対象・状況・責任者
対象URL、PHPの利用有無、Web側の稼働バージョン、提供元の修正状況、保守窓口を確認。不明点は「未確認」として管理します。
PHP2SHELL / SPECIAL RESPONSE
PHP・WordPressの脆弱性対応、特別窓口。
現状確認は無料。まずは、分かる範囲の情報でご相談ください。
PHP・WORDPRESS 緊急対応
対応を要請する 最短10分で対応開始。料金は後払い。
依頼が殺到していますが、臨時的に人員を増やして対応しているため、最短10分で対応開始可能。
REQUEST SUPPORT / 現状確認は無料PHP・WordPressの
PHP・WordPressの
対応を要請する。
影響の確認から更新対応の調整まで、
分かる範囲の情報をお知らせください。
企業・個人事業主のご相談を受け付けています。
料金表を確認する ↓
対応要請フォーム
必須の項目をご記入ください。サーバーやバージョンが不明でもご相談いただけます。
臨時窓口 / CHATWORK & LINEChatwork・LINEでも、
Chatwork・LINEでも、
ご相談いただけます。
臨時のChatwork・公式LINE窓口からもご連絡いただけます。
メールへの返信、またはご利用しやすい窓口よりご相談ください。
CLEAR PRICING / 料金表現状確認は無料。
すべて税込現状確認は無料。
費用を確認して、対応へ。
まずはサイトの状態と、ご希望の対応をお知らせください。
作業範囲・費用・実施時期をご案内し、合意した内容で対応します。
| サービス | 料金 | ご案内 |
|---|---|---|
| 現状確認 | 無料まずはこちらから | 利用環境・更新状況・ご相談内容を確認し、必要な対応を整理します。 |
| PHP・WordPress更新 | 11,000円 | 対象環境と管理権限を確認したうえで、更新作業・適用調整を進めます。 |
| 更新に伴うエラー対応 | 22,000円／時間 | 更新費11,000円を含む総額の上限は110,000円です。 |
| 復旧対応 | 11,000円〜上限110,000円 | 障害の状況を確認し、復旧方法・対象範囲をご案内します。 |
| 月額保守 | 11,000円〜／月 | サイトの構成とご希望に合わせて、継続保守の範囲を相談します。 |
| AIによる自動パッチ当てシステム開発 | 要見積もり | ※ パッチが配布されたことを検知し、システムに自動適用するシステムを構築します。 |
更新＋エラー対応総額上限 110,000 円（税込）
更新費11,000円を含みます。
復旧対応は別項目として、上限110,000円を設定しています。
更新・エラー対応・復旧・保守の対象範囲は、事前確認のうえご案内します。サーバー事業者が管理するPHPの修正版提供時期は、提供元の対応状況によります。フォーム送信だけで有料作業が開始されることはありません。
無料の現状確認を相談する特別対応 PHP SECURITY RESPONSE
PHPの脆弱性対応を、
確認から、
修正・記録まで。
PHP・WordPressを利用する企業・個人事業主の皆さまへ。
PHP2Shellと同日のNode.js更新について、
一つずつ、確実に進めるための特別対応窓口です。
情報更新：2026.10.22 ／ 影響確認・更新・検証・記録を解説
緊急連携中
VeritasChain株式会社 ↗ と連携して対応
特別連携期間：までPUBLIC ADVISORY / 公的注意喚起首相からも、緊急対応の呼びかけ。
首相からも、緊急対応の呼びかけ。
いま、確認と判断を。
2026年10月21日の発信を踏まえ、Webサイトの運営者・経営者が確認すべきポイントを整理しました。
「大至急のお願い」
@takaichi_sanae
PHPの利用確認と迅速な修正適用の準備を要請。適用が難しい場合の一時停止にも言及しています。
投稿全文をXで確認する呼びかけの要点 / 当社による要約
- 01
公開サイトでPHPを使っているか確認
社内担当者や保守会社に、利用環境と修正の適用状況を確認する。
- 02
修正パッチを速やかに適用
提供元の情報を確認し、必要な更新作業を進められるよう準備する。
- 03
適用が難しい場合は一時停止も検討
未修正のまま公開を続けるリスクと、停止の影響を管理者と確認する。
投稿は修正版の公開前に発信されたものです。10月22日現在の修正版と適用後の確認手順は、本ページの技術情報をご覧ください。
出典：高市早苗首相のX投稿、IPAの公開情報。引用・要約は注意喚起の紹介です。当社の対応サービスは独自に提供しており、政府機関による推奨・認定を示すものではありません。
担当者が動けるように、
確認・承認を具体化する。
技術調査と並行して、社内で決める事項を整理しましょう。以下は公的注意喚起を踏まえた当社の実務上の提案です。
作業・時間・費用
バックアップ、修正版の適用、必要な再起動、動作確認を一連の作業として調整。停止時間・担当者・費用上限を合意します。
未適用時の公開方針
修正の適用までに時間がかかる場合は、公開制限や一時停止の必要性を管理者と判断し、顧客への案内と復旧条件を決めます。
そのまま使える依頼文
説明メモを保存（TXT） ↓社内共有・保守会社への確認に。
対象URLや希望する連絡時期を添えてご利用ください。
管理者が分からない場合も、まずは現状確認から。
現状確認は無料。PHP・WordPress更新は11,000円（税込）。有料作業は範囲・費用を確認したうえで進めます。
まず取り組むこと修正版の適用と、
修正版の適用と、
再起動を最優先に。
設定変更やWAFは一時的・補助的な対策です。今回の脆弱性を解消するには、修正を含むランタイムの適用が必要です。
- 最優先PHPの修正版を適用・再起動
公開環境、とくにApache mod_phpを優先。
- 並行対応Node.jsと未適用環境を確認
利用機能・公開範囲に応じて更新や制限を実施。
- 適用後動作・ログ・証跡を確認
実際に稼働するバージョンと主要機能を確認。
01 / WHAT HAPPENEDまず、利用環境と
まず、利用環境と
修正の適用状況を確認。
2026年10月21日、PHPとNode.jsの双方で重要なセキュリティリリースが公開されました。特にPHP2Shellは認証なしのリモートコード実行（RCE）につながる重大な問題です。アプリケーションだけでなく、実際に稼働しているランタイムの確認・修正が必要です。
CVE-2026-109618
CVE-2026-109619
| 系列 | 影響する範囲 | 修正版 |
|---|---|---|
| 8.5.x | 8.5.12未満 | 8.5.12 |
| 8.4.x | 8.4.27未満 | 8.4.27 |
| 8.3.x | 8.3.36未満 | 8.3.36 |
| 8.2.x | 8.2.35未満 | 8.2.35 |
2026年10月22日時点のPHP公式情報。提供元が既存バージョンへ修正を組み込む場合もあるため、表示番号に加えて対象CVEへの対応状況を確認します。
WordPressの更新だけでは、PHP本体は更新されません。
共用サーバーでは、サーバー事業者による修正版の提供・適用が必要な場合があります。
PHP本体の問題です。
WordPressやContact Form 7を使っていること自体が、今回の2件の原因ではありません。アプリケーションが動作する土台であるPHPの修正適用を確認します。
実行権限の範囲で被害が広がります。
RCEは直ちにOSのroot権限の取得を意味しません。ただし、Webワーカーが読める設定・データベース接続情報や、書き込めるファイルなどが影響を受ける可能性があります。
攻撃試行と侵害成立は分けます。
攻撃トラフィックの観測は、個別企業で侵害が成功した証拠とは異なります。一方、ログに異常が見つからないことだけで、安全と証明することもできません。
メンテナンス表示だけでは不十分です。
mod_phpではアプリケーション実行前の攻撃経路が確認されています。更新できない間の制限は、Webサーバー・プロキシなどPHPへ到達する前段で検討します。
根拠：PHP公式：影響と実行権限 ↗ ／ PHP公式：設定・ログの評価 ↗ ／ Cloudflare：攻撃観測 ↗
公式サイト以外も、確認対象です。
採用サイト、キャンペーンページ、旧サイト、サブドメイン、EC・会員サイト、管理画面、外部向けAPI、委託先のシステムを一覧化します。責任者・保守会社・サーバー・実行環境・サポート期限・緊急連絡先をひも付けると、対応の漏れを減らせます。
- 対象URL・システム名
- 管理者・保守会社
- PHP／Node.jsと実行方式
- 提供元の修正情報
- 公開範囲・重要機能
- バックアップ・復旧方法
現在の状態から、次の一手を決める
| 状況 | 最初に確認・実施すること |
|---|---|
| 緊急 公開中・未修正 | 修正版を適用。直ちに適用できない場合は、公開停止・到達制限を管理者と検討します。 |
| 優先 バージョンや修正状況が不明 | 実際のWeb実行環境と提供元の回答を確認。「不明」をそのまま「影響なし」と扱いません。 |
| 優先 PHP 8.1以前 | 信頼できるベンダー修正の有無を確認し、サポート対象系列への移行計画を作ります。 |
| 確認 更新済み | 全ワーカーへの反映、主要機能、公開していた期間のログ・ファイル変更を確認します。 |
| 初動 改ざん・不審な処理の疑い | 記録・証跡を保全し、封じ込めと調査を開始。通常の更新作業だけで完了とは判断しません。 |
修正・隔離の考え方：CERT-EU Security Advisory 2026-018 ↗
02 / PHP2SHELLPHP本体に存在する、
PHP本体に存在する、
2件の重大な脆弱性。
CVSS v4.09.2Critical ／ 2件とも
PHP2ShellはPHPコアの問題です。WordPress・Laravel・Drupalなどのアプリケーションを更新するだけでは解消できず、PHPランタイムの修正が必要です。認証なしで、サーバー上のコード実行につながる可能性があります。
メモリ不足処理中の
不完全な初期化状態
メモリ不足（OOM）で処理が中断された際、リクエストの内部データが不完全な状態で残り、終了処理がそのデータを扱うことでメモリ破壊やRCEにつながります。
公式アドバイザリ GHSA-w8hw-w9fx-j79w ↗解放済みメモリを参照する
古いグローバル状態
リクエストのメモリ解放後も内部状態への参照が残り、同じワーカーが処理する後続リクエストで利用されることで、解放後使用（use-after-free）やRCEにつながります。
公式アドバイザリ GHSA-6wmf-4rv5-p3rp ↗Webリクエストを処理するPHP環境を確認
PHP公式はこれらを含む全Web実行環境をリスクの対象としています。特にApache mod_phpでは、アプリケーションコードが動く前に攻撃が成立する実証があり、最もリスクが高いと評価されています。実際の攻撃条件は、実行方式・設定・利用コードによって異なります。
古いPHPも対象です
CloudflareはPHP 5.4以降のWebサーバーに影響すると報告しています。PHP 8.1以前はPHPプロジェクトの通常更新対象外です。旧版を継続する場合は、提供元のバックポートの有無と対象CVEを確認し、サポート対象版への移行を進めてください。
出典：Cloudflareの報告 ↗ ／ PHP公式 ↗
公開前のリークと攻撃観測
Cloudflareは、公式公開前の情報リークと、顧客環境を狙う攻撃トラフィックの観測を報告しています。攻撃の観測と個別サイトの侵害成立は区別して判断し、更新の遅れによるリスクを早急に確認してください。
すぐに更新できない場合の暫定的な緩和策
設定変更だけで完全に解決することはできません。以下は公式勧告にある部分的な緩和策です。サーバー管理者が対象・副作用を評価し、php.ini・FPMプール・サーバー起動時設定などで適用したうえで、すべてのPHPワーカーを再起動する必要があります。アプリケーション内のini_set()など、リクエスト処理中の変更に依存しないでください。
session.upload_progress.enabled=0- 確認済みのセッションアップロード進捗機能を経由する経路を抑えます。他の状態管理の問題や、2件の脆弱性全体への対策にはなりません。
fatal_error_backtraces=0PHP 8.5の場合- 確認済みの致命的エラーのバックトレースに関係する経路を抑えます。他のリクエスト状態・拡張機能の経路は対象外です。
memory_limit=-1OOMに関係する部分的な緩和- 予測可能なPHPのリクエスト単位のメモリ上限を取り除きます。ただし、OS側などの割り当て失敗は残ります。メモリ制限の解除によりメモリ枯渇やサービス停止の危険が増すため、安易に適用せず、リクエストサイズ制限などを含めて管理者が判断してください。公式勧告は、割り当て失敗を引き起こす
RLIMIT_AS／RLIMIT_DATAを代替のメモリ制限として使わないよう注意しています。 pm.max_requests=1PHP-FPMの部分的な緩和- 1リクエストごとにワーカーを入れ替え、後続リクエストへの状態の持ち越しを抑えます。プロセス生成による性能・負荷への影響があり、OOMなどを含む全体の解決にはなりません。
入力制限も、アプリケーションの前段で
post_max_sizeは業務に必要な範囲へ絞り、Webサーバーやプロキシで展開後のリクエストサイズも制限します。入力変数・ネストの深さ・multipartの部分数や各部分のヘッダー数・アップロード数を制限し、multipartが不要ならPHPへ到達する前に遮断することを検討します。一律の容量値ではなく、業務要件と負荷から設定してください。
プール・ディレクトリ・アプリケーションによる設定の上書きにも注意が必要です。.user.iniなどの適用範囲も含め、実際のWeb実行環境に意図した設定が反映されているか確認します。攻撃者が到達できる致命的エラーやタイムアウトも調査してください。共用サーバーでは提供元に相談してください。完全な対応は、今回の修正を含むPHPの適用です。
適用条件の詳細：OOMの緩和策 ↗ ／ 状態管理の緩和策 ↗
パッチ適用までの運用上の対策
- 公開範囲を制限：必要に応じて、PHPに到達する前段のWebサーバー・プロキシで許可IPを限定するか、公開を一時停止します。WordPress内のメンテナンス表示だけでは、PHP処理前の攻撃経路を遮断できません。
- WAFは補助として利用：既知のパターンの遮断を活用し、回避される可能性を前提に修正版の適用を進めます。
- 権限と監視を見直す：サーバー・データ・クラウド権限を必要最小限にし、異常なmultipart通信、メモリ不足、予期しないプロセス起動を監視します。
03 / NODE.JS SECURITY RELEASENode.jsも同日に更新。
Node.jsも同日に更新。
利用機能と影響を確認。
セキュリティリリース
Node.jsは22.x・24.x・26.x向けに修正版を公開しました。PHP2Shellとは別の脆弱性群で、全体では10件、最高深刻度はHighです。各系列で影響する項目は異なります。
4 High3 Medium3 Low
更新後は、すべてのNode.jsプロセスを再起動
Webサービスだけでなく、常駐ワーカー・バッチ・複数台構成も確認します。コンテナは修正版を含むイメージで再ビルド・再配置し、稼働中のプロセスが新しいランタイムへ切り替わったことを確かめてください。
Brotliを共有ライブラリとして利用するビルドでは、OS側のlibbrotliの修正状況も確認します。必要なパッケージ更新はディストリビューションの勧告に従ってください。
構成による違い：Node.js公式ビルド設定（shared-brotli）↗
Highに分類される4件
Brotliデコーダーの境界外書き込み
攻撃者が用意したBrotli圧縮データの展開で、RCEにつながる可能性があります。外部から受け取る圧縮データを扱う処理を確認してください。
対象系列：22.x・24.x・26.xDNS名に含まれるNUL文字の扱い
dns.resolveがNUL文字を含む名前を切り詰める問題です。外部入力を使う名前解決処理を確認してください。
全角数字のIPによるTLS検証の回避
IPアドレスが全角数字で表記された場合に、TLS証明書のホスト名検証を回避できる問題です。
対象系列：24.x・26.x非正規のIP表記によるTLS検証の回避
ホスト名が緩い解釈でIPアドレスとして解決される場合に、TLS証明書のホスト名検証を回避できる問題です。
対象系列：22.x・24.x・26.xMedium・Lowの6件も確認する
High以外の修正も同じリリースに含まれています。利用機能を確認し、対象系列の修正版を適用してください。
- CVE-2026-105481 Medium / 22.x・24.x・26.x
- keep-aliveソケットが、リクエストの送信前に書かれたレスポンスを処理する問題。
- CVE-2026-106072 Medium / 22.x・24.x・26.x
- 非正規表記のIPv4ホスト名に関する証明書検証の問題。
- CVE-2026-106074 Medium / 22.x・24.x・26.x
- ユーザー作成の起動スナップショットや単一実行ファイル（SEA）に乱数キャッシュが保存され、複数プロセスで値が繰り返される問題。
- CVE-2026-106070 Low / 26.x
- ZIPヘッダーの検証失敗後に、攻撃者が制御したプレフィックスのバイト列を返す問題。
- CVE-2026-106071 Low / 26.x
- Permission Modelのワイルドカード処理により、ファイルシステム権限が過剰に付与される問題。
- CVE-2026-106073 Low / 22.x・24.x・26.x
fs.realpathSyncによるPermission Modelの回避。
TLS・DNS関連の利用箇所に加え、起動スナップショット・SEA・Permission Modelなどの利用有無を開発担当者と確認します。
CVE・重大度・対象系列の出典：Node.js公式セキュリティリリース告知（全10件）↗
依存関係と証明書も更新
系列に応じてc-ares、OpenSSL、Undici、SQLiteなどが更新され、侵害されたeMudhra中間CAへの対応も含まれています。Node.js本体と同梱する依存関係・証明書の更新内容を確認してください。
04 / RECOMMENDED ACTIONS優先度を決め、
優先度を決め、
更新から検証まで進める。
- 01
実際に稼働している環境を洗い出す
自社・委託先の公開Webサーバー、コンテナ、バックグラウンド処理などのPHP・Node.jsを一覧化します。SBOM（ソフトウェア部品表）も活用し、実稼働の情報と照合します。管理画面の系列名や手元の端末だけでなく、実際のWebワーカー・プロセス・コンテナのバージョンと提供元の修正状況を確認します。
- 02
影響と公開範囲から優先度を決める
インターネットに公開されたPHP環境は優先して対応します。Node.jsでは、外部のBrotli圧縮データ、DNS解決、TLS接続などの利用状況を確認し、該当する環境の修正版適用を進めます。
- 03
バックアップ・互換性を確認して適用する
復旧手順を用意し、サーバー会社・ディストリビューション・コンテナ提供元の修正版を適用します。コンテナは修正を含むイメージで再作成・再配置し、古いワーカーやプロセスが残らないよう、適切な再起動と稼働確認を行います。
- 04
動作・ログ・証跡を確認する
フォーム、ログイン、アップロード、API・外部接続などの主要機能を確認します。ログ監視を継続し、適用日時・バージョン・確認結果・判断理由を記録します。更新完了だけで過去の侵害が否定できるわけではなく、不審な兆候があれば別途調査が必要です。
バージョン確認コマンドの例
対象サーバー・コンテナ内で実行します。コマンド名は環境により異なります。
php -v
php-fpm -v
node -vCLIとWebで、バージョンが違う場合があります。
コマンドの結果だけで完了とせず、実際のサービスが使用する実行ファイル・プロセスを確認します。WordPressではサイトヘルスのPHP表示を優先して確認し、提供元の修正情報と照合してください。
本ページの脆弱性・リリース情報は2026年10月22日時点です。実際の作業時は、公式アドバイザリとご利用の提供元の最新情報を確認してください。
05 / WORDPRESS RESPONSE GUIDEWordPressの確認手順。
WordPressの確認手順。
サーバーのPHPを確認。
PHP2Shellへの根本対応は、サーバー側のPHPへの修正適用です。
WordPress本体・テーマ・プラグインの更新やセキュリティプラグインの導入だけでは、PHPランタイムの問題は解消しません。PHPの更新と併せて、WordPress側の通常の更新・保守も継続してください。
PHP公式の勧告 ↗01 サイトヘルスで実際のPHPを確認
- WordPress管理画面にログイン
- ツール → サイトヘルス → 情報 を開く
- サーバー の項目を展開
- PHPバージョン と実行環境を確認
「良好」の表示だけで、修正済みとは判断できません。
Webで動いているPHPのバージョンを、今回の修正版一覧と照合してください。8.3などの系列名だけでなく、末尾まで確認します。
提供元が旧バージョンへ修正を組み込む「バックポート」を行う場合があります。その場合は、対象CVE・適用済みパッケージ・提供元の告知を根拠に確認します。
02 管理している環境に合わせて対応
レンタルサーバー・マネージド環境サーバー会社と適用状況を確認
管理画面に今回の修正を含むPHPが提供されているか確認します。系列を切り替えただけで完了とせず、変更後はサイトヘルスで実際のバージョンを再確認してください。選択できない場合は、提供元に適用状況と予定を問い合わせます。
サーバー会社への問い合わせ文
当サイトはPHP［現在のバージョン］で稼働しています。CVE-2026-109618およびCVE-2026-109619（PHP2Shell）の修正は、当サイトを処理するPHP環境に適用済みでしょうか。バックポートの場合は、対象パッケージと確認できる告知をご案内ください。未適用の場合は、適用予定時期と利用者側で必要な作業を教えてください。
「WAFで対策済み」という回答に加えて、PHP本体への修正適用と、すべての稼働ワーカーへの反映を確認します。
自社サーバー・VPS・クラウド更新・再起動・稼働確認を実施
変更前にファイル・データベース・設定のバックアップと復旧手順を用意します。提供元の修正版パッケージ、または公式の修正を含むPHPを適用し、PHP-FPM・Apacheなど実行方式に応じてすべてのPHPワーカーを再起動します。
更新したバイナリと、稼働しているプロセスが一致することを確認してください。複数サーバー・複数プール・バックグラウンド処理も対象です。具体的な更新・再起動方法はOSや構成に合わせて決めます。
Docker・コンテナ環境修正版で再ビルド・再配置
提供元の修正状況を確認し、修正を含むベースイメージを取得して、必要に応じてアプリケーションイメージを再ビルドします。新しいイメージでコンテナを再作成・再配置し、古いコンテナが残っていないか確認してください。
latestやwordpress:php8.3-fpmなどのタグ名だけでは修正済みと判断できません。固定タグ・ダイジェスト指定も見直し、実際に稼働するコンテナ内のPHP／Node.jsと修正適用の根拠を確認します。
PHP 8.1以前・サポート終了環境サポート対象系列へ移行
PHPプロジェクトの通常の修正リリース対象外です。限定的なソース修正やベンダーのバックポートがあっても、適用範囲と保守責任を確認する必要があります。互換性を確認し、継続してセキュリティ更新を受けられる系列への移行を優先してください。
03 適用後に確かめること
- 修正の反映：サイトヘルスと提供元の情報を照合し、旧ワーカーが残っていないことを確認。
- 主要機能：公開ページ、管理画面へのログイン、投稿、問い合わせ、メディアアップロード、外部接続を確認。
- 継続監視：異常なアクセス・エラー・プロセスを監視。更新だけで過去の侵害が否定できるわけではありません。
- 記録：適用前後のバージョン、作業日時、確認結果、提供元の回答を保存。
すぐに修正できない場合は、暫定的な緩和策と公開範囲の制限を管理者と検討し、修正版の適用予定を確定します。
PLAN THE CHANGE更新と復旧を、
更新と復旧を、
一つの計画に。
緊急の修正適用でも、対象・戻し方・確認方法をそろえて進めます。サーバー会社とサイト保守担当者の役割を整理し、変更する範囲を共有します。
同じ系列で、修正を取り込む。
8.3.35 8.3.36
同じ8.3系列でのセキュリティ更新の例です。提供元の修正版・バックポートを確認し、変更前後の状態と動作を記録します。
古い系列から、保守できる環境へ。
7.4 8.3以降
複数世代をまたぐ移行では、テーマ・プラグイン・独自コードの互換性確認が必要です。検証環境で準備し、本番切り替えと復旧の条件を決めます。
サポート環境の確認：WordPress公式の推奨要件 ↗。上記は変更の種類を示す例であり、すべてのサイトに同じ移行先を指定するものではありません。
変更前
- ファイル・DB・設定のバックアップ
- 対象サーバー・プール・コンテナの特定
- 停止時間、担当者、復旧方法の共有
- 重要機能の確認項目を準備
変更時
- 信頼できる提供元の修正を適用
- 必要な全ワーカー・プロセスを再起動
- 複数台・全レプリカへの反映を確認
- 適用日時と作業内容を記録
変更後
- Web側の実稼働情報を確認
- フォーム・ログイン・主要機能を確認
- エラー・不審な通信の確認を継続
- 対応結果と残る課題を共有
復旧で以前の環境へ戻す場合も、未修正PHPをそのまま再公開しないよう、到達制限や代替環境を含めて判断します。
ランタイム・提供元
Webで動くPHPの末尾までのバージョン、修正パッケージ、対象CVEへの提供元の回答を確認。CLIの表示や管理画面の系列名だけで完了としません。
問い合わせ・通知
入力検証、送信完了、宛先メールボックスへの到着、自動返信、保存先を確認。送信画面の成功表示と、実際のメール到着を分けて記録します。
サイトの重要機能
公開ページ、ログイン、管理画面、検索、予約、EC、アップロード、定期処理、外部APIなど。売上や受付につながる機能を優先します。
証跡・残課題
変更前後の情報、再起動、確認結果、対応者、判断理由を保存。提供元の回答待ちや未検証の機能は、完了項目と分けて共有します。
06 / HOW WE HELP状況の整理から、
状況の整理から、
確認できる対応へ。
お客様の環境と管理権限を確認し、
サーバー事業者・保守担当者と役割を整理します。
具体的な対応範囲は、事前の確認に基づいて決定します。
対象・影響の確認
利用サービス、PHPの稼働環境、サーバー提供元の情報を整理。更新対象と優先順位を確認します。
利用環境の一覧 ／ 影響確認の記録修正適用の調整
バックアップと互換性を確認し、更新手順・復旧方法を整理。管理権限に応じて提供元への適用依頼を支援します。
対応方針 ／ 作業・復旧手順適用後の確認
実際にサイトを処理するPHPの修正状況と、主要ページ・利用機能の動作を確認します。
修正適用の根拠 ／ 動作確認結果経緯・証跡の整理
いつ認知し、何を判断し、どの対応を実施したかを記録。関係者への説明に必要な情報をまとめます。
対応タイムライン ／ 確認資料07 / VERIFIABLE RECORDS修正すること。
いつ・何を確認し・どう対応したかを残す。
修正すること。
対応を説明できること。
VeritasChain株式会社との特別連携では、VAP（Verifiable AI Provenance Framework）の考え方を踏まえ、対応履歴を検証可能な記録として残すための整理を支援します。
特別連携期間：2026年10月22日〜10月30日
VAPが支えるのは、記録の検証可能性。
適切に記録・保全された情報の改ざん検知や、対応経緯を後から確認するための証跡管理を支援します。
- 認知と判断を残すいつ把握し、何を確認して、更新・緩和・見送りを判断したかを時系列で記録します。「影響なし」とした判断と根拠も対象です。
- 侵害前に保全した記録を検証する侵害前に外部アンカーで確定した範囲について、後からの改ざんや提示からの欠落を確認するための証跡を残します。
- 構成情報と記録を結び付ける実装・記録設計に応じて、ランタイム情報やSBOM・VEXなどへのハッシュ参照を利用します。構成情報自体の整備は別途必要です。
脆弱性を修正する機能ではありません。
連携に関するお知らせ VAPは攻撃の防止・検知や、PHP・Node.jsの更新を代替しません。侵害後にホスト上で作られた記録は、署名があっても内容の正しさを保証できません。最初から記録されなかった出来事を復元することもできず、侵害の有無の判定や復旧には別の調査・対応が必要です。
OUR WEBSITE / STATUS
当社Webサイトの対応状況
修正版の適用確認中
確認時点
当社サイトについても、サーバー提供元の修正適用状況を確認しています。修正版の稼働、または提供元による修正適用を確認したうえで、完了のお知らせを掲載します。
よくあるご質問
サーバー管理に詳しくなくても相談できますか？
はい。対象サイトのURLと、ご利用のサーバーサービス名が分かる範囲でお知らせください。まずは環境の確認に必要な情報を整理します。
管理画面で「8.5」を選べば、対応は完了しますか？
系列名の切り替えだけでは判断できません。実際の稼働バージョンや、提供元による今回の脆弱性への修正適用を確認する必要があります。
WAFやVAPを導入すれば、更新は不要ですか？
不要にはなりません。WAFなどの防御策の有無にかかわらず、PHPの修正版適用状況の確認が必要です。VAPは対応履歴などの記録を検証するための枠組みであり、PHP本体の修正を代替しません。
現状確認の料金はいくらですか？
現状確認は無料です。対象サイトのURLや、ご利用のサーバー名を分かる範囲でお知らせください。有料作業の範囲・費用・実施時期は、確認後にご案内します。
更新中にエラーが出た場合、費用はどこまでかかりますか？
PHP・WordPress更新は11,000円、更新に伴うエラー対応は22,000円／時間です。更新費11,000円を含む総額の上限は110,000円です。いずれも税込です。復旧対応は別項目として11,000円〜、上限110,000円（税込）です。Chatwork・LINE窓口料金表をご確認ください。
Contact Form 7を止めれば対策できますか？
今回の2件はPHP本体の脆弱性です。Contact Form 7の停止だけではPHPの修正を代替できません。フォームの動作確認は、PHP更新後の機能確認として実施します。
古いPHPのため、新しい版に上げるとサイトが動きません。
同じ系列でのパッチ更新と、系列をまたぐ移行を分けて計画します。提供元のバックポート、互換性を確かめる検証環境、テーマ・プラグイン・独自コードの更新、必要な公開制限を確認します。
更新したら、過去の侵害も解消したと考えてよいですか？
更新は脆弱性を修正する作業です。以前の侵害の有無や、残った不正ファイル・認証情報の影響は別途確認します。不審な兆候がある場合は、証跡保全と調査を進めてください。
Node.jsを使っているか分かりません。
Webサイトの実行環境だけでなく、API、常駐ワーカー、バッチ、コンテナなどを管理者・開発会社と確認します。Node.jsはPHP2Shellとは別の更新対象で、利用機能と公開範囲に応じて優先度を決めます。
すぐに作業を始めてもらえますか？
受付後に対象環境、管理権限、必要な対応を確認し、実施可能な時期をご案内します。フォーム送信は、作業開始や復旧完了の保証ではありません。
判断の根拠を、
公式情報で確認する。
脆弱性・修正情報の確認日：2026年10月22日（日本時間）。提供元の対応は更新されるため、実際の作業時に最新情報を確認してください。
PUBLIC ADVISORY / 2026.10.21高市早苗首相の呼びかけPHP利用確認・修正適用準備・一時停止の選択肢 ↗
IPA / 事前注意喚起PHPセキュリティリリースへの準備利用状況の棚卸しと提供元情報の確認 ↗
PHP / OFFICIAL ADVISORYCVE-2026-109618OOMによるメモリ破壊・修正版・緩和策 ↗
PHP / OFFICIAL ADVISORYCVE-2026-109619古いグローバル状態・設定とログの確認 ↗
CERT-EUPHPの重大脆弱性への勧告影響範囲、即時更新、未修正環境の隔離 ↗
NODE.JS / SECURITY RELEASE2026年10月21日リリース全10件のCVE・対象系列・修正版 ↗
WORDPRESS / DOCUMENTATIONサイトヘルスの確認方法WordPress管理画面の環境情報 ↗
THE PHP FOUNDATION修正の背景とセキュリティ体制PHP Foundationによる公開説明 ↗
本ページは一般的な確認・対応の案内です。個別環境の影響判定、侵害調査、作業範囲は、ご提供いただいた情報と実際の確認結果に基づいて整理します。
REQUEST SUPPORT / 現状確認は無料PHP・WordPressの
PHP・WordPressの
対応を要請する。
影響の確認から更新対応の調整まで、
分かる範囲の情報をお知らせください。
企業・個人事業主のご相談を受け付けています。
料金表を確認する ↓
対応要請フォーム
必須の項目をご記入ください。サーバーやバージョンが不明でもご相談いただけます。