結論: サイトを持っていない人は、とくにやることはない
先に結論です。ウェブサイトを見るだけの人は、とくにやることはありません。PHPはウェブサイトのサーバーの上で動くもので、スマホやパソコンには入っていないからです。
ホームページやブログを持っている人は、借りているレンタルサーバーの会社のお知らせを確認してください。対応の予定が書いてあれば待つだけ、何も書いていなければ問い合わせます。
どちらの人にも共通して気をつけてほしいのは、このニュースに便乗した偽メール・SMSです。「緊急の更新が必要です」「こちらからログインしてください」といったリンクは開かないでください。
PHPとは — ウェブサイトの裏方で、ページを作る言語
PHPは、ウェブサイトを作るためのプログラミング言語です。1995年に生まれ、30年以上使われています。
レストランにたとえると、ウェブサイトがお店で、PHPは厨房で注文を受けて料理（ページ）を作る仕組みです。お客さん（あなたのスマホ）が「このページを見せて」と注文すると、サーバーの上でPHPがページを組み立てて、できあがったものを届けます。
「ネットの土台」と言われるのは、使われている数が多いからです。調査サイトのW3Techsによると、サーバー側の言語がわかるサイトのうち約7割がPHPで動いています（2026年10月21日時点）。ブログや会社のホームページでよく使われるWordPressもPHPで作られています。
php2shellで何が起きたのか
2026年10月20日（日本時間では21日）、PHPの開発チームが「深刻度がいちばん高いクラスの脆弱性が2つある」と前もって知らせ、10月21日の夜（日本時間）に修正版を公開しました。深刻度は10点満点で9.2です。
問題があったのは、サイトごとのプログラムではなくPHPそのものです。そのため、WordPressなどのアプリ側をいくら直しても防げず、PHP本体を修正版に入れ替える必要があります。
サーバーを乗っ取られると、あとから何度でも入れる裏口を仕掛けられたり、会員の情報が盗まれたり、通販サイトなら決済の画面を書き換えられたりするおそれがあります。修正版が出ると「どこを直したか」から弱点がわかってしまうため、公開の直後に攻撃が増えると予想する専門家もいました。
立場別にやること
やることは、サイトを持っているかどうかと、サーバーを誰が管理しているかで変わります。
レンタルサーバーを借りている人
レンタルサーバーでは、PHPの本体はサーバー会社が管理しています。修正を当てる作業は借りている人にはできないので、サーバー会社に任せることになります。
- お知らせを見る — サーバー会社のホームページで、お知らせやメンテナンス情報のページを確認します。
- 案内がなければ問い合わせる — 聞くことは2つ。「今回の脆弱性に対応する予定はあるか」「自分のサイトの設定のままで大丈夫か」です。
- 管理画面のPHPの版を見る — 多くのレンタルサーバーでは、使うPHPの版を管理画面で選べます。古い5や7を選んだままだと修正が届かないおそれがあるので、8.4以降に切り替えましょう。
版を切り替える前には、バックアップを取り、WordPressとプラグインを最新にしておくと安心です。古いプラグインが新しいPHPで動かないことがあるためです。
VPSやクラウドで、自分でサーバーを管理している人
サーバーの中身を自分で管理している場合は、自分で修正版に更新する必要があります。LinuxのディストリビューションやPHPの提供元から、更新されたパッケージが出ていないか確認してください。手順に自信がなければ、詳しい人や管理会社に相談しましょう。
PHP 5や7など、古い版を使っている場合
PHPの公式なサポートは、今は8.2以降だけです。8.1以前には、PHPの公式な修正版は出ていません。
ただし、7.4・8.0・8.1向けには、PHPのセキュリティチームが「ソースから自分で組み立てる人向けの最小限の修正」を公開しています。また、OSの提供元や有償の長期サポートを提供する会社が、古い版向けの修正を出している場合もあります。
すぐに上げられない場合のつなぎの設定（緩和策）も公式に案内されていますが、どれも完全には防げないとされています。根本的な対策は、修正版への更新だけです。
レンタルサーバー各社の動き
10月21日には、国内の主なレンタルサーバー会社で緊急メンテナンスが相次ぎました。公式の告知で確認できた内容は次のとおりです（2026年10月22日に確認）。
| 会社 | 対象 | 日時 | 内容 |
|---|---|---|---|
| さくらインターネット | レンタルサーバ | 10/21 13時頃〜 10/22 8時頃 | 緊急メンテナンス |
| VPS | 10/21 15時頃〜 10/22 18時頃 | 緊急メンテナンス | |
| ConoHa WING | レンタルサーバー | 10/21 19時〜 10/22 10時 | 緊急メンテナンス （システムの保守作業） |
| お名前.com | レンタルサーバー | 10/21 19時〜 10/22 10時 | 緊急メンテナンス |
| 共用サーバー GS | 10/21 23時〜 10/22 9時 | 緊急メンテナンス | |
| mixhost | マイページ （管理画面） | 10/21 22時頃〜 10/22 8時半 | 予防的に停止 （サイト・メールは影響なし） |
どの会社の告知にも、「PHPの脆弱性への対応」とは明記されていません。時期からPHPへの対応とみられますが、自分のサイトの更新が済んだかどうかは、利用している会社のお知らせで確かめてください。
よくある質問
サイトを持っていない人も、何か対策をしたほうがいいですか？
とくにやることはありません。PHPはウェブサイトのサーバーの上で動くもので、スマホやパソコンで更新するものはないためです。気をつけるのは、使っているサービスからお知らせが来たら従うことと、このニュースに便乗した偽メールやSMSのリンクを開かないことの2つです。
「修正版を当てる」とはどういう意味ですか？
問題を直した新しいバージョンに入れ替える（アップデートする）ことです。服の穴に布を当てて繕う「継ぎ当て」から来た言い方で、IT業界では「パッチを当てる」とよく言います。
なぜ修正版が出た直後が危ないと言われるのですか？
修正版が出ると、どこをどう直したかが誰でも見られるようになるからです。攻撃する側は直す前と後を見比べて弱点を突き止め、短い時間で攻撃の方法を作ります。そのため、まだ更新していないサイトがねらわれやすくなります。
二段階認証やパスワードの変更はしたほうがいいですか？
今回の脆弱性のために必須ではありません。ただ、どちらもふだんから役に立つよい対策なので、まだ設定していないならこの機会に済ませておくと安心です。
参考: PHP公式のセキュリティ告知（php.net、2026年10月21日）／W3Techs（2026年10月21日）／各社の公式告知。内容は2026年10月22日時点の情報です。