監修・執筆: エンジニアーチLab. セキュリティ技術統括室（マモル、テック、リサ、ショウ、アキ）
公開日: 2026年10月22日
対象読者: 中小企業の経営者、役員、情シス担当者、社内Web担当者、Web制作・運用保守エンジニア
情報収集元: ITmedia NEWS、Wiz Research、Calif Security、Imperva Threat Research、The PHP Group（php.net 公式セキュリティアドバイザリ）
2026年10月21日から22日にかけて、世界中で最も普及しているWebプログラミング言語「PHP」のコア（基本構造）に、未曾有の重大な脆弱性（通称：php2shell）が公表されました。
| 項目 | 詳細内容 |
|---|---|
| 脆弱性識別番号 | CVE-2026-109618 / CVE-2026-109619（通称：php2shell） |
| 深刻度（CVSS v4.0） | 9.2 / 10.0（Critical / 緊急） |
| 影響を受けるバージョン | PHP 5.4 から PHP 8.5.11 までの全バージョン（過去12年以上の全系統） |
| 攻撃の性質 | 遠隔からの認証不要コード実行（RCE: Remote Code Execution） |
| 特別なログイン情報や事前権限は一切不要。悪意あるHTTPリクエストを1回送信するだけで、サーバーを外部から完全に乗っ取り可能。 | |
| 修正バージョン | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| ※公式サポートが終了（EOL）しているPHP 7.4, 8.0, 8.1に対しても異例のセキュリティ修正ソースが公開。 | |
| 社会的影響 | 日本国内では、コドモン、BASE、Cygames、さくらインターネット、GMOペパボ等の大手サービスが緊急メンテナンスや注意喚起を実施。高市早苗内閣総理大臣が公式に国民・企業へ注意喚起を発出する異例の事態に発展。 |
世界のWebサイトの約7割以上がPHP上で動作しており（WordPressを含む）、攻撃者は現在、インターネット全域に対して自動化された脆弱性スキャンツールを稼働させています。
中小企業といえども「無差別に狙われる」状態にあり、今日・明日の初動対応が生死を分けます。
サイバー攻撃者は、企業の知名度や資本金を見て手作業で攻撃しているのではありません。
「インターネット上に公開されており、脆弱なPHPが動いているサーバー」をプログラム（ボット）で24時間365日、全自動で機械的に探し出しています。
大企業は24時間体制のセキュリティ監視センター（SOC）により数時間以内にパッチを適用するかWAFで防御しますが、中小企業は対応が遅れがちです。攻撃者にとって、**中小企業のサーバーは「最も簡単に侵入でき、他社を攻撃するための『踏み台』や『ランサムウェアの身代金回収源』にできる絶好の標的」**となります。