2026年10月、世界中に激震が走りました。Webサイトの約7割で使用されている基幹プログラミング言語「PHP」に、きわめて深刻な脆弱性（通称：php2shell）が発覚したのです。認証なしで遠隔から任意のコードが実行される恐れがあり、国内外の政府機関が注意喚起を行うだけでなく、被害が出る前に自社サービスを一時停止する企業が相次ぐなど緊急事態に発展しています。高市首相が自身のXアカウントで「今夜に対応して頂きたい大至急のお願い」と呼びかける異例の事態からも、その緊急度が見てとれます。

　本記事では、今回の概要から世界的な影響、そして講じるべき対応策までを網羅して解説します。

世界のWebインフラを支える基盤

　今回の問題の深刻さを理解するためには、PHPがインターネット上でどのような役割を果たしているのかを知る必要があります。

　まず、動的なWebページを作り出すためのプログラミング言語であり、世界のWebサイトの約7割で採用されています。WordPressをはじめ、数多くのCMS、ECサイト、さらには企業の基幹システムに至るまで、現代のWeb社会の裏側を支える基盤であり、この言語自体に致命的な欠陥が見つかった場合、その影響は特定のシステムに留まらず、インターネット全体の広範囲なサービスへと一瞬で波及してしまいます。

「php2shell」の正体と危険度

　公表された今回の脆弱性（CVE-2026-109618およびCVE-2026-109619、通称：php2shell）は、リモートコード実行（RCE）を許してしまうという危険な性質を持っています。4段階中最高の「Critical」を記録しました。

　技術的には、メモリ管理における不備、具体的にはOOMハンドリングや解放済みメモリの意図しない再利用などの脆弱性が存在します。これにより、悪意ある第三者が認証なしに遠隔からシステムを操作し、任意のコードを実行してサーバーを乗っ取るリスクが生じています。実際に被害が表面化する前に、多くのプラットフォーマーや企業が「予防的」にサービス停止や緊急メンテナンスを余儀なくされたのは、予想される被害の大きさが原因です。

世界を揺るがす甚大な影響

　この緊急事態を受け、国際的なセキュリティ機関や主要な関係各所は対応に動いています。欧州のCERT-EUや米国のNSAをはじめとする政府系機関が相次いで警戒を呼びかけ、主要なクラウドベンダーやホスティング事業者もプラットフォーム全体の安全性を確保するために緊急のメンテナンスを実施しました。

　日本国内においても、関係機関による注意喚起が発令されるとともに、多くの企業が自社サービスの安全確認や一時停止の措置を取りました。攻撃が実際に広がる前に各社が防衛体制に入ったことは賢明な判断でしたが、一歩対応を誤れば企業の情報漏洩や事業停止に直結する問題になり得るため、予断を許さない状況が続いています。

今すぐ講じるべき対応策

　優先すべきは、公式から提供されている修正プログラムの迅速な適用です。安全な最新バージョン（PHP 8.5.12、8.4.27、8.3.36、8.2.35）へ速やかにアップデートを行ってください。

　さらに注意が必要なのは、すでに公式サポートが終了している古いバージョン（EOLバージョン、例えばPHP 8.1以前など）を稼働させている環境です。これらは今回のパッチが提供されないため、そのままではリスクに晒され続けます。そのため、早急なバージョン移行計画の策定と実施が不可欠となります。

　直ちにアップデートや移行作業ができない場合の暫定的な防衛策としては、クラウドセキュリティやWAFを活用したルールの有効化により、不正なアクセスの流入をブロックすることで被害を抑えつつ時間を稼ぎ、その間にバージョンアップを計画することです。

終わりに

　私たちが日常的に使用しているサービスの基盤がいかに大きなリスクと隣り合わせであるかを改めて突きつけました。セキュリティ対策は、「実際に攻撃を受けてから慌てて動くこと」ではなく、「致命的なリスクが発覚した瞬間に、経営陣と技術部門が連携して迅速かつ正確な判断を下すこと」にあります。

　今回の教訓をバネに、バージョン管理体制や脆弱性情報のキャッチアップ体制を見直し、安全で強固な基盤の運用を徹底していきましょう。