にも、一般の利用者にパスワードの変更を求める（または不要とする）記載は、確認した範囲ではありません。なお、JPCERT/CCの注意喚起にある「侵害調査」の項は、ログやPHPのワーカープロセスなどを調べる管理者向けの内容で、一般の利用者に向けたものではありません。

以上から、このページは「パスワードに影響はありません」とは言えませんし、「必ず変えてください」とも言えません。次のように考えてください。

利用しているサービスが、お知らせでパスワード変更などを案内していれば、それに従う。 案内の有無は、そのサービスの公式サイトやアプリ内のお知らせで確認します。
メールやSMSで「パスワードを変更してください」と届いても、本文のリンクから開かず、公式サイトやアプリから自分で開いて確認してください。総務省の国民のためのサイバーセキュリティサイトは、不用意に開かない・インストールしないことを基本に挙げています（今回の件に限った助言ではなく、一般的な注意です）。
一般的な備えとして、同サイトは、強固なパスワードの設定と多要素認証の活用も挙げています。これも今回の件の対処として出されたものではありません。

Q3. 使っているサービスは、使い続けて大丈夫ですか？

サービスごとに違うため、一律には答えられません。 このページでは、特定のサービスについて「問題ない」「問題がある」とは書きません。

サービス側の発表には、たとえば次のような形があります。

「自社のシステムはPHPを使っていないため、影響を受けない。お客様にお願いする作業もない」という趣旨のお知らせ
「PHPの修正を適用した」「対応を進めている」という趣旨のお知らせ
予防措置として、サイトや管理画面、メールなどの機能を一時的に止めるお知らせ

どれに当たるかは、そのサービス自身が決めて、お知らせに書きます。確認の手順は次のとおりです。

そのサービスの公式サイト、公式アプリ内のお知らせ、公式のSNSアカウントを見る（検索で出た別サイトの解説は、公式ではありません）。
「PHP」「脆弱性」「CVE-2026-109618」「CVE-2026-109619」などの言葉でお知らせを探す。
お知らせが見つからない場合は、見つからないというだけです。「影響がない」という意味にも「ある」という意味にもなりません。サポート窓口に問い合わせるか、お知らせが出るのを待ってください。

IPAは、自分が利用している製品への影響は、開発者やサービス提供元の情報で確認するよう案内しています（IPA）。

「サイトが開かない」「メンテナンス中」と出ているのは？

サーバー会社の一部は、予防措置として、サービスサイトや管理画面、ファイルマネージャー、Webメールなどを一時的に止めると案内しました（たとえばヘテムルは、修正版の公開に先立つ措置として案内しています。各社の案内はホスティング別対応状況で確認できます）。そうした場合、利用者側でできることは、基本的に再開を待つことです。再開の時期や、利用者にお願いしたいことがあるかどうかは、そのサービスのお知らせで確認してください。

Q4. もう攻撃されているのですか？

機関ごとに発表の内容と時点が違います。 下の表は、それぞれが「いつの時点で」「何を」述べたかを並べたものです。古い時点の「確認していない」を、現在の状況として読まないでください。

発表者	時点	内容	出典
PHP Group	2026-10-21	mod_phpについて、認証なしのリクエストでアプリのコードが動く前に攻撃を起こせる、実証済みの攻撃があるとしています	php.net
CERT-EU	2026-10-21	技術的な詳細が公に議論され、概念実証（PoC）が出回り始めたと述べ、すでに攻撃されている可能性が高まったとしています。攻撃を確認したとは言っていません	CERT-EU 2026-018
カナダサイバーセキュリティセンター	2026-10-21	PoCが公開情報で報告されている一方、確認時点では実際の攻撃は確認していない、ただし状況はすぐ変わり得るとしています	AL26-026
IPA（情報処理推進機構）	2026-10-21（修正版の公開前）	「現時点でIPAが悪用した攻撃を確認しているわけではありません」。これは修正版の公開前の注意喚起での記載です。10月22日の続報では、この一文は繰り返されていません	IPA 事前準備のお願い、IPA 10月22日
PHP Foundation	2026-10-21	PoCの出回りが10月21日に増えたとする一方、公開の時点では動作する攻撃コードは確認できなかったとしています	PHP Foundation
CISA（米国）SSVC評価	2026-10-21 14:34 UTC	2件とも、悪用の状況は「none（なし）」と評価。公開当日の早い時点の評価で、その後の状況は反映していません。2026-10-22にNVDの記録を再取得して、この値のままであることを確認しました	NVD CVE-2026-109618、NVD CVE-2026-109619
CISA 既知の悪用された脆弱性カタログ	2026-10-22 に再確認	2件とも未掲載でした（カタログの版 2026.10.21）。この先変わる可能性があります	CISA KEV
Amazon（AWSセキュリティブログ）	2026-10-21（10月22日更新）	同社の観測システム（MadPot）の記録で、公開の4日前にあたる10月17日付の攻撃の試みを確認し、公開後はPoCが数時間のうちに現れて観測システムに対して使われたとしています。10月22日の更新で「PHP2Shellは現在、広範な悪用の試みが見られる（seeing broad exploitation attempts in the wild）」と表現を改め（10月21日の時点では「広く悪用されている（broadly exploited）」）、これらの試みが現実のシステムで成功したかどうかは不明で、技術的な分析は続いているとも書いています	AWS Security Blog
CERT.LV（ラトビアの国家CERT）	2026-10-21	ラトビア国内で、PHPの脆弱性を悪用しようとする自動化された試みをすでに確認したとしています。一方で、これまでに攻撃が成功したという報告はないとしています	CERT.LV

この表からは、少なくとも「攻撃はまだ確認されていない」と言える状況ではないことが分かります。ただし、これが「あなたが使っているサービスで被害が出ている」ことを意味するわけではありません。被害の有無は、個別のサービスごとの話です。

Q5. スマホやWi-Fiルーターは影響を受けますか？

確認した公的な案内の中に、スマートフォン本体や家庭用ルーターについて、影響がある（またはない）と述べたものはありません。 このページも、どちらとも言いません。

分かっているのは次のことです。

IPAは、PHPはウェブアプリケーションだけでなく、ソフトウェア製品やネットワーク機器などの内部でも使われている場合があり、利用者側では内部での使用状況を把握できないことがある、と述べています。まずは製品のマニュアルや、開発元・提供元が公開するセキュリティ情報を確認するよう案内しています（IPA 事前準備のお願い）。
同じ10月21日（修正版の公開前）の案内で、IPAは「現時点で、利用しているすべての製品について、内部でのPHP利用の有無を個別に確認することをお願いするものではありません」とも書いています。10月22日の続報には、この一文はありません。PHPの利用状況が不明な製品は、引き続き開発元・提供元の情報を確認してください。
オランダNCSC（NCSC-NL）が公開しているリポジトリ（英語。CERT-EUが追跡している脆弱性についての運用情報として書かれています）も、機器や管理画面などにPHPが組み込まれ、管理者がPHPを直接更新できないことがあるため、そうした製品は提供元の更新が出たら速やかに適用するよう書いています（NCSC-NL/php2shell）。ただし、これは管理者向けの記述です。

ですので、スマホやルーターをお使いの方は、機器のメーカーのお知らせや、アップデートの案内を確認するのが基本です。総務省のサイトも、一般的な注意として、ソフトウェアを最新に保つことと、古いWi-Fi機器を使い続けないことを挙げています（国民のためのサイバーセキュリティサイト）。これは今回の件に限った助言ではありません。

Q6. 自分でもブログやホームページを持っています。どうすれば？

あなたがサイトの運営者でもあるなら、このページの「見る側」の話ではなく、運営者向けの確認が必要です。借りているサーバーでPHPのバージョンがどうなっているかを確かめて、公式の修正版と照らし合わせます。

チェッカーに、PHPのバージョンやLinuxのパッケージ版数を貼り付けて確認する
PHPバージョンの確認方法
php2shellの解説と個人サイトの対応
レンタルサーバー各社の案内と、ホスティング別対応状況
WordPress編
修正版バージョン一覧

このページで確かめられていないこと

個々のサービス（SNS、ショッピング、会員サイト、アプリなど）が、今回の問題の影響を受けたか、パスワードなどの情報が漏れたかは、このページでは分かりません。各サービスの公式のお知らせが唯一の手がかりです。
パスワード変更の要否について、公的機関の見解は確認できていません。
スマートフォン本体・家庭用ルーターへの影響について、公的機関の個別の見解は確認できていません。
攻撃の状況は、上の表のとおり時点によって発表が違い、いまも変わり得ます。

出典（確認日 2026年10月22日）

各機関の案内は更新されることがあります。最新は各ページでご確認ください。

PHPの脆弱性で、サイトを見るだけの人・利用者は何をすればいい？