世界のウェブサイトの約70%で採用されているプログラミング言語「PHP」において、リモートコード実行（RCE）を可能にする危機的な脆弱性（通称「php2shell」）が公表されました。
深刻度を示すCVSSスコアは極めて高い9.2を記録し、修正パッチが提供される前の段階から内閣官房の国家サイバー統括室や情報処理推進機構（IPA）が異例の緊急注意喚起を発令しています。
WordPressをはじめとする主要CMSや各種Webサービスが広範に標的となる恐れがあり、Webサイト運営者には迅速な現状確認とアップデート作業が求められています。
世界のウェブ基盤を揺るがすPHP脆弱性の概要
今回確認された脆弱性は、脆弱性識別番号（CVE-2026-109618およびCVE-2026-109619）として管理されており、PHPの基盤であるコアランタイムのメモリ破損に起因します。
影響範囲は現在保守されているブランチ（PHP 8.2、8.3、8.4、8.5）にとどまらず、すでに公式サポートが終了（EOL）している過去の系統（PHP 5.xや7.xなど）の構造にも共通して潜在している可能性が専門機関より指摘されています。
WordPressは全世界のWebサイトの約40%以上を占めており、その動作環境のほぼすべてがサーバーサイドでPHPを実行しています。
したがって、本件は特定のプラグインやテーマに依存した不具合ではなく、インターネットインフラ全体を揺るがす構造的な脅威として位置付けられています。
脆弱性の技術的メカニズムと被害シナリオ
技術的検証によると、本脆弱性はセッション管理モジュール（ext/session）内に組み込まれている「Session Upload Progress」（ファイルアップロードの進捗状況をセッション変数へ記録する標準機能）の処理ロジックに起因しています。
攻撃者が細工したマルチパート形式のHTTP POSTリクエストを対象サーバーへ送信することで、メモリ境界の不正操作が発生し、ASLRなどのOS保護機能を突破した上で任意のコードが実行（RCE）される危険が生じます。
日本ハッカー協会の杉浦隆幸代表理事が警告するように、攻撃が成立した場合はWebサーバーの実行権限が第三者へ完全に掌握されます。これにより、データベースに保管されている顧客情報や機密データの漏洩にとどまらず、ストレージ内のファイルを暗号化して金銭を要求するランサムウェア攻撃や、データの改ざん・完全破壊、さらには侵害されたサーバーを踏み台にした企業内ネットワークへの不正侵入へと瞬く間に発展します。
公的機関の警告と国内主要サービスの予防的停止
事態の重大性を鑑み、内閣官房の国家サイバー統括室は公式発表を通じて状況を注視している旨を公表し、「可及的速やかに適用できるよう準備をお願いします」と各組織へ緊急の警戒を促しました。IPAも過去の大規模脆弱性における悪用速度を踏まえ、修正コードの差分公開直後から自動化された攻撃コードが実戦投入される危険性を強く示唆しています。
これを受け、国内では未知の攻撃を回避するための異例の対応が相次ぎました。厚生労働省が所管する「介護サービス情報公表システム」が予防的措置としてウェブサイトの稼働を一時停止したほか、CygamesやSEGAをはじめとする大手オンラインゲーム運営企業、BASEなどのECプラットフォーム、主要なレンタルサーバー事業者が緊急メンテナンスやサービス遮断を相次いで実施しました。パッチ公開前にサービス自体を一時停止して防衛を図る動きは、ゼロデイ攻撃に対する警戒度の高さを浮き彫りにしています。
WordPress運営者およびサーバー管理者が講じるべき恒久対策
本脆弱性に対する唯一の恒久的な解決策は、PHP公式セキュリティチームからリリースされた修正済みバージョンへの即時更新です。
まず、自社サイトが稼働しているサーバー環境（共有レンタルサーバー、VPS、クラウド、コンテナ環境など）のPHPバージョンを確認してください。公式に配布されている修正対象バージョンは、PHP 8.5.12、8.4.27、8.3.36、8.2.35となります。
アップデート作業後は、PHPバイナリを更新するだけでなく、PHP-FPMやWebサーバー（ApacheやNginx）、バックグラウンドで動作する常駐プロセスを完全に再起動し、メモリ上に読み込まれている実行コードを刷新する必要があります。
また、すでに公式サポートが終了している過去バージョン（PHP 7.4など）を利用している場合、原則として修正パッチは提供されません。サポートが継続している現行系統への速やかな移行計画を策定し、実行することが必須となります。
暫定対策の限界と注意すべき落とし穴
パッチ公開までの暫定回避策として、設定ファイル（php.ini）においてsession.upload_progress.enabled = 0へ変更する手法が一部で共有されました。しかし、セキュリティ研究機関の追加調査により、この設定変更のみでは別の入力経路を用いた攻撃を完全に遮断できないことが判明しています。
同様に、Webアプリケーションファイアウォール（WAF）や海外IPアドレスの遮断（ジオブロッキング）も、国内に存在する既存の踏み台サーバーを経由した通信には十分な効果を発揮できません。
暫定策は「パッチを適用するまでの時間を稼ぐ補助的手段」に過ぎず、設定変更をもって安全が確保されたと誤認することは危険です。
脆弱性情報の公表から無差別攻撃の開始までは極めて短時間であると予測されているため、修正バイナリの適用を最優先としてください。
PHP脆弱性に関するよくある質問（FAQ）
WordPressのプラグイン更新で防ぐことはできますか？
防ぐことはできません。今回の欠陥はプラグインやテーマではなく、プログラムを実行するPHP本体の深底（コアランタイム）に存在します。サーバーのPHP実行環境自体のアップデートが必要です。
共有レンタルサーバーを使っている場合はどうすればよいですか？
主要なホスティング事業者（エックスサーバー、さくらインターネット等）は、サーバー管理者側で自動的にセキュリティパッチを適用するか、緊急メンテナンスを実施しています。各社の公式アナウンスを確認し、自身で特定バージョンに固定する設定を行っている場合は最新版へ切り替えてください。
アップデート後に確認すべき点は何ですか？
プロセスの完全な再起動に加え、Webサーバーのアクセスログに不審なPOSTリクエストが記録されていないか、不審なシェルスクリプトやバックドアファイルが配置されていないかを点検してください。
