PHP2Shell：WordPressの対策と静的サイトという選択肢

執筆: Altuq CTO · 公開日: 2026-10-25

2026年10月21日に公表されたPHP本体の脆弱性「PHP2Shell」は、WordPressをはじめPHPで動くWebサイトのサーバーを、ログインなしで外部から乗っ取られるおそれがある深刻なものです。WordPressを更新しても解消されず、サーバー上のPHPを修正版に更新する必要があります。そして、更新し続ける体制を持たない企業サイトほど、サーバー側でプログラムを動かさない「静的サイト」に移行することで、この種のリスクそのものを減らせます。

PHP2Shellとは何か

PHP2Shellとは、PHP本体に見つかった2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です。深刻度は国際的な評価基準（CVSS v4.0）で9.2と、最も高い「緊急」に分類されています。IPA（情報処理推進機構）は、悪用されると「遠隔の第三者によって、任意のコード実行が実行される可能性があります」と注意喚起しています（IPA、2026年10月22日）。

PHPの開発チームは10月21日に修正版を公開しました。使っているPHPのバージョンによって、対応が異なります。

悪用の状況は日々変わっています。IPAは公表前日の事前注意喚起で「現時点でIPAが悪用した攻撃を確認しているわけではありません」としていましたが（IPA、2026年10月21日）、米Palo Alto Networksの調査チームUnit 42は10月23日、実際に悪用された事例を報告しました（Unit 42）。修正版の公開から時間が経つほど、攻撃は増えると考えるべきです。

WordPressサイトへの影響

WordPressはPHPで動いているため、PHP2Shellの影響をそのまま受けます。注意したいのは、WordPress本体やプラグインを更新しても、この脆弱性は直らないという点です。修正が必要なのは、WordPressを動かしているサーバー側のPHPです。

レンタルサーバーを使っている場合、PHPの更新は基本的にサーバー会社の作業です。多くの会社が対応を進めていますが、サイトごとにPHPのバージョンを選べるサービスでは、古いバージョンを選んだままだと修正されないことがあります。

特に深刻なのは、サポートが終了した古いPHPを使い続けているケースです。インターネット上で確認できるPHPサーバーのうち、バージョンが判別できた約150万台の59%が、公式の修正版が出ないバージョンで動いていたという調査があります（Shodanのデータに基づくCybelAngelの分析、10月20日時点）。こうしたサーバーの台数は、日本が世界で3番目に多いとされています。

WordPressに関わる重大な脆弱性は、今年に入って続いています。

• 7月：WordPress本体の脆弱性「wp2shell」。ログインなしで遠隔からコードを実行される可能性があり、IPAが緊急の注意喚起を出しました（IPA、2026年7月22日）
• 10月上旬：人気プラグインBricksforgeに、深刻度が最大の10.0の脆弱性が見つかり、攻撃も確認されました（The Hacker News）
• 10月21日：PHP本体のPHP2Shell

わずか4か月で、本体・プラグイン・PHPという、WordPressを支える3つの層すべてで重大な問題が起きたことになります。

今すぐやるべき3つのこと

1. PHPのバージョンを確認し、修正版に更新する。 レンタルサーバーの管理画面でPHPのバージョンを確認し、上の表の修正版以上になっているかを見てください。分からない場合は、サーバー会社のお知らせを確認するか、制作会社に問い合わせましょう。
2. PHP 8.1以前を使っているなら、すぐに移行計画を立てる。 公式の修正版は出ません。IPAは、修正が難しい場合はアクセス制限や、影響によってはサービスの一時停止も検討するよう求めています。
3. 侵入されていないかを確認し、パスワードを変更する。 見覚えのない管理者アカウント、ファイル、プラグインがないかを確認してください。侵入されていた場合、サーバー上のパスワードやAPIキーが盗まれている可能性があるため、念のため変更しておくと安全です。

なぜWordPressでは同じことが繰り返されるのか

WordPressは、ページが表示されるたびに、公開されたサーバー上でPHPのプログラムとデータベースが動き、HTMLを組み立てて返す仕組みです。便利な反面、インターネットからの要求を常に「プログラム」が受け付けているため、PHP、WordPress本体、テーマ、プラグインのどこかに脆弱性があれば、それが攻撃の入り口になります。

WordPressが世界のWebサイトの約4割で使われていることも、攻撃者にとっては好都合です。一度攻撃方法が見つかれば、大量のサイトを自動で狙えるからです。その結果、WordPressサイトの運営は「脆弱性が公表されるたびに、攻撃が広がる前に更新を終える」競争になります。専任の担当者がいれば対応できても、本業の傍らでWebサイトを管理している企業には大きな負担です。

静的サイト＋ヘッドレスCMSとは：なぜ安全なのか

静的サイトとは、あらかじめ作っておいたHTMLファイルをそのまま配信するWebサイトのことです。閲覧のたびにプログラムを動かさないため、PHP2Shellのような「サーバーで動くプログラムの脆弱性」が入り込む余地が、公開サイトの側にありません。

では、記事の更新はどうするのか。その答えがヘッドレスCMSです。ヘッドレスCMSとは、文章や画像を管理する編集画面と、サイトの表示を切り離したCMSのことで、代表的なサービスの一つがSanityです。編集者はSanityの画面で記事を書いて公開し、その内容から静的なHTMLが自動で作り直されて配信されます。

このサイト（corp.altuq.com）も、この構成で作っています。記事や会社情報はSanityで編集し、公開サイトはサーバー側のプログラムを一切持たない静的なHTMLとして配信しています。閲覧時に読み込むJavaScriptもゼロで、2026年10月の計測では、全ページと画像を合わせても約224KBです。さらに、検索エンジンやAIアシスタントが会社情報を正しく読み取れるよう、構造化データやAI向けのテキスト（llms.txt）もSanityの内容から自動で生成しています。安全なだけでなく、AIで情報を探す時代にも対応した「AIネイティブ」なコーポレートサイトです。

ただし、静的サイトにすればリスクがゼロになるわけではありません。編集画面（Sanity）のアカウントが乗っ取られれば内容を書き換えられるため、二段階認証などの対策は欠かせません。お問い合わせフォームなど外部サービスを使う部分や、ドメイン・配信サービスのアカウント管理にも、引き続き注意が必要です。また、編集画面をSanityという外部サービスに任せることになる点も、理解しておきましょう。

移行すべきサイト、すべきでないサイト

静的サイトは、すべてのWordPressサイトにとっての正解ではありません。向き・不向きがはっきりしています。

情報を発信することが目的のサイトは、静的サイトへの移行で得られるメリットが大きくなります。一方、右側のようなサイトは、WordPressのまま更新と防御を徹底するか、保守を任せられるマネージド型のサービスを検討するのが現実的です。

移行の進め方と、Altuqの支援

WordPressから静的サイトへの移行は、おおむね次の流れで進みます。

1. 現状の棚卸し：ページ、記事、画像、お問い合わせフォームなど、移すものを洗い出す
2. 設計：Sanityで編集する項目（記事、会社情報など）とデザインを決める
3. 移行と構築：コンテンツを移し、静的サイトとして組み立てる
4. URLの維持：既存のURLを保つか、新しいURLへの転送（301リダイレクト）を設定し、検索順位への影響を抑える
5. 公開と運用：編集方法を引き継ぎ、旧サーバーを停止する

Altuqは、このサイトの構築で得た知見をもとに、既存のコーポレートサイトを、より安全でAIネイティブなサイトへ移行するご支援を始めました。「WordPressのままで大丈夫か不安」「更新作業の負担を減らしたい」という方は、お気軽にお問い合わせください。Altuqについては会社概要をご覧ください。