2026年10月21日、PHP本体に、認証なしで外部からコードを実行される（RCE）おそれのある脆弱性2件（CVE-2026-109618／CVE-2026-109619、通称 PHP2Shell、CVSS 9.2）が公表され、修正版がリリースされました。
影響範囲と対策
影響を受けるのは、Webリクエストを処理しているPHP（PHP-FPM、Apache + mod_php、php-cgi など）です。原因はPHPのランタイム自体にあるため、WordPressやプラグイン、アプリケーションを更新しても解消しません。修正版（PHP 8.5.12／8.4.27／8.3.36／8.2.35、または各ディストリビューションの修正済みパッケージ）へ更新したうえで、PHP-FPMやApacheを再起動する必要があります。
当社で代行できること
- 稼働中のPHPのバージョンと実行方式（mod_php／PHP-FPM など）の確認
- 修正版へのアップデートと、PHP-FPM・Apacheの再起動
- 更新前のバックアップと切り戻し手順の準備、検証環境での動作確認
- PHP 5.6／7.x などサポートが終了したバージョンからの移行
- 不審なファイルやアクセスログの簡易調査
「自社サーバーで動いているPHPのバージョンが分からない」「更新したらサイトが壊れないか不安」といった段階でも構いません。現状の確認だけのご依頼も承ります。
多くの場合はサイトを止めずに対応できます。停止が必要な場合は、事前に日時と影響範囲をご相談のうえで実施します。