AIも使って見つかったPHPの穴「php2shell」。サイトを持っている人が今日確かめること

📌 何が起きたの？

何があった

PHP は、Webサイトの裏側で動くプログラムの言葉です。 WordPress のブログも、ネットショップも、その多くが PHP で動いています。 報道では、世界のサイトの約7割が PHP を使っているそうです。

その PHP に、2つの穴が見つかりました。 「php2shell」という呼び名で広まっています。

PHP の公式によると、ログインなしで、外からサーバーに好きな命令を実行させられるおそれがあります。 深刻度は10点中9.2で、いちばん上の「Critical（重大）」です。

直した版（8.5.12・8.4.27・8.3.36・8.2.35）は、10月21日の夜（日本時間）に出ました。 もとは22日に出す予定でしたが、穴の情報が先にネットに漏れたため、1日早めたそうです。

何が変わる

日本でも大きな騒ぎになりました。 報道では、高市首相が X で「今夜に対応して頂きたい大至急のお願いです」と呼びかけています。

BASE や pixiv など、多くのサービスが念のため一時止まりました。 エックスサーバーやロリポップなどのレンタルサーバーも、緊急のメンテナンスに入っています。

「攻撃しようとする動きがある」という報告は、いくつかのセキュリティ会社から出ています。 ただ、IPA（情報処理推進機構）は21日の時点で「悪用した攻撃を確認しているわけではありません」としています。

試すなら

サイトを見るだけの人は、やることは基本的にありません。 PHP はサイトを持っている側のサーバーで動くものだからです。

自分のサイトや、お店のネットショップを持っている人は、このあとの「今日やること」を見てください。

出典：PHP 公式「PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released」（英語、2026年10月21日）／The PHP Foundation（英語、2026年10月21日）／IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）／報道：ITmedia NEWS・共同通信（Yahoo!ニュース）

🤖 AIも使って見つけた穴だった

今回の穴は、AI を使った調べの中から報告されています。

PHP の運営団体によると、2026年8月に、セキュリティ会社の研究者と OpenAI が、同じ日に別々に報告しました。 8月の終わりには、セキュリティ会社の Wiz からも、別の攻め方が報告されています。 OpenAI の「Codex Security」の名前も、お礼の欄に入っています。

ただ、最初の兆しを見つけたのは人です。 2024年に、PHP の開発者が別の直しをしている途中で、問題の芽に気づいていたそうです。

PHP の運営団体は、AI について「報告を確かめたり、仕分けたりするのを助けてくれる。ただ、判断と直しはすべて人がしている」と書いています。 AI を使った調べが広がって、届く報告の数も大きく増えたそうです。

AI で穴が早く見つかるのは、よいことです。 でも、同じ力は攻める側も使えます。 直した版が出たら、「あとで」ではなく「その日のうち」に当てる時代になってきました。

出典：The PHP Foundation「Today's PHP security release and how we're strengthening PHP security」（英語、2026年10月21日）（2026年10月22日に確認）

✅ サイトを持っている人が今日やること

レンタルサーバーを使っているなら、PHP そのものを直すのはサーバーの会社です。 エックスサーバーは、22日の朝に PHP 8.2〜8.5 の直しを全部のサーバーに当て終えたと案内しています。

自分でやることは、「確かめること」が中心です。

PHP のバージョンは、レンタルサーバーの管理画面で見られます。 WordPress なら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でも見られます。

8.1 より古い版は、PHP の公式からはもう直しが出ません。 8.2 も、2026年12月31日でサポートが終わります。 古い版だったら、バックアップを取ってから、8.3 以上に切り替えるのがおすすめです。 切り替えると、古いプラグインが動かなくなることがあるからです。

サイトを制作会社に任せている人は、「PHP の php2shell の件、対応済みですか？」と1通聞いておくと安心です。

サイトヘルスの「サーバー」の欄を写して AI に見せれば、今の版が直した版かどうかを確かめるのも手伝ってくれます。

WordPress のサイトヘルスの「サーバー」の欄を、下に貼ります。
PHP の版が、2026年10月21日に出た修正版（8.5.12・8.4.27・8.3.36・8.2.35）か、それより新しいかを判定してください。
古い場合は、レンタルサーバーの管理画面で何を確かめればよいかを、順番に教えてください。

（ここにサイトヘルスの「サーバー」の欄を貼る）

出典：PHP 公式（英語、2026年10月21日）／エックスサーバー お知らせ／窓の杜（2026年10月22日に確認）

💬 今日のひとこと

AI が穴を見つけて、人が直す。 今回は、その順番がうまく回った例だと思います。

ただ、情報が漏れて、直す時間は1日短くなりました。 見つけるのが速くなるほど、直すほうも速さが要ります。

サイトを持っている方は、今日のうちに一度だけ、PHP の版を見ておいてください。🔧