php2shell（ピーエイチピー・ツー・シェル）とは、2026年10月21日に修正版が公開された、PHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）の通称です。PHPはWordPressをはじめ多くのホームページの土台になっているプログラム言語で、今回の弱点は、ログインしていない外部の人がサーバー上で勝手な命令を動かせてしまうおそれがあるものでした。修正版の公開に先立って、日本ではレンタルサーバー各社やネットショップ、ゲーム、業務サービスが相次いで予防的にサービスを止め、政府も注意を呼びかける一日になりました。
この記事は、2026年10月22日8時30分時点で公表されている情報をもとに、10月21日の一日に何が起きたのか、その影響が国内でどう広がったのか、サイト運営者がいま何をすればよいのかを整理したまとめ記事です。脆弱性の中身や準備の手順はPHPの重大な脆弱性の解説記事で、エックスサーバーの管理画面停止の詳細はエックスサーバーの管理画面停止の解説記事で扱っているため、この記事では繰り返しません。状況は動いているので、最新の情報は各社の公式ページでご確認ください。
10月21日の一日の流れ
要点は、「公開前に情報が漏れて、予定の23時より前倒し気味に修正版が出た」「国内では午後から夜にかけて予防停止が連鎖した」「翌朝までに主要なレンタルサーバーで修正版の適用が進んだ」の3つです。日本時間で順に追います。
| 日時（日本時間） | 出来事 | 出典 |
|---|---|---|
| 10月20日 | PHP公式が「重大なセキュリティリリースを10月21日23時に公開する」と予告。CVSS 9.2の脆弱性2件 | PHP公式 |
| 10月21日 0時20分ごろ | 海外の掲示板に「重大な弱点が近く公表される」という詳しい投稿が出て、削除後もスクリーンショットが拡散 | piyolog |
| 10月21日 12時2分 | Cloudflareが全プランで防御ルールを有効化（公開の約9時間前） | Cloudflare |
| 10月21日 午前〜昼 | IPAが「事前準備のお願い」を公開 | IPA |
| 10月21日 13時〜 | さくらインターネットがレンタルサーバ等の緊急メンテナンスを開始（告知に理由の記載なし） | さくら |
| 10月21日 16時34分 | Patchstackが、ホスティング各社で攻撃を試す通信を観測したと報告 | SOCRadar |
| 10月21日 15時50分〜16時 | BASEが全サービス停止、エックスサーバーが公式サイト・管理画面を停止 | BASE／エックスサーバー |
| 10月21日 夜 | 国家サイバー統括室が注意喚起、21時55分には首相も呼びかけ。ゲーム・動画・業務サービスの停止が相次ぐ | Impress Watch |
| 10月21日 22時34分〜22時54分 | PHPの修正版（8.5.12／8.4.27／8.3.36／8.2.35）と脆弱性の詳細が順に公開。予定の23時より少し早め | PHP公式 |
| 10月22日 0時〜8時 | 各社が修正版を適用。エックスサーバーは6時45分にPHP 8.2〜8.5の適用完了を告知 | エックスサーバー |
深夜｜公開前に詳細が漏れた
PHPの開発チームは10月20日、「10月21日23時（日本時間）に重大な修正版を出す」と予告していました。ところが日本時間の21日0時20分ごろ、海外の技術系掲示板に「重大な弱点2件が近く公表される」という詳しい投稿が出て、すぐ削除されたもののスクリーンショットがSNSで広まりました。セキュリティ会社のwatchTowrは「漏れた情報は本物で、再現できた」と表明しています。本来は修正版と同時に公表されるはずの中身が先に知られたため、「修正版が出る前に攻撃が始まるかもしれない」という緊張感のまま一日が始まりました。
昼｜IPAの呼びかけと、先回りの防御
IPA（情報処理推進機構。国が設けた、企業や個人にセキュリティの注意を呼びかける機関）は21日、PHPを使っているシステムの洗い出しと、修正版をすぐ適用できる体制づくりを求める事前準備の案内を出しました。同じころ、海外の大手ネットワーク会社Cloudflareは、修正版公開の約9時間前に、全プランの利用者に対して攻撃を止めるルールを有効にしたと発表しています。
午後〜夜｜予防停止の連鎖と政府の呼びかけ
15時50分にBASE、16時にエックスサーバーが予防的な停止に入りました（さくらインターネットも13時から緊急メンテナンスを始めていますが、告知に理由は書かれておらず、今回の件との関係は公表されていません）。夕方から夜にかけては、ゲーム、動画サイト、業務用の会計・勤怠サービスまで、「修正版が出るまで止めておく」という判断が広がります。夜には国家サイバー統括室（政府のサイバーセキュリティの司令塔）がXで注意喚起を出し、Impress Watchによると首相も21時55分にXで「公開しているサイトでPHPを使っているか確認し、修正版に備えるように。適用が難しければサイトの一時停止も有効」と呼びかけました。
22時半〜翌朝｜修正版の公開と適用
修正版は予定の23時より少し早く、22時34分から22時54分にかけて、開発チームの告知と脆弱性の登録番号（CVE。世界共通の脆弱性の通し番号）が順に公開されました。PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つです。ここから各社の適用作業が始まり、シックス・アパートはMovable Typeクラウド版のPHPを修正版へ更新したと告知、エックスサーバーは22日6時45分の時点で「PHP 8.2〜8.5について対象となるすべてのサーバーへの修正パッチの適用が完了」と告知しています。
脆弱性の中身をひとことで
要点は、「PHPそのものの弱点なので、WordPressやプラグインを最新にしても直らない」という点です。詳しい説明はPHPの重大な脆弱性の解説記事に譲り、ここでは最小限だけ押さえます。
2件の弱点と修正版のバージョン
PHP公式の発表によると、1件目（CVE-2026-109618）はメモリ不足の処理の途中で内部データが中途半端な状態になる問題、2件目（CVE-2026-109619）は前のリクエストの情報が消えずに次のリクエストに引き継がれてしまう問題です。どちらも、ログインしていない外部からの通信だけで攻撃が成立しうるとされています。修正されたのはPHP 8.5.12、8.4.27、8.3.36、8.2.35で、公式は「完全な対策は更新だけ」と明記しています。
WordPressの更新では直らない理由
今回の弱点は、WordPressのプログラムが動き始める前の、通信を受け取って読み解く段階にあります。そのため、WordPress本体やプラグインをいくら最新にしても防げません。直せるのは、サーバーで動いているPHP本体を修正版に入れ替えることだけです。共用のレンタルサーバーではこの作業をサーバー会社が行うため、利用者は「自分のサーバーに修正版が適用されたか」を告知で確認することになります。
8.1以前の古いPHPはどうなるか
PHP 8.1以前は、開発チームの正式な更新対象から外れています。今回は事態の深刻さから、7.4・8.0・8.1向けに最小限の修正を加えたソースコードが特別に公開されましたが、レンタルサーバーでそれが適用されるかはサーバー会社しだいです。エックスサーバーは「公式修正版が提供されていない古いバージョンは独自の修正を作成し、検証が終わったものから順次適用」と説明しています。古いPHPを選んだままのサイトは、この機会に8.2以上への切り替えを検討してください。
攻撃は実際に起きているのか
要点は、「攻撃を試す通信は観測されているが、実際に乗っ取られた事例の公的な確認はまだ出ていない」です。情報源によって言い方が違うので、並べて見ておきます。
「試行を観測」と「侵害は未確認」が並んでいる
Cloudflareは「顧客を狙う攻撃の通信を観測し、攻撃者は検知をすり抜けようと手口を変えている」と発表しています。WordPressのセキュリティ会社Patchstackも、21日16時34分ごろからホスティング各社で攻撃を試す通信を観測したと報告しました（ただし証拠は公開されていない、とSOCRadarが注記しています）。一方でwatchTowrのFAQでは、21日の時点で自社の観測範囲に実際の悪用はなく、米国政府の「悪用が確認された脆弱性の一覧（KEV）」にも載っていないとしています。IPAも21日の案内で「この脆弱性を悪用した攻撃は現時点で確認していない」と書いています。つまり「探りを入れる通信はある」「成功した被害の公表はまだない」というのが本稿時点の状況です。修正版が出て詳細が公開された以上、未更新のサーバーが狙われる可能性は時間とともに高まる、と考えておくのが妥当です。
「公開から15分で乗っ取られる」は根拠のない予言
21日夜、SNSでは「23時15分から乗っ取りが始まる」といった投稿が出回りました。これはセキュリティ会社が「公開から15分以内に大量の攻撃が始まると予想する」と書いた見立てが、伝わるうちに時刻つきの予言に変わったものです。ITmediaのオルタナティブ・ブログでは、筆者が自分のサーバーの記録を検証し、公開直後に特別な攻撃の増加は見られなかったと報告しています。ただし同じ記事は「1台の記録で全体は語れない」「報告が出るまでには時間がかかる」とも念を押しています。時刻に振り回されず、更新の有無だけを確認するのが正しい向き合い方です。
国内で止まったサービスの広がり
要点は、「攻撃を受けたのではなく、修正版が出る前に自ら止めた企業が多かった」です。予防停止を告知した組織は夜のうちに50を大きく超え、セキュリティ情報をまとめているブログpiyologの集計では、22日1時台までに告知で確認できた組織は211にのぼりました（さくらインターネットの緊急メンテナンスは、関係が明らかでないため含まれていません）。内訳はゲーム28、芸能・音楽33、EC・チケット・予約26、ホスティング・ITサービス29などで、業種を問わず広がりました。主なものを分類して挙げます。
| 分類 | 主な組織・サービス | 内容（10月22日8時時点で確認できた告知） |
|---|---|---|
| レンタルサーバー | エックスサーバー、シンレンタルサーバー、ロリポップ！、mixhost（さくらインターネット、ConoHa WINGは理由を書かない緊急メンテナンス） | 管理画面や公式サイトの停止、緊急メンテナンス（次の章で個別に整理） |
| ネットショップ・業務サービス | BASE、ラクス（楽楽販売・楽楽勤怠など7サービス）、Chatwork、コドモン | BASEは21日15時50分から全サービス停止（22日8時まで延長を告知）。ラクスは22日午前に再開。Chatworkは21日夜に緊急メンテナンスを公式Xで告知。コドモンは保護者アプリを含め段階停止 |
| ゲーム・メディア | Cygames（グランブルーファンタジー、ウマ娘など）、pixiv、DMM.com、niconico | 21日夜から緊急メンテナンス（pixivの告知はPHPに触れておらず、PHP対応と伝えたのは報道） |
| 官公庁・大学 | 厚生労働省の介護サービス情報公表サイト、筑波大学の問い合わせ・採用ページなど | 21日夕方〜夜から一時停止 |
| CMS・制作基盤 | シックス・アパート（Movable Typeクラウド版） | 停止はせず、修正版の公開後にクラウド版のPHPを更新したと告知 |
ネットショップ・業務サービス
ネットショップ作成サービスのBASEは、公式ヘルプで21日15時50分から全サービスとPAY IDアプリを停止し、終了予定を22日8時まで延長すると告知しました。会計・勤怠などの業務サービスを提供するラクスは、お知らせで「昨今のサイバー攻撃のリスクを踏まえた予防的な対応」として楽楽販売・楽楽勤怠など7サービスとサイトを止め、22日午前に再開したと更新しています。ビジネスチャットのChatworkも、公式Xアカウント（@chatwork_ja）で21日夜に緊急メンテナンスを告知し、piyologの一覧でもサービス全体の停止として載っています。いずれも「不正アクセスが起きたから」ではなく「起きる前に止めた」対応です。
ゲーム・動画・官公庁まで
Impress Watchやpiyologのまとめでは、Cygamesのゲーム（ウマ娘、グランブルーファンタジーなど）、pixiv、DMM.com、niconicoといった大きなサービスも21日夜から緊急メンテナンスに入りました。厚生労働省の介護サービス情報公表サイトや大学のWebサイトなど、公的なサイトも含まれています。「うちは小さな会社だから関係ない」ではなく、PHPを使っているという一点で、規模に関係なく同じ対応が必要になった一日でした。
「止める」判断は政府も選択肢として示した
国家サイバー統括室は、修正版をすぐ適用するよう求めたうえで、適用が難しい場合は「Webサイトを一時的に停止することもリスクを下げる策として考えられる」と示しました（Impress Watchの報道より）。多くの企業が予防停止に踏み切った背景には、この呼びかけもあります。利用者から見れば「止まっている＝何かあった」に見えがちですが、今回の停止の大半は攻撃被害ではなく、安全のための先回りです。
レンタルサーバー別の対応と、利用者がやること
要点は、「共用レンタルサーバーではPHP本体の更新はサーバー会社が行う。利用者は、告知で適用状況を確認し、古いPHPを選んでいないかを見る」です。主要6社の22日8時30分時点の公式告知を、1社ずつ短く整理します。各社ごとの詳しい確認手順は、それぞれの解説記事にまとめています。
エックスサーバー
21日16時から公式サイト・管理画面を予防的に停止し（お客様のサーバー・サイト表示・メール送受信は影響なし）、メンテナンスページを2時間ごとを目安に更新しています。22日6時45分の時点で「PHP 8.2〜8.5について対象となるすべてのサーバーへの修正パッチの適用が完了」、古いバージョンは検証が終わったものから順次適用中、管理画面は点検が終わった機能から順次再開、という状況です。利用者は、管理画面の再開後にPHPのバージョン設定を開き、8.2以上を選んでいるかを確認してください。
確認と切り替えの手順は「エックスサーバーのPHP脆弱性対応（2026年10月）｜利用者がやること」で詳しく解説しています。
さくらのレンタルサーバ
さくらインターネットの告知では、さくらのレンタルサーバ・マネージドサーバが21日13時から22日8時ごろまで、VPSが21日15時から22日18時ごろまで緊急メンテナンスとされています。告知文には作業の理由が書かれておらず、PHPの脆弱性との関係は公式には明示されていません。報道でも見方が分かれているため、この記事では「関係は未公表」として扱います。利用者は、メンテナンス終了後にコントロールパネルのPHPバージョンを確認し、追加の案内が出ていないかをサポート情報で見ておきます。
確認と切り替えの手順は「さくらのレンタルサーバのPHP脆弱性対応（2026年10月）｜利用者がやること」で詳しく解説しています。
ロリポップ！
GMOペパボは緊急メンテナンスページで、PHPの重大な脆弱性の修正版公開に先立つ予防措置として、21日からサービスサイト・ユーザー専用ページ・MCP／APIなどを止めていると明記しています。公開中のサイトの表示は引き続き使えます。IPAとPHP公式の案内へのリンクも載せており、6社の中では理由をいちばんはっきり書いている告知です。利用者は、ユーザー専用ページの再開後にPHPバージョンの設定を確認してください。
確認と切り替えの手順は「ロリポップ！のPHP脆弱性対応（2026年10月）｜利用者がやること」で詳しく解説しています。
ConoHa WING
GMOインターネットはお知らせで、ConoHa WINGの一部サーバーで21日19時から22日10時まで「システムの保守作業」の緊急メンテナンスを行い、時間帯によっては一時的に接続できない場合があると案内しています。告知にPHPという言葉はありません。利用者は、22日10時以降にコントロールパネルでPHPバージョンを確認し、追加のお知らせがないかを見ておきます。
確認と切り替えの手順は「ConoHa WINGのPHP脆弱性対応（2026年10月）｜利用者がやること」で詳しく解説しています。
シンレンタルサーバー
運営がエックスサーバー株式会社のため、シンレンタルサーバーのサポートページもエックスサーバーと同じ「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」を表示しています。停止の範囲や進捗（PHP 8.2〜8.5の適用完了、古いバージョンの順次対応）も同じ内容です。確認先はエックスサーバーと同じで、管理画面の再開後にPHPのバージョンを見ておきます。
確認と切り替えの手順は「シンレンタルサーバーのPHP脆弱性対応（2026年10月）｜利用者がやること」で詳しく解説しています。
mixhost
mixhostはお知らせで、「予防的なセキュリティ強化およびシステム安全対策」のため21日22時10分からマイページ（ログイン・契約変更・問い合わせ）を停止しており、終了時刻は未定としています。不正アクセスによるものではなく、サーバー上のサイト表示とメールは通常どおりです。告知にPHPや脆弱性という言葉はなく、修正版PHPを適用したという告知も22日8時30分時点では見当たりません。22日8時時点の稼働状況ページでも、サーバーは正常、マイページはメンテナンス中となっています。利用者は、cPanelのPHP設定で8.2以上になっているかを確認してください。
確認と切り替えの手順は「mixhostのPHP脆弱性対応（2026年10月）｜利用者がやること」で詳しく解説しています。
| サーバー | 止まっているもの（22日8時時点） | PHPの脆弱性への言及 | 利用者がやること |
|---|---|---|---|
| エックスサーバー | 公式サイト・管理画面（順次再開中） | あり（8.2〜8.5の適用完了を告知） | 再開後にPHPバージョンを確認 |
| さくらのレンタルサーバ | 緊急メンテナンス（22日8時ごろまで） | 告知に明記なし | 終了後にPHPバージョンと追加案内を確認 |
| ロリポップ！ | サービスサイト・ユーザー専用ページ | あり（予防措置と明記） | 再開後にPHPバージョンを確認 |
| ConoHa WING | 一部サーバーの保守（22日10時まで） | 告知に明記なし | 終了後にPHPバージョンと追加案内を確認 |
| シンレンタルサーバー | エックスサーバーと同じ | エックスサーバーと同じ告知 | 再開後にPHPバージョンを確認 |
| mixhost | マイページ（終了未定） | 告知に明記なし（予防的なセキュリティ強化と記載） | cPanelでPHPバージョンを確認 |
いま何をすればよいか（短く）
要点は3つだけです。「サーバー会社の告知を確認する」「PHPのバージョンがサポート中のものか見る」「更新後にサイトが動いているか試す」。細かい手順は別記事にまとめているので、ここでは順番だけ示します。
ステップ1｜契約しているサーバー会社の告知で適用状況を確認する
共用レンタルサーバーでは、PHP本体の修正はサーバー会社が行います。上の章の告知ページを開き、修正版の適用が終わったか、利用者に追加の作業をお願いしているかを読みます。SNSの又聞きではなく、公式ページと公式Xだけを情報源にすると混乱しません。
ステップ2｜自社サイトのPHPのバージョンを見る
サーバーの管理画面のPHPバージョン設定、またはWordPressの「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。8.1以前（8.0、7.4など）を選んでいるサイトは、公式の修正版が出ていないため、サーバー会社の独自対応を待つか、8.2以上へ切り替える計画を立てます。切り替えの注意点はPHPバージョンの基礎を解説した記事で紹介しています。
ステップ3｜更新後にサイトの動きを確かめる
トップページの表示、問い合わせフォームの送信、WordPressの管理画面へのログインまでをひと通り試します。制作の現場では、PHPの更新のあとに「表示は問題ないのにフォームのメールだけ届かない」というケースを見かけます。メールが届くところまで確認してください。より詳しい準備と確認の手順は、PHPの重大な脆弱性の解説記事にまとめています。
よくある質問
Q. 10月21日に止まっていたサービスは、攻撃を受けたのですか？
A. この記事で挙げた各社は、いずれも「予防的な対応」で、不正アクセスが起きたためではないと告知しています。修正版が出る前に、念のため止めた形です。
Q. WordPressを最新にすれば大丈夫ですか？
A. いいえ。弱点はWordPressではなく、その土台のPHP本体にあります。PHPを修正版（8.5.12／8.4.27／8.3.36／8.2.35）にする必要があり、共用レンタルサーバーではサーバー会社がその作業を行います。
Q. エックスサーバーの管理画面はもう使えますか？
A. 10月22日6時45分の告知では、点検が終わった機能から順次再開中とされています。最新の状況はメンテナンスページと公式X（@xserverjp）で確認してください。詳しくはエックスサーバーの管理画面停止の解説記事にまとめています。
Q. 実際に乗っ取られたサイトはありますか？
A. 10月22日8時30分時点で、攻撃を試す通信を観測したという報告はありますが、乗っ取りに成功した事例の公的な確認は出ていません。ただし詳細が公開された以上、未更新のサーバーは狙われやすくなるため、更新の確認を優先してください。
Q. 古いPHP（7.4や8.0）を使っているサイトはどうすればよいですか？
A. 公式の修正版は8.2以上にしか出ていません。サーバー会社が独自の修正を適用する場合もありますが（エックスサーバーは順次対応中と告知）、根本的にはサポート中のバージョンへ切り替える計画を立てることをおすすめします。
Q. 自社の対応が合っているか不安なときは？
A. サーバー会社の告知を読んでも分からない場合は、サイトを作った制作会社や保守会社に、どのサーバーのどのPHPバージョンで動いているかを聞くのがいちばん早い確認方法です。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
