PHP2Shell対策。
まずPHPを更新。

PHP2Shellは何の脆弱性？

PHP2Shellは、CVE-2026-109618とCVE-2026-109619というPHP本体の2件の脆弱性の呼称です。PHP公式は、条件がそろうと認証なしのリクエストからリモートコード実行につながる可能性があるとして、直ちに更新するよう呼びかけています。[1]

これはWordPress固有の脆弱性ではありません。WordPressを使っていなくても、PHPを使う公開サイトは対象になり得ます。一方、個別のサイトが実際に影響を受けるかはPHPのビルド、修正状況、サーバー構成によって変わります。

どの環境を確認すべき？

PHP公式はPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境を挙げています。WordPress本体やプラグインを更新済みでも、サーバー側のPHPは別に確認してください。[1]

PHP公式が2026年10月21日に示した修正版は、8.2.35、8.3.36、8.4.27、8.5.12です。ただしLinuxディストリビューションやホスティング事業者が修正をバックポートしている場合、表示されるバージョンだけでは判断できません。提供元の案内やパッケージの更新情報でCVEへの対応を確かめてください。[2]

対応は「更新」が先。「移行」はその後。

1. WordPressと契約先の情報を確認する

   管理画面の「ツール → サイトヘルス → 情報 → サーバー」でPHPの情報を確認できます。WordPress公式の画面案内 [3]も参照してください。ただし表示バージョンだけで安全とは判断できません。ホスティング事業者の修正・バックポート情報を確認し、不明なら問い合わせます。WordPress本体の更新だけでPHP本体の対策が完了したと判断しないでください。

2. 未修正ならPHPを更新する

   PHP公式の対応版または提供元の修正済みパッケージを適用します。更新の前後にサイトの表示・重要な機能を確認してください。自分でPHPを変更できない契約なら事業者に対応状況と更新予定を確認します。WAFなどの緩和策だけを更新の代わりにしないでください。[1]

3. 更新後に公開サイトの運用を見直す

   更新を続ける体制、使用しているプラグインや管理画面の必要性を整理します。PHPに依存しない構成への移行は一つの選択肢ですが、移行だけで安全が保証されるわけではありません。