2026年10月21日の夜、日本中のウェブサービスが次々と緊急メンテナンスに入りました。原因は、ウェブサイトの約7割を裏で動かすプログラム言語「PHP」そのものに見つかった2つの重大な欠陥、通称「php2shell」です。深刻度は10点満点で9.2。ログインなしで外からサーバーを乗っ取られるおそれがありました。見つけたのはAIを使った調査で、修正版が出る4日前には攻撃の試みが始まっていました。公開から4日たった今、分かってきたことと、企業・サイト運営者・一般の人がすべきことを、投資と暮らしへの影響とあわせてまとめます。
何が起きたか：PHPに2つの「緊急」の穴
見つかったのは、CVE-2026-109618とCVE-2026-109619という番号の2つの欠陥です。深刻さの点数（CVSS 4.0）はどちらも9.2で、最も危険な「緊急」の区分に入ります。1つ目は、PHPが要求を受け付ける途中でメモリーが足りなくなると、準備が半端なまま後片付けが始まってしまう欠陥。2つ目は、片付けたはずの前の要求の情報が残り、次の要求に使われてしまう欠陥です。
どちらも、細工した要求を外から送るだけで、サーバーの中で好きな命令を実行される危険がありました。サイト側のプログラムが動く前に起きるため、WordPressやプラグインを最新にしても防げません。影響はPHP 5.4（2012年）以降のほぼすべての版に及び、PHPは裏側の言語が分かるウェブサイトの約7割で使われています。
時系列：2024年の見送りから10月21日の公開まで
始まりは2024年です。PHPの初めての外部の安全診断に対応する中で、開発者が1つ目の欠陥の兆しに気づきました。しかし当時は攻撃の道筋が見つからず、直し方の案はどれも互換性を壊すなどの代償があり、少人数の全員一致の決め方もあって修正は数か月止まりました。PHP財団は後に、この遅れを「構造的な失敗」と認めています。
2026年8月11日、セキュリティ企業のCalifとOpenAIが、同じ根っこから攻撃が成り立つことをそれぞれ報告。公開は10月22日の予定でしたが、20日に番号と誤った深刻度がネットに漏れ、Califが攻撃の実演動画を誤って公開したことから、公開を1日前倒ししました。修正版のPHP 8.5.12／8.4.27／8.3.36／8.2.35が出たのは、日本時間で10月21日22時半すぎです。
AIが見つけた：Calif・OpenAI・Wizの調査
今回の欠陥を掘り当てたのは、AIを使った調査でした。Califは、OpenAIが2026年6月に始めた安全対策の取り組み「Patch the Planet」の一環として7月30日に調査を始め、8月1日に1つ目、8月21日に2つ目の欠陥を見つけました。Califが報告した8月11日には、OpenAIのセキュリティ担当チームも独立して同じ問題を報告し、クラウド安全対策のWizも8月19日に別の経路を見つけています。
研究者によると、AIは欠陥を実際に動く攻撃の手順に組み立てる作業も助け、本来はチームで何か月もかかる作業を、1人がおよそ1週間で進めたといいます。一方でCalifは、今のAIが20年前の目立たない手がかりから自力でたどり着けるわけではないとも述べています。OpenAIは公開日に、サイトのPHPの版を調べる無料の確認ツールも出しました。
公開前に始まった攻撃：Amazonとクラウドフレアの観測
本来、欠陥は直す薬と同時に公表されます。ところがAmazonの脅威情報チームは、公表の4日前の10月17日に、おとりのサーバーへの攻撃の試みを記録していました。匿名化サービスを通した接続で、どうやって事前に情報を得たのかは分かっていません。公開日には複数の攻撃者が試作の攻撃コードを使い始めました。
ネットの防御を手がけるクラウドフレアは、公開の約9時間前に防御ルールを無料プランを含む全利用者に自動で適用しました。同社によると、攻撃の試みは公開前の10時間で数千件。公開後は45分で数万件、2時間で数十万件、翌22日には数百万件に膨らみ、攻撃者ははじかれるたびに中身を変えてきたといいます。
日本中の緊急メンテナンス：200以上の組織が止めた夜
日本では21日の午後から夜にかけて、200以上の組織が予防のためにサービスやサイトを一時停止しました。ニコニコ、pixiv、ネットショップのBASE、人気のスマホゲーム、自治体や官公庁のサイトの一部まで含まれます。
保育施設向けのコドモンは、情報が広まって攻撃が成り立つおそれが出たとして、21日13時ごろから主要なサービスを止め、再開まで約13〜25時間かかりました。レンタルサーバー大手も徹夜で対応し、エックスサーバーは22日6時45分までにPHP 8.2〜8.5へ、14時までに5.6〜7.3の古い版へ修正を当てました。さくらのレンタルサーバも22日6時30分にサポートの切れた版を含む全版の更新を終えています。
被害は出たのか：4日後の最新の状況
10月23日の時点で、この欠陥による侵入の成功は確認されていません。セキュリティ企業のソフォスは「侵入に成功した証拠はない」とし、探りを入れるアクセスや、IoT機器を乗っ取る「Mirai」の仲間を送り込もうとする試みが見つかっている段階です。研究者からは、確実に動く攻撃を作るのは想定より難しいとの声も出ています。国内のレンタルサーバー各社も、攻撃を狙ったとみられるアクセスは確認したものの、不正アクセスや漏えいは確認していないとしています。
ただし安心はできません。23日には、特殊な設定の場合に限って同じような攻撃が成り立つ3つ目の欠陥CVE-2026-115560が公表され、まだ修正版はありません。また、ネットから見えるPHPのサーバー約510万件のうち、版が分かる中で少なくとも約75万8,000件は、すでに更新の止まった古い版でした（VirusTotal調べ）。
投資・経済と生活への影響
経済の面では、サービスを止めること自体のコストが見えました。予防の停止でも、ネットショップは売り逃し、施設は紙の記録に切り替えるなど、半日から1日分の業務が止まります。一方で、公開前から防御を配ったクラウドフレアのような「守りの基盤」の価値が改めて示され、AIで欠陥を探す競争が、セキュリティへの投資の重みを増していくとみられます。PHP財団は企業や政府に支援を呼びかけており、ネットの土台を少人数の善意に頼る構図も問われています。
暮らしの面では、使っているサービスが突然止まる、というのが最も身近な影響です。さらに、騒ぎに便乗して「緊急」をうたう偽のメールが届くおそれがあります。パスワードの変更を求める案内は、メールのリンクではなく、公式サイトやアプリから確かめることが大切です。
立場別：今すべきこと
立場ごとに、すべきことは次のとおりです。
- 企業・システム担当者：社内のPHPを洗い出し、修正版（8.5.12／8.4.27／8.3.36／8.2.35）に更新して、PHPのプロセスを再起動する。10月17日以降の記録で、異常に長いセッションのクッキーや、メモリー不足のエラー・HTTP 500の多発がないか確かめ、疑わしければパスワードや鍵を変える
- サイト運営者（レンタルサーバー）：サーバー会社の告知で修正済みかを確かめる。WordPressは「ツール」→「サイトヘルス」でPHPの版が分かる。8.1以前なら新しい版へ切り替える。8.2も12月31日にサポートが終わる
- 一般の人：基本的にすることはない。メンテナンス明けの案内は公式サイトで確かめ、「緊急」をうたうメールのリンクは開かない
AIで欠陥を見つける速さは、攻める側にも守る側にも働きます。直す側が追いつけるかどうかが、これからの課題です。
まとめ
PHPの2つの重大な欠陥「php2shell」は、2024年に兆しがありながら直されず、2026年8月にAIを使った調査で攻撃が成り立つと分かり、10月21日に修正版が公開されました。公表の4日前には攻撃の試みが始まり、公開後は数百万件に膨らみ、日本では200以上の組織が予防のためにサービスを止めました。23日時点で侵入の成功は確認されていませんが、3つ目の欠陥も見つかり、古い版のサーバーは約75万8,000件残っています。企業とサイト運営者は修正版への更新と記録の確認を、一般の人は偽の緊急メールへの注意を。AIが欠陥を見つける速さに、直す側がどう追いつくかが問われています。
出典・参考情報
- PHP公式セキュリティアドバイザリー（PHP 8.5.12／8.4.27／8.3.36／8.2.35、2026年10月21日）※各社報道で内容を確認
- JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日）
- Cloudflare「Cloudflare deploys protections against php2shell vulnerability」（2026年10月21日、23日更新）
- The Hacker News「Someone Tried to Exploit PHP2Shell 4 Days Before the Vulnerabilities Were Publicly Disclosed」（2026年10月）
- The Hacker News「PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches」（2026年10月23日）
- The Next Web「PHP knew about one of the flaws in 2024 but could not agree a fix」（2026年10月、PHP財団の声明）
- GIGAZINE（Calif・Wiz・OpenAIの発見の経緯、2026年10月22日／Cloudflareの攻撃件数、2026年10月23日）
- Recorded Future「PHP2Shell Exploitation: Two Critical PHP Flaws Explained」（2026年10月21日、VirusTotal・Modatの集計）
- Cybernews「Millions of PHP attacks recorded as new unpatched vulnerability discovered」（2026年10月23日）
- PC Watch「深刻度9.2のPHP脆弱性『PHP2Shell』、OpenAIが影響確認ツール公開」（2026年10月22日）
- コドモン Product Team Blog「PHP2Shellへの対応を振り返って」（2026年10月23日）
- WPセンター「PHPの重大脆弱性『PHP2Shell』レンタルサーバー各社の対応状況」（2026年10月23日更新）／Webの相談所（2026年10月23日）
