Share
2026年10月21日、PHPの開発チームは、深刻度の高い2件の脆弱性（CVE-2026-109618、CVE-2026-109619）に対する緊急の修正版を公開しました。この2件はあわせて「PHP2Shell」と呼ばれています。悪用されると、外部の第三者がログインなしでサーバーを遠隔操作できるおそれがあります。PHPは企業サイトやECサイト、社内システムで広く使われているため、影響を受けるシステムは非常に多いとみられます。
国内では21日夜、首相が自身のXで、Webサイトの運営者にその日のうちに対応するよう呼びかけました。予防のためにサービスを一時停止する企業も相次ぎ、翌22日にはIPA（独立行政法人情報処理推進機構）が注意喚起を公表しています。
- PHP2Shellの公表PHP 8.2以降向けに緊急の修正版を公開
- 国内で対応の呼びかけ首相の呼びかけ、サービスの一時停止、IPAの注意喚起
- PHP 8.2のサポート終了以降は8.2もセキュリティ修正の対象外に
修正版が提供されたのはPHP 8.2以降のみです。PHP 8.1・8.0・7.x・5.xはサポートが終了（EOL）しているため、公式の修正版はありません。しかもIPAによると、PHP 5.4以降は少なくともいずれか一方の脆弱性の影響を受けるとされています。PHP 8.2も修正版はあるものの、2026年12月31日にサポートが終了します。
- PHP 8.1以前：修正版はありません。すぐに暫定対策を行い、バージョンアップの計画を立てることをおすすめします。
- PHP 8.2〜8.5：修正済みのバージョンへ早急に更新しましょう。PHP 8.2は2026年12月31日にサポートが終了するため、8.4以降への移行もあわせて計画しましょう。
- バージョンが分からない場合：保守会社にご確認いただくか、お問い合わせフォームからご相談ください。現在の状況をうかがい、確認の進め方をご案内します。
こんなお悩みはありませんか？
- 自社のサイトやシステムでPHPが使われているか分からない
- 開発した会社と連絡が取れず、どこに相談すればよいか分からない
- バージョンアップしたら、サイトが動かなくなるのではと心配
- ソースコードしか残っておらず、設計書も詳しい担当者もいない
- 早く対応したいが、予算の確保や社内承認に時間がかかる
- 何から始めればよいか分からない
ひとつでも当てはまる場合は、この先で何から始めればよいかを順を追ってご説明します。
PHPで動く自社のシステムは大丈夫？
PHP2Shellとは？今回、何が起きたのか
PHPは、Webサイトの「土台」にあたる技術です。Webサイトを家にたとえると、デザインや文章は目に見える建物の部分、PHPはその下にある基礎の部分です。多くの企業サイトやECサイト、社内の業務システムが、この土台の上に作られています。
今回の脆弱性は、玄関の鍵に欠陥が見つかったようなものです。外部の第三者が、ログインせずにサーバーを遠隔操作できるおそれがあります。悪用された場合、次の図のような被害が考えられます。
なぜ多くのサイトが同時に影響を受けるのでしょうか。欠陥があるのは土台の部分で、各サイトが独自に作った部分ではないからです。どれだけ丁寧に作られたサイトでも、修正前のPHPを使っていれば影響を受けるおそれがあります。
IPAによると、PHP 8.1以前には公式の修正版が提供されません。サイトは普段どおり動き続けるため、問題に気づきにくいのが実情です。しかし放置すれば、攻撃を受けるリスクは時間とともに高まります。
PHPのバージョン別サポート期限と確認方法
必要な対応は、PHPのバージョンによって異なります。PHPの各バージョンには、機器の保証期間のように、セキュリティ修正が提供される期限があります。
| PHPのバージョン | セキュリティサポート終了 | 緊急度 | 推奨される対応 |
|---|---|---|---|
| PHP 8.3 / 8.4 / 8.5 | 2027年末 / 2028年末 / 2029年末 | サポート中 | 8.3.36 / 8.4.27 / 8.5.12以降へ更新し、以後も定期的にアップデート |
| PHP 8.x（8.0〜8.2） | 8.2：2026年12月31日 8.0・8.1：終了済み | 早めの対応が必要 | 8.2：8.2.35へ更新後、8.4 / 8.5へ移行 8.0・8.1：暫定対策のうえ、8.4 / 8.5へ移行 |
| PHP 7.x（7.0〜7.4） | 終了済み（2019〜2022年） | 至急対応が必要 | 暫定対策のうえ、早期移行または本格移行 |
| PHP 5.x以前 | 終了済み（2018年以前） | 至急対応が必要 | すぐに暫定対策を行い、現状調査のうえで移行方法を決定 |
PHPバージョンの確認方法
- 保守会社やレンタルサーバー会社に問い合わせる
- WordPressの場合は、管理画面の「ツール」→「サイトヘルス」→「情報」タブの「サーバー」で確認する
- 分からない場合は、お問い合わせフォームからご相談ください。状況をうかがい、確認の進め方をご案内します
PHPだけでなく、サーバーのOSにもサポート期限があります。古いPHPは古いサーバーで動いていることが多いため、PHPのバージョンとあわせてOSも確認しましょう。
専門知識がなくても対応できる？
技術的な作業を貴社で行う必要はありません。押さえておきたいのは、バージョンアップの前に調査が必要な理由と、どのような対応方法があるかの2点です。
PHPのバージョンアップが「上げるだけ」で済まない理由
PHPのバージョンアップは、人が住んだまま家の基礎を直す工事に似ています。もちろん可能ですが、事前の調査と慎重な作業が欠かせません。主な理由は次の4つです。
- バージョンによってプログラムの書き方が変わる古い書き方が新しいバージョンで使えなくなり、画面や機能が動かなくなることがあります。
- フレームワークもあわせて更新が必要多くのシステムは、既製のフレームワークの上に作られています。古いフレームワークの場合、大部分を作り直すこともあります。
- 古いサーバーには新しいバージョンを入れられないことがあるその場合は、新しいサーバーへの移行も必要です。
- 設計書や詳しい担当者が残っていない修正の前に、ソースコードを読み解いてシステムを把握する必要があります。
そのため、まず現状を調査してから対応方法を選ぶことが大切です。
古いPHPへの3つの対応方法
システムの重要度やスケジュール、予算に応じて、次の3つから選びます。組み合わせることも可能です。
対応方法1：暫定対策
バージョンアップの準備を進める間、リスクを下げるための対策です。IPAも、更新が完了するまでアクセス制限を行うこと、有効な対策が難しい場合はサービスの一時停止も検討することを推奨しています。システムをどこまで止められるかに応じて、次の対策を組み合わせます。
| 対策 | 内容 | リスク低減の効果 | 業務への影響 |
|---|---|---|---|
| サービスの一時停止 | 利用の少ないシステムを停止する、または決まった時間帯だけ稼働させる | 最も高い | 大きい |
| アクセス制限 | 管理画面へのアクセスを、オフィスや社内ネットワークからのみに限定する | 管理画面に対しては高い | 小さい |
| WAFの導入 | 不審なアクセスを、Webサイトに届く前に遮断する | 中程度（完全ではない） | 小さい |
| 被害の最小化 | データのバックアップ、ファイルの書き込み制限、改ざんの監視 | 攻撃を受けた場合の被害を抑える | 小さい |
すぐに着手でき、期間は1〜3日が目安です。ただし、リスクを下げる対策であって根本的な解決ではないため、必ず対応方法2または3と組み合わせて実施します。
対応方法2：早期移行（スピード重視）
短期間でバージョンアップを行い、ログイン、注文、決済などの主要な機能を重点的に確認します。その他の機能は、本番稼働後に順次確認します。確認の範囲や、不具合が見つかった場合の対応方法は、事前に取り決めたうえで進めます。
期間は通常1〜4週間で、年内に対応を終えたい場合に適しています。非常に古いシステムでは、移行先が最新バージョンにならないこともあります。その場合は、さらにもう一段階のバージョンアップが必要です。具体的な移行ルートは、現状調査のうえでご提案します。
対応方法3：本格移行
サポート期間の長いバージョン（PHP 8.4または8.5）へ移行し、フレームワークも刷新したうえで、すべての機能をテストします。老朽化が進んだシステムでは、別の技術での作り直しも選択肢になります。
作業は段階的に進めます。期間の目安は、PHP 8.x系の比較的新しいシステムなら数週間、古いバージョンやフレームワークを使う中規模システムでは数か月です。正確な期間は、現状調査のうえでご提示します。作業は検証環境で進めるため、切り替え時を除き、Webサイトは通常どおりご利用いただけます。暫定対策と組み合わせることで、移行期間中のリスクも抑えられます。完了後は、サポート期間の長いバージョンで運用できるようになります。
作業量は、使用しているフレームワークによって大きく変わります。
| フレームワーク | よくある旧バージョン | 移行先 | 作業の規模 |
|---|---|---|---|
| CodeIgniter | 2.x / 3.x | 4.x | 構造が大きく変わり、ほぼ作り直しになることが多い |
| CakePHP | 2.x | 4.x / 5.x | データ処理の仕組みが全面的に変わり、多くの部分で作り直しが必要 |
| Laravel | 4.x / 5.x | サポート中のバージョン | 複数のバージョンを段階的に上げる必要がある |
| Zend Framework | 1.x | Laminas | 直接は移行できず、部分ごとの作り直しが必要 |
| フレームワークなし | 5.x / 7.x | PHP 8.4 / 8.5 | ソースコードの品質によるが、比較的軽いことが多い |
3つの対応方法の比較
| 暫定対策 | 早期移行 | 本格移行 | |
|---|---|---|---|
| 目的 | すぐにリスクを下げる | 短期間でリスクを下げる | 根本的に解決し、長く使う |
| 対応後のPHP | 変わらない | 短期間で移行できるバージョン（最新でない場合あり） | PHP 8.4 / 8.5 |
| 根本的な解決 | なし | 一部 | あり |
| 期間の目安 | 1〜3日 | 1〜4週間 | 1か月〜数か月（規模・バージョンにより変動） 移行中も暫定対策でリスクを抑えます |
| テスト範囲 | 不要 | 主要な機能 | すべての機能 |
| 次のステップ | 早期移行または本格移行 | 最新バージョンへの追加移行 | 保守と定期的な更新 |
最初から最終的な方法を決める必要はありません。まず暫定対策でリスクを下げ、そのうえで予算やシステムの重要度に合ったスピードで移行を進めましょう。
システムの種類別の組み合わせ例：
状況をうかがったうえで、貴社に合った対応方法をご提案します。
PHPのバージョンアップはどこに相談すればいい？
PiraGoのPHP移行支援の特長
PiraGoは、現状の把握からバージョンアップまで一貫してご支援し、ご希望に応じて移行後の保守もお引き受けします。特に次の5点を大切にしています。
設計書が残っていない場合や、開発会社と連絡が取れない場合でも、既存のソースコードを読み解き、システムを把握したうえでご提案します。
現状調査の結果をもとに、期間と費用を明記した対応方法をご提案します。社内の承認プロセスに合わせて、複数の段階に分けて進めることも可能です。
変更は検証環境でテストしてから本番環境に反映し、停止時間を最小限に抑えます。切り替えの日程は、事前に貴社と調整します。
2018年から日本企業のシステム開発と保守に携わり、現在はお客様の約9割が日本企業です。東京オフィスが窓口となり、ハノイのエンジニアチームが開発を担当することで、コストを抑えています。
ご希望に応じて、移行後の保守契約も承ります。契約期間中は、PHPやOSのサポート期限の確認、セキュリティ修正の適用、次のバージョンアップ時期のご提案を行います。
ご依頼の流れ
- お問い合わせ
フォームからサイトのURLやシステム名をお送りください
- 無料相談
オンライン会議で状況をうかがいます。必要に応じてNDAを締結します
- 現状調査
PHPのバージョン、サーバー、フレームワーク、影響範囲を調べます
- ご提案・お見積り
現状に合った対応方法を、期間と費用を添えてご提案します
- 実施・ご報告
ご合意いただいた方法で実施し、今後の更新計画もご提案します
何から始めればよいか分からない場合も、まずはPiraGoにご相談ください。
貴社のシステムの状況をお聞かせください。一緒に確認し、最適な対応方法をご提案します。
- 初回のご相談は無料です
- 他社が開発したシステムにも対応します
- 必要に応じてNDAを締結します
お問い合わせ内容に「PHP」とご記入いただくと、担当部署へスムーズにおつなぎします。
参考情報