2026年10月21日、PHPとNode.jsのセキュリティ更新が公開されました。PHPの重大な脆弱性「PHP2Shell」への対応では、WordPressの更新状況に加えて、サーバーで実際に動いているPHPに修正が適用されているかを確認する必要があります。サイト管理者が保守担当者・サーバー会社と進める作業を、5つの確認事項に整理します。
執筆・情報整理：FocusFirstAdvisors株式会社 ／ 情報確認日：2026年10月22日
WordPress管理画面の「ツール → サイトヘルス → 情報 → サーバー」でPHPバージョンを確認し、提供元の修正情報と照合してください。更新が必要な環境では、修正版の適用と全ワーカーへの反映を優先します。
PHP・WordPressの対応を要請する →1. WordPressとPHPの更新を分けて考える
今回のPHP2Shellは、CVE-2026-109618とCVE-2026-109619の2件を指します。PHP本体のメモリ処理・状態管理に関する問題で、認証なしのリモートコード実行（RCE）につながる可能性があります。PHP公式はWebリクエストを処理するPHP環境を対象としており、とくにApache mod_phpでは、アプリケーションのコードが動く前に攻撃が成立する場合があります。
WordPress本体・テーマ・プラグインを最新化しても、それだけでPHP2Shellは解消しません。PHPの修正適用を確認するとともに、WordPress側の通常の更新・保守も続ける必要があります。PHP公式のセキュリティ勧告で対象と修正情報を確認できます。
2. Webで稼働するPHPと修正状況を確かめる
WordPressのサイトヘルスで表示されるPHPバージョンを、末尾の番号まで確認します。「8.3」などの系列名や、サイトヘルスの「良好」という表示だけでは、今回の修正適用を判断できません。
| 系列 | 修正を含むバージョン |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
OSやサーバー会社が旧バージョンに修正を組み込む「バックポート」を行う場合もあります。番号だけで未修正と断定せず、対象CVEへの対応、適用済みパッケージ、提供元の告知を照合してください。コマンドラインのPHPとWeb側のPHPが異なる構成にも注意が必要です。
3. 管理者・サーバー会社と適用を進める
レンタルサーバーでは、管理画面で選択できるPHPに今回の修正が含まれるか確認します。切り替えだけで完了とせず、変更後の実バージョンを確認してください。自社サーバー・VPSでは、バックアップと復旧手順を用意し、提供元の修正版を適用します。コンテナは修正を含むイメージで再作成・再配置します。
当サイトのPHP環境に、CVE-2026-109618およびCVE-2026-109619の修正は適用済みでしょうか。バックポートの場合は確認できる告知をご案内ください。未適用の場合は、適用予定時期と利用者側で必要な作業を教えてください。
すぐに更新できない場合は、管理者と一時的なアクセス制限や設定による緩和を検討します。ただし、PHP公式が示す完全な対策は、今回の修正を含むPHPへの更新です。WAFや設定変更だけで修正済みとは扱えません。メモリ制限の解除などは副作用があるため、環境を確認せず一律に適用しないでください。
4. 再起動と主要機能を確認する
更新後はPHP-FPM・Apacheなどの実行方式に応じてすべてのPHPワーカーへ修正を反映し、古いプロセスが残っていないことを確認します。複数台のサーバーや複数のプールを利用している場合は、対象を漏らさず確認してください。
- サイトヘルスと提供元の情報で、修正の反映を確認
- 公開ページ・管理画面へのログイン・投稿・メディアアップロードを確認
- 問い合わせフォーム、決済を含む重要な業務機能、APIや外部接続を確認
- エラーログや応答速度に異常がないか確認
「サイトが表示された」だけで検証を終えず、自社の主要な利用経路を一通り確認することが大切です。
5. ログ監視と対応記録を続ける
適用日時、適用前後のバージョン、サーバー会社の回答、動作確認結果、未対応箇所を記録します。更新によって脆弱性が修正されても、過去の侵害がなかったことまで確認できるわけではありません。不審な通信・プロセス・ファイル変更などがあれば、調査を別途進めます。
VAP（Verifiable AI Provenance Framework）は、適切に保全された対応履歴を検証可能な形で残すための考え方です。攻撃防止・検知やPHPの修正を代替するものではありません。対応記録におけるVAPの役割と限界もご案内しています。
Node.jsを利用している場合も確認を
同日公開のNode.jsセキュリティ更新は、22.23.4・24.22.1・26.12.1です。PHP2Shellとは別の脆弱性群で、Brotli圧縮データの展開、DNS、TLSなどの利用状況を確認する必要があります。更新後はNode.jsプロセスを再起動し、コンテナでは修正を含むイメージを再配置してください。
Node.js公式のセキュリティリリース告知 ／ Node.jsの影響と対策の詳細
影響確認・更新調整の対応要請を受け付けています
FocusFirstAdvisorsは、利用環境の確認、保守担当者・サーバー会社との更新調整、適用後の確認、対応記録の整理についてご相談を受け付けています。2026年10月22日から10月30日までの特別連携期間では、VeritasChain株式会社と連携して対応します。対応範囲・時期・費用は、ご相談内容を確認したうえで個別にご案内します。
公式情報・参考資料
- PHP公式：2026年10月21日のセキュリティ勧告
- PHP公式：CVE-2026-109618（OOM）
- PHP公式：CVE-2026-109619（状態管理）
- WordPress公式：サイトヘルス画面
- Node.js公式：2026年10月のセキュリティリリース
本記事は2026年10月22日時点の情報です。作業時は公式アドバイザリとご利用の提供元の最新情報を確認してください。個別の環境に対する修正完了や侵害の有無を保証するものではありません。