2026年10月21日の深夜、世界中のWordPressサイトに影響する脆弱性の修正版が公開されました。通称「PHP2Shell」と呼ばれるこの問題は、特定のCMSの欠陥ではありません。サイトを動かす土台であるPHP本体の穴です。
私のブログもWordPressで動いています。だから他人事ではありませんでした。国内では211の組織がサイトやサービスを予防的に止め、首相までがSNSで対応を呼びかける事態になっています。
この記事では、副業ブログを運営する立場から「何が起きたのか」「自分のサイトは大丈夫か」「今日なにをすればいいか」を順に整理します。結論を先に書くと、共用レンタルサーバーの利用者はサーバー会社がすでに対応済みです。ただしPHP 8.1以前を使っている場合は、年内のバージョンアップが必要になります。
「PHP2Shell」とは—2026年10月に起きたことの全体像
まずは時系列で全体像を押さえます。今回の主役はWordPressではなく、その下で動くプログラミング言語のPHPです。
公表された脆弱性は2件で、CVE-2026-109618とCVE-2026-109619という識別子が付いています。前者はメモリ不足のエラー処理、後者はリクエスト処理の状態リセットに起因します。組み合わせると、ログインなしで外部から任意のプログラムを実行できるリモートコード実行（RCE）につながります。
深刻度はCVSS v4.0で9.2の「緊急」です。NVDの評価ではv3.1で9.8と、さらに高いスコアが付いています。影響を受けるのはPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するほぼすべての構成です。とくにmod_phpは、アプリケーションのコードが動き出す前に攻撃が成立すると説明されています。
興味深いのは発見の経緯です。報告者にはWizとCalif.io、そしてOpenAIの名前が並びます。AIモデルを使った監査が脆弱性の発見と修正検証を加速させたと報じられており、「AIがセキュリティの前提を変えつつある」ことを示す事例にもなりました。
| 日時（日本時間） | 出来事 |
|---|---|
| 10月20日 | PHP開発チームが21日23時の緊急リリースを予告。直後に詳細が外部へ漏えい |
| 10月21日 日中 | IPAと国家サイバー統括室が事前準備を呼びかけ。首相もSNSで対応を要請 |
| 10月21日 22時34分 | 予告を前倒しして修正版を公開（8.5.12・8.4.27・8.3.36・8.2.35） |
| 10月21日 夜 | 国内で211組織がサイト・サービスを予防停止。銀行・自治体・大学・ECが含まれる |
| 10月22日 | IPAとJPCERT/CCが注意喚起を公表。レンタルサーバー各社が修正適用を進める |
ここで押さえておきたいのは、WordPress本体やプラグインを最新にしても、この脆弱性は直らないという点です。WordPress.orgも「WordPressの更新は不要であり、予定もない」と明言しています。直せるのはサーバー側のPHP本体だけです。
【比較表】レンタルサーバー各社の対応状況
副業ブログの多くは共用レンタルサーバーで動いています。その場合、PHP本体を入れ替えるのは利用者ではなくサーバー会社です。各社の公開告知を整理すると、対応の方針は大きく2つに分かれました。
| サービス | 主な動き（10月22日時点の公開情報） |
|---|---|
| さくらのレンタルサーバ | 21日22時30分から予防的メンテ。22日6時30分にPHP更新完了を案内。サポート終了版にも修正を適用 |
| エックスサーバー | 21日16時に公式サイト・管理画面を停止。22日6時45分に8.2〜8.5、12時に7.4〜8.1、14時に5.6〜7.3へ適用完了 |
| ConoHa WING | 21日19時から22日10時まで緊急サーバーメンテナンス |
| ロリポップ！・ヘテムル | 21日夜にサービスサイトとユーザー専用ページを順次停止。22日未明に一部サイトも一時停止 |
| カラフルボックス・バリューサーバー・コアサーバー | 22日0時から全サーバーで順次システム更新 |
| Amimoto | サイトを止めずに修正を適用。国外IPからのPOSTをWAFで一時遮断（21日19時〜22日10時） |
| KAGOYA | 21日14時54分にCVE番号を挙げて影響調査中と告知 |
「止めた会社が慎重で、止めなかった会社が無策」という話ではありません。予約や決済が売上に直結するサイトは止めない方が得です。情報発信が中心のサイトは、数時間止まっても実害が小さいため停止が合理的になります。判断の軸は、自分のサイトが止まったときに何が困るかです。
なお、さくらインターネットもエックスサーバーも、公式サポートが終了した古いPHPに対して独自の修正を当てています。これは「今回の件は乗り切れた」という意味であって、今後も同じように守ってもらえる保証ではありません。
自分のブログが対象かを3分で確認する手順
確認作業は難しくありません。WordPressの管理画面だけで完結します。次の順番で進めてください。
- WordPressの管理画面にログインし、「ツール」→「サイトヘルス」→「情報」タブを開きます。
- 「サーバー」の項目にあるPHPのバージョンを読み取ります。「8.3.36」のように3つの数字が並んでいれば公式修正版の判定ができます。
- 8.2.35・8.3.36・8.4.27・8.5.12以上なら、公式の修正が入った状態です。
- 数字が3つ並んでいない、または8.1以下なら、次の章の対応が必要になります。
- あわせてレンタルサーバーの管理画面でもPHPの設定を確認してください。ドメインごとにバージョンを切り替えている場合があるためです。
エックスサーバーのように、古いバージョンへ独自修正を当てた会社では、サイトヘルス上の数字が公式修正版より小さいことがあります。数字だけで判断せず、契約先のお知らせも必ず確認してください。
修正版が出たのは8.2〜8.5だけ—「8.1以前」の本当のリスク
ここが今回の実務でいちばん見落とされやすいポイントです。公式の修正版が用意されたのは、8.2から8.5の4系統だけでした。
| PHPのバージョン | 今回の対応 | これからの扱い |
|---|---|---|
| 8.3／8.4／8.5 | 公式の修正版あり | そのまま利用を継続できます |
| 8.2 | 公式の修正版あり（8.2.35） | 2026年12月31日でサポート終了。年内に8.3以上へ |
| 7.4／8.0／8.1 | ソースのバックポートのみ提供 | サーバー会社の独自修正に依存。年内に8.3以上へ |
| 5系 | 提供なし | 早急な移行が必要です |
バックポートというのは、修正内容を古いバージョン向けに移植したソースコードのことです。PHPセキュリティチームは7.4・8.0・8.1向けに最小限のソースを提供しましたが、これは自分でビルドする利用者やLTSベンダー向けの配布物です。共用レンタルサーバーの利用者が自分で適用できるものではありません。
だからこそ、古いバージョンを使い続けることは「次に何か起きたときに、誰も守ってくれない状態」を意味します。今回たまたまサーバー会社が独自修正を作れたのは、被害の大きさが社会問題になり、報道と政府の呼びかけがあったからです。次の脆弱性で同じ対応が保証される根拠はありません。
もう一点、クラウド側の対応差も知っておくべきです。Ubuntu 22.04 LTSのPHP 8.1には修正が提供されましたが、Amazon Linux 2のPHPには「修正予定なし」とされています。同じPHP 8.1でも、どこで動かしているかで結果が変わります。
副業ブログの収益視点—停止と改ざんはいくら損するのか
セキュリティの話は「気をつけましょう」で終わりがちです。副業ブログとして大事なのは、これが収入の話だと捉えることです。サイトが止まれば、その間の広告収入とアフィリエイト成約はゼロになります。
| 月間PV | 1日の逸失収入の目安 | 2日停止した場合 | 改ざん復旧にかかる時間 |
|---|---|---|---|
| 1万PV | 70〜170円 | 140〜340円 | 丸1日〜2日 |
| 5万PV | 330〜830円 | 660〜1,660円 | 2〜3日 |
| 10万PV | 670〜1,670円 | 1,340〜3,340円 | 3日〜1週間 |
広告収入は1PVあたり0.2〜0.5円を前提にした概算です。金額だけを見ると小さく感じるかもしれません。しかし本当の損失は数字の外側にあります。検索からの流入が落ち、読者の信頼が削れ、復旧作業に丸2日使えば、その間は新しい記事も書けません。
私の場合、ブログは副業の柱のひとつなので、止まっている間も家賃や固定費は動き続けます。停止そのものより「復旧に使う時間が本業と副業の両方から削られる」ほうが痛手でした。だからこそ、日頃のバックアップとバージョン管理に時間を割く価値があります。
今日やる実践5ステップ
ここまでの内容を、実行できる作業に落とし込みます。すべて30分以内で終わる手順です。
- 契約先のお知らせを確認する。サーバー会社の障害情報ページと公式SNSをブックマークし、PHPの修正が適用済みかを確認します。
- サイトヘルスでPHPバージョンを確認し、8.2以上かどうかを判定します。8.1以下なら、サーバーの管理画面でバージョン切り替えを検討します。
- サーバーの外にバックアップを取得します。管理画面が止まっている間は、サーバー上のバックアップ機能も使えません。
- 切り替え後は、トップページ・固定ページ・問い合わせフォーム・アフィリエイトリンクの4点を実際にクリックして動作を確認します。PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。
- 見覚えのない管理者アカウントやファイルがないかを確認します。攻撃を受けた形跡があれば、パスワード変更とバックアップからの復元を検討します。
バックアップの取得方法と復元手順は、プラグインの選び方とあわせて整備しておくと迷いません。当サイトのWordPressプラグイン完全ガイドで、バックアップ系プラグインの比較と「入れてはいけない」類型をまとめています。
サイトの表示速度を保つことも、間接的な守りになります。古いPHPは処理も遅く、更新も止まっています。表示速度の考え方はCore Web Vitals完全ガイドで詳しく解説しています。
よくある誤解—「メンテナンスモードで防げる」は間違い
今回の件では、SNS上に誤った対策がいくつも流れました。とくに多い4つを整理しておきます。
1つ目は「メンテナンスモードにすれば安全」という誤解です。PHPの開発チームは、Apacheのmod_phpではアプリケーションのコードが動く前に攻撃が成立すると説明しています。WordPress側で画面を閉じても、その手前のPHPで受け止めてしまうのです。
2つ目は「php.iniの設定変更で足りる」という誤解です。設定変更で攻撃の経路を一部減らすことはできても、安全性は確保できません。開発元が示す唯一の対策は更新です。
3つ目は「別のサーバーへ引っ越せば解決」という誤解です。修正はすでに各社へ入っています。移転作業そのものに、メール設定の漏れやDNS切り替えのダウンタイムという別のリスクが伴います。
4つ目は「PHP対策」をうたうメールやSMSのリンクです。これは偽物の可能性が高いもので、ログインを急がせる連絡は攻撃の手口です。管理画面へは普段使っているブックマークから入ってください。
これからの備え—PHPバージョンを「運用」に組み込む
今回の騒動は数日で収まります。しかし同じ構造の問題は、これからも繰り返されます。大切なのは、非日常の対応を日常の運用に変えておくことです。
おすすめは、半年に1回の「インフラ棚卸し」をカレンダーに入れてしまう方法です。PHPのバージョン、WordPress本体、テーマ、プラグイン、バックアップの取得状況。この5点をまとめて確認するだけで、今回のような緊急時に慌てる度合いが大きく変わります。
あわせて、パスワードと二要素認証の設定も見直しておきましょう。侵入を完全に防ぐことはできなくても、被害の範囲は狭められます。具体的な管理方法は副業の情報セキュリティ対策ガイドにまとめています。
収益面の備えも同じ発想です。広告収入が1本のサイトに集中していると、停止の影響をそのまま受けます。収入源を分散しておく考え方はアドセンス収益化ガイドで数字とあわせて解説しています。
【FAQ】PHP2Shellと副業ブログに関するよくある質問
読者から多かった質問と回答をまとめました。判断に迷ったときの確認用として使ってください。
| 質問 | 回答 |
|---|---|
| WordPressを更新すれば直りますか？ | 直りません。原因はPHP本体にあり、WordPress.orgも更新は不要と明言しています。 |
| 共用レンタルサーバーなら何もしなくて大丈夫ですか？ | PHP 8.2以上なら作業は不要です。8.1以下は独自修正に依存するため、年内に8.3以上へ上げてください。 |
| すでに攻撃を受けていたか確認する方法はありますか？ | 見覚えのない管理者アカウント、不審なファイル、身に覚えのない送信メールを確認してください。不安ならサーバー会社のサポートに相談します。 |
| サイトを一時停止するとSEOに悪影響がありますか？ | 短時間の停止であれば影響は限定的です。放置して改ざんされるほうがリスクは大きくなります。 |
| PHP 8.2を使っていますが、何か必要ですか？ | 今回の修正は適用済みですが、2026年12月31日でサポート終了です。年内に8.3以上へ切り替えてください。 |
| 個人ブログでも狙われますか？ | 狙われます。攻撃は無差別に送られるため、規模の大小は関係ありません。 |
まとめ—インフラは副業の土台である
今回のPHP2Shellは、副業ブロガーにとって「自分の稼ぎ口が、自分が書いていないコードの上に乗っている」と気づかされる出来事でした。記事を書く時間も大事ですが、その記事が載る場所を守る時間も同じだけ価値があります。
まずはサイトヘルスでPHPのバージョンを確認してください。8.2以上なら今回の件は一区切りです。8.1以下なら、バックアップを取ってから年内の切り替えを予定に入れましょう。
緊急対応が落ち着いたら、半年に1回のインフラ棚卸しを習慣にしてください。守りを固めたブログは、長く稼ぎ続けられます。今日のうちに10分だけ、確認から始めましょう。
コメント