--- title: PHP2Shellの対策方法｜企業が確認すべき5つのポイント description: PHP2Shellへの対策は何から始めるべき？PHPのバージョン確認、修正プログラムの適用、不審なアクセスの調査など、企業が実施すべき5つのポイントを解説。 --- [メインコンテンツへスキップ](https://go.ppln.co/ja/blog/php2shell-countermeasures#main) [緊急インシデント対応緊急対応](https://ppln.co.jp/incident-response/#intake) [お問い合わせ](https://ppln.co.jp/contact/) 日本語[English](https://ppln.co.jp/en/blog/) メニュー - RiskSensor 継続的サイバー保証 - [RiskSensor外部リスク・SCS対応・脅威インテリジェンスをひとつに](https://ppln.co.jp/risksensor/) - [ERI｜外部リスクの継続確認](https://ppln.co.jp/risksensor/#eri) - [SCS｜SCS評価制度対応](https://ppln.co.jp/risksensor/scs/) インテリジェンス - [Vision Intelligence Data既存の防御へ組み込む脅威インテリジェンス](https://ppln.co.jp/risksensor/#vid) - [EVI｜早期脆弱性インテリジェンスロードマップ](https://ppln.co.jp/risksensor/#evi) - インシデント対応 調査 - [インシデント対応・調査確認できた事実と次の対応を、根拠とともに](https://ppln.co.jp/incident-response/) - [ログ分析による初期調査](https://ppln.co.jp/incident-response/#log) - [ダークウェブ調査](https://ppln.co.jp/incident-response/#darkweb) - [詳細調査](https://ppln.co.jp/incident-response/#detailed) 備え・監視 - [ご契約形態（年間契約・チケット制）営業時間内4時間以内の初動対応](https://ppln.co.jp/incident-response/#plans) - [脅威監視サービス（ThreatIDR）C2通信・マルウェア活動を24時間365日監視](https://ppln.co.jp/incident-response/#monitoring) - [DatalaiQ調査を支えるログ分析基盤](https://ppln.co.jp/datalaiq/) - 資料・情報 資料・情報 - [資料ダウンロード会社案内2026](https://ppln.co.jp/resources/) - [簡易リスク診断](https://ppln.co.jp/assessment/) - [インサイト（ブログ）](https://go.ppln.co/ja/blog) - 会社情報 PIPELINEについて - [会社概要](https://ppln.co.jp/company/) - [受賞歴](https://ppln.co.jp/company/#awards) - [パートナー](https://ppln.co.jp/company/#partners) - [インテリジェンスパートナーCensys・Spamhaus・Team Cymru・SURBL 正規販売代理店](https://ppln.co.jp/partners/intelligence/) - [お問い合わせ](https://ppln.co.jp/contact/) [資料ダウンロード](https://ppln.co.jp/resources/)[簡易リスク診断](https://ppln.co.jp/assessment/) [← サイバーリスクと継続的サイバー保証の実務情報](https://go.ppln.co/ja/blog) # PHP2Shellの対策方法｜企業が確認すべき5つのポイント 2026年10月26日 2026年10月21日、WebサイトやWebサービスで広く利用されているプログラミング言語「PHP」に、2件の重大な脆弱性が公表されました 。 これらは「PHP2Shell」と呼ばれ、悪用された場合、攻撃者が外部からサーバー上で不正なプログラムを実行できる可能性があります。 前回の記事では、今回の脆弱性をきっかけに、企業が自社の外部公開資産を把握しておくことの重要性について解説しました。 では、実際に自社のWebサイトでPHPを使用している場合、何から対応すればよいのでしょうか。 今回は、企業のWebサイト担当者やシステム管理者が確認すべき5つのポイントを解説します。   - [•■ 自社のWebサイトでPHPが使われているか確認する](https://go.ppln.co/ja/blog/php2shell-countermeasures#webphp-xhua4143) - [•■ PHPのバージョンと脆弱性の影響を確認する](https://go.ppln.co/ja/blog/php2shell-countermeasures#php-gn80a143) - [•■ 修正プログラムの適用を優先する](https://go.ppln.co/ja/blog/php2shell-countermeasures#section-58rid144) - [•■ 不審なアクセスや異常が発生していないか確認する](https://go.ppln.co/ja/blog/php2shell-countermeasures#section-2n159144) - [•■ 緊急対応だけで終わらせず、継続的な管理につなげる](https://go.ppln.co/ja/blog/php2shell-countermeasures#section-npqfy144) - [•■ 「対応できる状態」を日頃から整えておく](https://go.ppln.co/ja/blog/php2shell-countermeasures#section-ff68f144) ## **■ 自社のWebサイトでPHPが使われているか確認する** 最初に確認したいのは、自社で管理・運用しているWebサイトやWebサービスでPHPが使用されているかどうかです。 PHPは、企業サイトだけでなく、お問い合わせフォーム、会員サイト、予約システムなど、さまざまなWebサービスの裏側で利用されています。 WordPressなどのCMSでもPHPが使用されています。 また、Webサイトの制作や保守を外部の事業者に委託している場合、社内の担当者が使用技術を把握していないこともあります。 そのため、まずは次の内容を確認しましょう。 1. 自社のWebサイトやサービスでPHPを使用しているか 2. どのサーバーやシステムで利用しているか 3. 管理・保守の担当者は誰か 4. 外部委託先が管理しているシステムはないか 自社だけで判断できない場合は、Web制作会社やサーバー管理会社に確認することが重要です。 ## **■ PHPのバージョンと脆弱性の影響を確認する** PHPを使用していることが分かったら、次に利用中のバージョンを確認します。 IPAは、今回の脆弱性への対策として、以下の修正バージョンを案内しています。 | PHPの系列 | 修正バージョン | | --- | --- | | PHP 8.2 | 8.2.35 | | PHP 8.3 | 8.3.36 | | PHP 8.4 | 8.4.27 | | PHP 8.5 | 8.5.12 | これらより古い同系列のバージョンを利用している場合は、更新が必要です。 また、PHP 8.1以前は公式サポートが終了しています。 古いPHPを利用している場合、今回の脆弱性だけでなく、今後発見される問題への対応も難しくなる可能性があります。 ただし、PHPの更新によってWebサイトの機能やプラグインに影響が出る場合もあるため、利用環境に応じて動作確認を行うことが大切です。 ## **■ 修正プログラムの適用を優先する** 影響を受けるシステムが確認できた場合は、修正プログラムの適用を優先します。 今回のPHP2Shellでは、脆弱性を悪用されることで、外部から任意のコードを実行される可能性が指摘されています。 このような問題は、Webサイトの表示が正常であっても、セキュリティ上のリスクが存在している場合があります。 更新にあたっては、次のような流れで進めるとよいでしょう。 1. 対象システムとPHPのバージョンを確認する 2. 必要なデータや設定のバックアップを取得する 3. 修正プログラムを適用する 4. Webサイトや主要機能の動作を確認する 5. 対応内容と実施日を記録する すぐに更新できない場合も、何もせずに放置することは避けなければなりません。 アクセス制限などの暫定対策を検討し、必要に応じて外部公開の一時停止も含めて判断することが重要です。 ## **■ 不審なアクセスや異常が発生していないか確認する** 修正プログラムを適用することと、すでに不正なアクセスを受けていないか確認することは、別の対応です。 そのため、対象システムではアクセスログやサーバーの状態も確認することが望まれます。 例えば、次のような点が確認対象になります。 - 通常とは異なる大量のアクセスが発生していないか - 不審なリクエストやエラーが増加していないか - 覚えのないファイルや設定変更がないか - サーバー上で不審なプロセスが実行されていないか ただし、これらの兆候が見られないからといって、侵害されていないと断定できるわけではありません。 異常が疑われる場合は、ログや証拠を保全したうえで、セキュリティ担当者や専門事業者に相談することが重要です。 ## **■ 緊急対応だけで終わらせず、継続的な管理につなげる** 今回のPHP2Shellで考えたいのは、修正プログラムを適用して対応を終えるだけで十分なのか、という点です。 Webサイトやクラウドサービスは、日々更新され、利用する技術や構成も変化しています。 新しいWebサイトの公開、サブドメインの追加、外部サービスの導入などによって、企業の外部公開環境は少しずつ変わっていきます。 そのため、緊急時だけ確認するのではなく、普段から次のような管理を行うことが重要です。 - 外部公開しているWebサイトやサービスを把握する - 使用しているソフトウェアやバージョンを管理する - 脆弱性情報を定期的に確認する - 更新や保守の責任者を明確にする - 新たに公開されたシステムを継続的に確認する こうした取り組みによって、重大な脆弱性が公表された際にも、影響範囲を判断しやすくなります。 ## **■ 「対応できる状態」を日頃から整えておく** 今回のPHP2Shellは、企業にとってWebサイトのセキュリティ管理を見直すきっかけの一つです。 脆弱性への対応では、情報を早く知ることも重要ですが、それだけでは十分ではありません。 自社のどのシステムが影響を受けるのか。 誰が対応するのか。 どのような優先順位で修正するのか。 これらを判断できる体制が求められます。 私たちPIPELINEでは、外部公開資産やセキュリティリスクの継続的な可視化を通じて、企業が自社の状況を把握するための支援を行っています。 RiskSensorを活用した外部公開資産の可視化も、その取り組みの一つです。 ただし、外部から確認できる情報だけですべてのソフトウェア構成や侵害状況を判断できるわけではありません。社内の資産管理情報や運用担当者による確認と組み合わせることが重要です。 重大な脆弱性が公表されてから慌てて調査を始めるのではなく、日頃から自社の環境を把握し、必要な対応につなげられる状態を整えておくこと。 それが、企業の Webサイトと事業を守るための重要な一歩になります。 ![PHP2Shell](https://go.ppln.co/hubfs/Imported_Blog_Media/baa342_003894f8d1a3439f99f15900f83e410d~mv2-1.png) ## 新着記事 - ![](https://go.ppln.co/hs-fs/hubfs/Imported_Blog_Media/e3cb85_d4ea4c6446f741a8b7c2c883dc8d409e~mv2.png?width=720&height=405&name=e3cb85_d4ea4c6446f741a8b7c2c883dc8d409e~mv2.png) 2026年11月5日 ### [外部資産 調査：外部公開資産の確認方法と重要性](https://go.ppln.co/ja/blog/external-asset-discovery?hsLang=ja) - 2026年10月26日 ### [【登壇のお知らせ】PIPELINE代表・渡辺アランが「TECH+ セミナー セキュリティ 2026 Nov.」に登壇](https://go.ppln.co/ja/blog/tech-plus-seminar-2026-nov?hsLang=ja) - 2026年10月25日 ### [PHP2Shellで話題のPHPとは？仕組みと脆弱性リスクを解説](https://go.ppln.co/ja/blog/php2shell-php-security?hsLang=ja) RiskSensor 取引先のセキュリティを、自己申告ではなくエビデンスで。 [簡易リスク診断](https://ppln.co.jp/assessment/) [お問い合わせ](https://ppln.co.jp/contact/) 継続的サイバー保証 [TEL 050-3311-7772](tel:+815033117772)（平日9:00〜18:00） [hello@ppln.co](mailto:hello@ppln.co) 継続的サイバー保証 - [RiskSensor](https://ppln.co.jp/risksensor/) - [ERI｜外部リスクの継続確認](https://ppln.co.jp/risksensor/#eri) - [SCS｜SCS評価制度対応](https://ppln.co.jp/risksensor/scs/) インテリジェンス - [Vision Intelligence Data](https://ppln.co.jp/risksensor/#vid) - [EVI｜早期脆弱性インテリジェンス](https://ppln.co.jp/risksensor/#evi) 調査 - [インシデント対応・調査](https://ppln.co.jp/incident-response/) - [ログ分析による初期調査](https://ppln.co.jp/incident-response/#log) - [ダークウェブ調査](https://ppln.co.jp/incident-response/#darkweb) - [詳細調査](https://ppln.co.jp/incident-response/#detailed) 備え・監視 - [ご契約形態（年間契約・チケット制）](https://ppln.co.jp/incident-response/#plans) - [脅威監視サービス（ThreatIDR）](https://ppln.co.jp/incident-response/#monitoring) - [DatalaiQ](https://ppln.co.jp/datalaiq/) 資料・情報 - [資料ダウンロード](https://ppln.co.jp/resources/) - [簡易リスク診断](https://ppln.co.jp/assessment/) - [インサイト（ブログ）](https://go.ppln.co/ja/blog) PIPELINEについて - [会社概要](https://ppln.co.jp/company/) - [受賞歴](https://ppln.co.jp/company/#awards) - [パートナー](https://ppln.co.jp/company/#partners) - [インテリジェンスパートナー](https://ppln.co.jp/partners/intelligence/) - [お問い合わせ](https://ppln.co.jp/contact/) - [プライバシーポリシー](https://ppln.co.jp/privacy/) - [情報セキュリティ基本方針](https://ppln.co.jp/security-policy/) - [サイトのご利用について](https://ppln.co.jp/site-policy/) - [反社会的勢力に対する基本方針](https://ppln.co.jp/antisocial-forces/) - [脆弱性情報の受付](https://ppln.co.jp/vulnerability-disclosure/) © 2026 Pipeline. All rights reserved. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Pipeline Cyber Intelligence Team", "url" : "https://go.ppln.co/ja/blog/author/pipeline-cyber-intelligence-team" }, "dateModified" : "2026-11-05T03:46:52.430Z", "datePublished" : "2026-10-26T15:00:00.000Z", "headline" : "PHP2Shellの対策方法｜企業が確認すべき5つのポイント", "mainEntityOfPage" : { "@id" : "https://go.ppln.co/ja/blog/php2shell-countermeasures", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://go.ppln.co/hubfs/logo_pipeline.png" }, "name" : "Pipeline株式会社" } } ```