保守を続ける・EmDashへ移す・HTMLにする。WordPressサイトの3つの選択肢を比べる
VIEW MORE
サイトの安全・保守まず知る
PHP2Shellとは？WordPressサイトへの影響と、今すぐ確かめること
この記事の結論
- PHP2Shellは、WordPressではなく、その土台の「PHP」の弱点。WordPressを更新しても直らない。
- 大手のレンタルサーバーは、10月中に修正を済ませている。PHPの番号が変わらないこともあるので、番号ではなくサーバー会社のお知らせで確かめる。
- まずは、契約しているサーバー会社とPHPのバージョンを確かめる。3分で終わる。8.1以前なら、8.3以上への切り替えを計画する。
こんな人向け
- ニュースで見たけれど、自分のサイトに関係あるのかわからない
- サイトは制作会社に任せきりで、今の状態を知らない
- WordPressは最新にしているから大丈夫だと思っている
01PHP2Shellとは？ひとことで言うと
9.2／10深刻度（CVSS v4.0）。もっとも危ない「緊急」のランク
不要攻撃に必要なログイン。外から誰でも狙える
2件見つかった弱点の数（まとめてPHP2Shellと呼ぶ）
PHP2Shellは、2026年10月21日に公表されたPHPの重大な弱点です。PHPは、WordPressを動かしているプログラムの言語で、世界中のサーバーで使われています。
この弱点を突かれると、ログインしなくても、外からサーバーを操られるおそれがあります。情報が盗まれる、ページを書き換えられる、サイトが止まる、のどれも起こりえます。
公表からの流れ
- 10月20日PHP開発チームが、重大な修正を出すと予告
- 10月21日弱点を公表し、修正版を公開
- 10月22日IPA（情報処理推進機構）が注意を呼びかけ
- 10月22〜26日大手レンタルサーバー各社が、提供しているPHPの修正を完了
- 10月26日アメリカの政府機関CISAが「実際に悪用された弱点」の一覧に追加
- 10月27日IPAが更新。この時点で国内の被害は把握されていない
- 11月2日IPAが再更新。サイト以外の機器（VPN装置など）にも注意を呼びかけ
02なぜWordPressを更新しても直らないのか
WordPressサイトは3つの層でできている
サイトの中身WordPress本体・テーマ・プラグイン
WordPressを更新して直るのはこの層だけ
PHP（土台）WordPressを動かしているプログラム
PHP2Shellの弱点はここ。修正版に上げると直る
サーバーサーバー会社のコンピューター
PHPはここに入っている
家にたとえると
WordPressは家具や内装、PHPは家の基礎です。内装をきれいに張り替えても、基礎のひびは直りません。基礎を直せるのは、建物を管理している人（サーバー会社）か、基礎を選び直す人（サイトの管理者）です。
!
WordPressの更新が不要になるわけではありませんプラグインの弱点は別の問題として毎週のように見つかっています。WordPressの更新と、PHPの更新は、両方必要です。
03あなたのサイトは対象？見分け方
見分け方は、サイトをどこで動かしているかで変わります。会社や店のサイトの多くは、エックスサーバー・さくらのレンタルサーバ・ロリポップ・ConoHa WINGなどのレンタルサーバーで動いています。
!
レンタルサーバーは、PHPの番号だけでは判断できません大手のレンタルサーバーは、古いPHPも含めて修正を済ませています。そのとき、画面に出る番号は変えずに中身だけ直した会社もあります。番号が下の表より小さくても、修正済みのことがあります。
下の表は、自分でPHPを入れているサーバー（VPSなど）で使う目安です。
| PHPの系列 | 判定 | この数字以上なら対象外 | サポート期限 |
|---|---|---|---|
| 8.5 | ◎おすすめ | 8.5.12 | 2029年末 |
| 8.4 | ◎おすすめ | 8.4.27 | 2028年末 |
| 8.3 | ○当面は安心 | 8.3.36 | 2027年末 |
| 8.2 | △年内で終了 | 8.2.35 | 2026年末 |
| 8.1以前 | ×早めに切り替え | 今後の修正は保証されない | 終了済み |
「8.3.36」の場合、8.3が系列、最後の36が修正の回数です。同じ系列で、最後の数字が表と同じか大きければ対象外です。このあと、さらに新しい修正版が出ることもあります。
はい／いいえで判定する
サーバー会社とPHPのバージョンを確かめたら
レンタルサーバー（エックスサーバー・さくら・ロリポップ・ConoHa WINGなど）で動いている？
はい
多くは修正済みサーバー会社のお知らせで、修正が終わったかを確かめます。PHPが8.1以前なら、今後の修正が保証されないので、8.3以上への切り替えを計画します。
いいえ（VPS・自社サーバー）
上の表の数字以上？
はい
対象外今回の弱点は心配なし。8.2の人は年内に8.3以上へ。
いいえ
すぐ更新自分で修正版に更新する必要があります。下の「05」へ。
04今すぐ確かめること（3分）
WordPressの管理画面にログインする
いつも記事を書いている画面です。ログインできない場合は、サイトを作った会社に聞きます。
左のメニューで ツール → サイトヘルス を押す
情報 タブを開き、サーバー を押して「PHP バージョン」の数字を見る
ステータス情報▼ サーバーサーバー構造LinuxPHP バージョン8.3.36 (64ビット値をサポートしています)実際の管理画面の写しに差し替える
i
管理画面に入れないときは契約しているサーバー会社の管理画面にも「PHPバージョン設定」の画面があります。どちらも難しければ、サイトを作った会社に「PHPのバージョンを教えてください」と聞くのが確実です。
画面ごとの詳しい手順は「WordPressのPHPバージョンを確認する方法」で、画像つきで説明しています。
05対象だったときにやること
誰がPHPを更新するかは、サイトをどこで動かしているかで決まります。
いちばん多い
レンタルサーバー
大手各社は10月中に修正を済ませています（ConoHa WINGは10月22日、エックスサーバーは10月26日まで）。多くの場合、あなたの作業はありません。サーバー会社のお知らせを確かめます。8.1以前を使っているなら、8.3以上への切り替えを計画します。
任せている
制作会社・保守会社に任せている
「PHP2Shellの対応は済んでいますか。今のPHPのバージョンは？」と聞きます。返事がない場合は危険信号です。
自社で管理
自社のサーバー（VPSなど）
レンタルサーバー会社のVPS（エックスサーバーVPS・さくらのVPSなど）も、サーバー会社はPHPを更新しません。担当者が自分で更新します。後回しにしないでください。
i
ロリポップを使っている場合ロリポップは修正にあわせて、ファイルのアップロードの進み具合を記録する設定を止めました。お問い合わせフォームやファイルのアップロードが今までどおり動くか、確かめてください。
!
PHPを上げると、サイトが表示されなくなることがあります古いテーマやプラグインが新しいPHPに対応していないと、画面が真っ白になることがあります。切り替える前にバックアップを取り、切り替えたらすぐに表示を確かめてください。
i
すぐに更新できない場合専門的な設定で一時的に危険を減らす方法はあります。ただしPHP開発チームは「完全な回避策はなく、更新だけが安全な選択肢」としています。設定変更はあくまで更新までのつなぎです。
06これを機に考えておきたいこと
担当技術担当
NEXT LOCATION 技術担当より今回のように、土台のPHPやプラグインの弱点は、これからも定期的に見つかります。そのたびに慌てないためには、「誰が、いつ、何を更新するか」を決めておくことが大切です。保守を頼むか、PHPを使わない仕組みに移るか、選択肢はいくつかあります。
どの選択肢が合うかは、サイトの規模や更新の頻度で変わります。比べ方は「保守を続ける・EmDashへ移す・HTMLにする 3つの選択肢」で説明しています。
まとめ
- PHP2ShellはPHPの弱点。WordPressを更新しても直らない。
- 大手のレンタルサーバーは修正済み。番号ではなく、サーバー会社のお知らせで確かめる。
- 8.1以前は今後の修正が保証されない。8.3以上への切り替えを計画する。VPSや自社サーバーは自分で修正版に更新する。
- PHPのバージョンは、管理画面の「サイトヘルス」で確かめられる。
- 弱点はこれからも見つかる。更新の担当を決めておく。
自分で確かめるのが不安なら、無料で診断します
サイトのアドレスを送るだけで、PHPのバージョン、プラグインの古さ、すぐ直すべき点をまとめてお返しします。
- 無料
- 申し込みは3分
- サイトは止めません
次に読む
