php2shellとは何ですか？

Webサイトの裏側で広く使われているプログラム言語「PHP」に見つかった2件の欠陥（CVE-2026-109618・CVE-2026-109619）の通称です。php.netの2026年10月21日のお知らせによると、認証なしで外部からコードを実行される可能性があり、修正版（8.5.12・8.4.27・8.3.36・8.2.35）が公開されています。パソコンやスマホにインストールして使うものではなく、サイトを動かす側（サーバー）の話です。

サイトを運営していない自分は、何かしないといけませんか？

基本的に、利用者が自分で直す作業はありません。修正はサイトの運営者・サービス提供者が行います。IPAも、製品の中でPHPが使われている場合は利用者から見えないので、まず製品の提供元の情報を確認すればよい、という趣旨を示しています。

パスワードは変えたほうがいいですか？

今回、CISA・JPCERT/CC・IPA・さくらインターネットの確認した範囲では、利用者にパスワード変更を求める記載は見つかっていません。ただし、同じパスワードの使い回しの見直しや二段階認証の設定は、今回に限らず一般的に有効な対策です。

ネット銀行やふるさと納税サイトが止まることはありますか？

一般論として、サービス側が修正作業のために一時メンテナンスを行うことはありえます。ただし、具体的な銀行やふるさと納税サイトが停止したという事実は、この記事の時点で確認できていません。各サービスのお知らせでご確認ください。

便乗のメールやSMSには、どう気をつければいいですか？

「PHPの脆弱性対応のため、至急ログインを」などの文面でログインを急がせるメールは、一般論として警戒が必要です。メール内のリンクは開かず、ブックマークした公式サイトや公式アプリから確認してください。今回の件に絡んだ便乗フィッシングの公的な注意喚起は、この記事の時点では確認できていません。

PHPの重大な欠陥「php2shell」とは？サイトを運営していない会社員・公務員が確認すること、便乗詐欺メールへの注意【2026年10月】

💡先に結論（2026年10月23日時点）

2026年10月21日、Webサイトで広く使われるPHPに、外部から他人のサーバーを操作されるおそれがある2件の欠陥が見つかり、修正版が公開された（通称php2shell）
公式の深刻度（CVSS v4.0）は9.2。公式は「すぐ更新を」と呼びかけている
直すのはサイトを運営する側。サイトを運営していない会社員・公務員が、自分で直す作業は基本的にない
銀行・ショッピング・ふるさと納税などのサイトが一時メンテナンスをする可能性はあるが、具体的なサービスの停止は、確認できたものがありません
パスワード変更を公式が勧めている、という根拠は確認できていません。使い回しの見直しなどは「一般的な対策」として
便乗の詐欺メール・SMSは一般論として警戒を。リンクは開かず、公式アプリやブックマークから確認する

「PHPに重大な脆弱性」「php2shell」という言葉がニュースやSNSに流れてきて、「自分のネット銀行は大丈夫？」「何か操作が必要？」と不安になった方もいると思います。

この記事では、サイトを運営していない会社員・公務員の目線で、公式機関が出している情報を中心に、分かっていること・報道にとどまること・確認できていないことを分けて整理します。

31歳・地方公務員のヒロです。
ぼくはIT専門家ではないので、専門的な技術の話には踏み込みません。
公式発表で確認できたことだけを断定し、それ以外は出典を添えるか「確認できていません」と書きます。

💡この記事で分かること

php2shellが何の話なのか（専門用語をほどいて）
公式機関で確認できたことと、報道にとどまること
サイトを運営していない人が自分でやること／やらなくていいこと
ネット銀行・ショッピング・ふるさと納税サイトへの影響の考え方
便乗詐欺メールへの一般的な注意
確認できていないこと

1. php2shellとは？平易に言うと

**PHP（ピーエイチピー）**は、Webサイトの裏側で動くプログラムの言語です。ネットショップ、会員サイト、ブログなど、世の中の非常に多くのサイトで使われています。

今回見つかったのは、PHPの中の2件の欠陥です。php.netの2026年10月21日の案内によると、次のとおりです。

識別番号	内容（平易に）
CVE-2026-109618	メモリが足りなくなったときの処理中に、データが壊れた状態で残ってしまう
CVE-2026-109619	前の訪問者の古い状態が、次の訪問者の処理で使われてしまう

この欠陥を突かれると、認証なしで、外部から他人のサーバーにプログラムを実行される可能性があるとされています。かんたんに言えば、「外から他人のサーバーを勝手に操作できてしまうおそれ」です。

公式は、Webからのリクエストを処理するPHPが広く対象で、完全な回避策はなく、更新（修正版への入れ替え）だけが安全としています。

📝パソコンやスマホには入っていません

これはサイトを動かすサーバー側の話で、みなさんのパソコンやスマホのアプリを直す話ではありません。「自分の端末を更新しなきゃ」と焦る必要はありません。

2. 公式機関で確認できたこと

2026年10月23日時点で、公式の情報として確認できたのは次のとおりです。

発表元	確認できた内容
php.net（10/21）	修正版 8.5.12／8.4.27／8.3.36／8.2.35 を公開。「すべての利用者は直ちに更新を」と強く呼びかけ。深刻度は CVSS v4.0 で 9.2
CISA（米国・10/21）	利用しているPHPの棚卸しと即時更新を呼びかけ。更新できない場合や8.1以前は、該当システムをオフラインに。悪用は「公表時点では未観測」
JPCERT/CC（10/22）	更新に加え、すでに侵害されていないかの調査も求める
IPA（10/21・10/22）	更新が難しい場合は、外部からのアクセス遮断やサービスの一時停止を検討するよう案内。製品内のPHPは利用者から見えないため、まず製品開発元の情報を確認すればよい、という趣旨
さくらインターネット（10/22）	提供するPHPに修正を適用済み。10/22 14時時点で被害報告なし。利用者側の緊急対応は不要
ロリポップ	10/21に予防メンテナンス、10/22に完了を報告

ここで大事なのは、公式機関の呼びかけの相手は、サイトやサーバーを管理している事業者・担当者だということです。サイトを運営していない一般の利用者に、特別な操作を求める記載は、確認した範囲ではありませんでした。

📝深刻度の数字について

公式（php.net）の深刻度は CVSS v4.0 で 9.2 です。ほかに、流出時の10.0（PHP側が誤りと表明）、NVDの9.8、Red Hatの8.1といった数字も出回っていますが、評価の版や基準が違うためのものです。この記事では公式の9.2を使います。

3. 報道・民間企業の情報（二次情報）

次は、公式機関ではなく民間企業や報道による情報です。ここでは出典を示し、断定はしません。

悪用の有無：CISAは「公表時点で未観測」としていますが、民間では、Amazonが10月17日におとりサーバーで攻撃の試みを観測、watchTowrが10月21日に両方の欠陥の悪用を観測した、と報告しています。公的機関と民間で見方が分かれているため、「攻撃の試みが報告されている」程度に受け止めるのが妥当です。
影響範囲：公式は修正版と「8.1以前はサポート外」を示すのみ。Wiz・Tenableは「PHP 5.4以降」が影響を受けうるとしており、公式の記載とは食い違いがあります。
主要なWebソフトへの影響：Tenableの解説によると、研究者のCalifが、WordPress・Drupal・Joomla・Magentoの特定バージョンで、ログイン前に攻撃が成立することを確認したとされます（ただしWordPress.orgの公式告知は確認できていません）。
エックスサーバー：piyologによると、修正適用済みで、公式サイトと管理画面を予防的に停止した、とされます（公式ページは確認できていません）。
首相の発言：日本経済新聞（10/21）は、首相がXで「可及的速やかに適用できるよう準備を」と投稿したと報じています（内閣サイバーセキュリティセンターの発表は確認できていません）。
AIの関与：「AIが単独で見つけた」ではなく、Wizの記載では、研究者がAIを使って発見し、OpenAIが調整・検証に協力したとされます（OpenAI側の原文は確認できていません）。

数字としては、VirusTotalが「約510万のIPアドレスでPHPが動いている」と示していますが、これは脆弱だと確認された数ではありません。

4. サイトを運営していない人が、自分でやること

結論から言うと、自分でやる必須の作業は、基本的にありません。

💡やらなくていいこと／念のためやっておくと安心なこと

やらなくていいこと

パソコン・スマホ・アプリの慌てた更新や入れ替え
銀行・カード・証券口座の解約や資金移動
ニュースを見ただけでのパスワードの一斉変更（公式がそう求めている根拠は確認できていません）

念のため（一般的な対策として）

利用中のサービスから公式のお知らせが来ていないか、アプリやサイトで見る
同じパスワードを複数のサービスで使い回していないかを見直す
二段階認証（ログイン時の追加確認）が設定できるサービスは設定する
銀行・カード・証券などの利用明細を、いつもよりこまめに見る

パスワードの見直しについては、今回の件で公式が求めているわけではなく、普段からの一般的な備えという位置づけです。

5. お金と暮らしへの影響の考え方

一時メンテナンスが起きうる理由

IPAは、更新が難しい場合の対応として、外部アクセスの遮断やサービスの一時停止を判断するよう案内しています。実際にロリポップは予防メンテナンスを行い、完了を報告しています。

こうした流れから、一般論としては、PHPを使っているサービスが、修正作業のために一時メンテナンスをする可能性があります。

ただし、ここで書けるのはあくまで一般論です。特定のネット銀行・ショッピングサイト・ふるさと納税サイトが停止した、という事実は、この記事の時点で確認できていません。「PHPを使っているかどうか」も、利用者からは分かりません。

お金まわりで気をつけたいこと

振込・支払いの期限が近いときは、メンテナンスで止まる可能性を頭に置いて、早めに済ませる。
ふるさと納税のように期限のある手続きは、年末に集中するとサイトが混みます。余裕をもった進め方は『ふるさと納税の年末駆け込み7チェック』にまとめています。
12月のボーナスの使いみちを考える時期でもあります。口座に入ったお金の置き場は『公務員の冬のボーナス2026』も参考にしてください。

もしどこかのサービスが止まっても、公式のお知らせを見て待つのが基本です。サイトが閉じたからといって、お金が消えたことを意味するわけではありません。

6. 便乗詐欺メール・SMSへの注意

大きなニュースが出ると、それに乗じた詐欺が増えるのは、一般的によくあることです。

⚠️今回の件に絡んだ便乗詐欺の公的な注意喚起は、確認できていません

以下は、今回に限らない一般的な注意です。「php2shell関連の詐欺が出回っている」と言っているわけではありません。

たとえば、次のような文面には警戒してください。

「PHPの脆弱性対応のため、至急ログインして確認を」
「お客様の情報が漏えいした可能性があります。こちらから手続きを」
「アカウントを停止します。本日中にパスワードの再設定を」

💡一般的な対処の基本

メール・SMS内のリンクは開かない
確認が必要なときは、ブックマークした公式サイトや公式アプリから入る
電話番号や連絡先は、カードの裏面や公式サイトに載っているものを使う
不安なときは、金融機関やサービスの公式窓口に聞く
家族、とくに高齢の親にも「急かすメールは疑う」と伝えておく

「至急」「アカウント停止」といった焦らせる言葉は、詐欺の定番です。落ち着いて、いったんメールから離れるのが一番の対策です。

7. 確認できていないこと

⚠️確認できていません（推測はしていません）

特定のネット銀行・ショッピングサイト・ふるさと納税サイトが停止・メンテナンスをしたかどうか
今回の件で、利用者にパスワード変更を求める公式の案内（CISA・JPCERT/CC・IPA・さくらインターネットの確認範囲では見当たりません）
便乗フィッシングに関する公的な注意喚起
OpenAIの公式記事の原文、エックスサーバーの公式ニュース、内閣サイバーセキュリティセンターの公式発表、WordPress.orgの公式告知、ConoHaの告知
すでに被害が出ているかどうかの確かな全体像（公的機関は「未観測」、民間は「観測」と見方が分かれています）
CVSSなど深刻度の数字の違いの詳しい理由

状況は日々変わります。最新の情報は、必ず下の公式の情報源でご確認ください。

8. まとめ

✨この記事のまとめ（2026年10月23日時点）

2026年10月21日、PHPの2件の欠陥（CVE-2026-109618・CVE-2026-109619、通称php2shell）の修正版が公開された。公式の深刻度はCVSS v4.0で9.2
直すのはサイトの運営者・サービス提供者。サイトを運営していない会社員・公務員が、自分で直す作業は基本的にない
パスワード変更を公式が勧める根拠は確認できていない。使い回しの見直しや二段階認証は一般的な備え
一時メンテナンスが起きる可能性はあるが、特定のサービスの停止は確認できていない。期限のある手続きは余裕をもって
便乗詐欺は一般論として警戒。リンクは開かず、公式アプリ・ブックマークから確認する

こういうニュースは大きく見えますが、利用者が慌てて何かを変える話ではありません。
落ち着いて、公式のお知らせを確認する。急かすメールには近づかない。
それだけ押さえておけば十分だと思います。

⚠️本記事のご利用にあたって（免責）

本記事は2026年10月23日時点で公開されている公式機関の発表および報道をもとに、一般的な情報として整理したものです。セキュリティに関する状況は急速に変わり、本記事の内容が最新でなくなる可能性があります。また、ご利用中のサービスが今回の件の影響を受けているか、どのような対応が必要かは、サービスごと・ご契約ごとに異なります。報道・民間企業によるものは本文中に出典を示しており、公式に確認できていない部分は「確認できていません」と記載しています。サイトの運営やシステム管理をされている方は、必ず本記事ではなく、php.net・CISA・JPCERT/CC・IPAなどの一次情報をご確認ください。パスワード等に関する記載は一般的な情報であり、個別の被害を防ぐことを保証するものではありません。不安な場合は、ご利用のサービスの公式窓口にご相談ください。

参考（一次情報・2026年10月23日閲覧）