--- title: PHP2Shellとは？外部公開資産の把握から考える初動対応 description: 2026年10月に公表されたPHPの重大な脆弱性「PHP2Shell」の概要と修正版、日本国内での呼びかけを整理し、影響を受けるシステムをすぐに特定できる体制を平時から整えるためのポイントを、企業の担当者向けに解説します。 --- [メインコンテンツへスキップ](https://go.ppln.co/ja/blog/what-is-php2shell#main) [緊急インシデント対応緊急対応](https://ppln.co.jp/incident-response/#intake) [お問い合わせ](https://ppln.co.jp/contact/) 日本語[English](https://ppln.co.jp/en/blog/) メニュー - RiskSensor 継続的サイバー保証 - [RiskSensor外部リスク・SCS対応・脅威インテリジェンスをひとつに](https://ppln.co.jp/risksensor/) - [ERI｜外部リスクの継続確認](https://ppln.co.jp/risksensor/#eri) - [SCS｜SCS評価制度対応](https://ppln.co.jp/risksensor/scs/) インテリジェンス - [Vision Intelligence Data既存の防御へ組み込む脅威インテリジェンス](https://ppln.co.jp/risksensor/#vid) - [EVI｜早期脆弱性インテリジェンスロードマップ](https://ppln.co.jp/risksensor/#evi) - インシデント対応 調査 - [インシデント対応・調査確認できた事実と次の対応を、根拠とともに](https://ppln.co.jp/incident-response/) - [ログ分析による初期調査](https://ppln.co.jp/incident-response/#log) - [ダークウェブ調査](https://ppln.co.jp/incident-response/#darkweb) - [詳細調査](https://ppln.co.jp/incident-response/#detailed) 備え・監視 - [ご契約形態（年間契約・チケット制）営業時間内4時間以内の初動対応](https://ppln.co.jp/incident-response/#plans) - [脅威監視サービス（ThreatIDR）C2通信・マルウェア活動を24時間365日監視](https://ppln.co.jp/incident-response/#monitoring) - [DatalaiQ調査を支えるログ分析基盤](https://ppln.co.jp/datalaiq/) - 資料・情報 資料・情報 - [資料ダウンロード会社案内2026](https://ppln.co.jp/resources/) - [簡易リスク診断](https://ppln.co.jp/assessment/) - [インサイト（ブログ）](https://go.ppln.co/ja/blog) - 会社情報 PIPELINEについて - [会社概要](https://ppln.co.jp/company/) - [受賞歴](https://ppln.co.jp/company/#awards) - [パートナー](https://ppln.co.jp/company/#partners) - [インテリジェンスパートナーCensys・Spamhaus・Team Cymru・SURBL 正規販売代理店](https://ppln.co.jp/partners/intelligence/) - [お問い合わせ](https://ppln.co.jp/contact/) [資料ダウンロード](https://ppln.co.jp/resources/)[簡易リスク診断](https://ppln.co.jp/assessment/) [← サイバーリスクと継続的サイバー保証の実務情報](https://go.ppln.co/ja/blog) # PHP2Shellとは？外部公開資産の把握から考える初動対応 2026年10月21日 [脆弱性・攻撃対象領域管理](https://go.ppln.co/ja/blog/tag/脆弱性-攻撃対象領域管理) 2026年10月21日、多くのWebサイトで利用されているPHPに、2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）の修正版が公開されました。「PHP2Shell」とも呼ばれるこれらの脆弱性は、認証なしでリモートからコードを実行される可能性があるもので、日本でも政府やIPAが速やかな対応を呼びかけました。本記事では概要を整理し、影響を受けるシステムをすぐに特定できる体制づくりについて考えます。 ## 要点 - PHPの修正版（8.5.12、8.4.27、8.3.36、8.2.35）への更新が基本の対策です。 - 米国CISAは2件を悪用が確認された脆弱性のカタログ（KEV）に追加しています。 - 「自社のどこでPHPが使われているか」をすぐに答えられるかどうかが、対応の速さを左右します。 ## 何が起きたか PHPの開発プロジェクトは2026年10月21日、2件の重大な脆弱性に対応した修正版を公開しました。いずれも、認証されていない攻撃者によるリモートコード実行につながる可能性があるとされています。 | PHPの系列 | 修正版 | | --- | --- | | PHP 8.5 | 8.5.12 | | PHP 8.4 | 8.4.27 | | PHP 8.3 | 8.3.36 | | PHP 8.2 | 8.2.35 | PHP 8.1以前は公式サポートが終了しているため、利用しているディストリビューションやベンダーの修正状況を確認するか、サポート対象のバージョンへ移行する必要があります。 日本では、高市首相が10月21日夜、公開しているWebサイトでPHPを使用しているかを確認し、修正プログラムを速やかに適用するよう呼びかけたと報じられています。IPAも注意喚起を公表し、更新を続けています。米国CISAは10月26日、2件を既知の悪用された脆弱性（KEV）カタログに追加しました。 ## なぜ重要か 重大な脆弱性が公表されたとき、最初に必要なのは修正版を適用することだけではありません。その前に、自社のどのシステムがインターネットに公開され、どこでPHPが使われ、誰が管理しているのかを短時間で把握する必要があります。 公表されてから資産を探し始めるのでは、対応に使える時間はほとんど残りません。委託先が管理するWebサイトやホスティング環境も含めて確認する必要があります。 ## 確認すべきこと 1. インターネットに公開しているWebサイトやサービスで、PHPが使われているかを確認します。 2. 利用中のPHPのバージョンを確認し、修正版への更新を優先します。 3. Web制作会社、ホスティング事業者、クラウド環境など、外部に運用を委託しているシステムの対応状況を確認します。 4. サポートが終了した古いPHPを使っている場合は、サポート対象の環境への移行を計画します。 具体的な手順は[PHP2Shellの対策方法｜企業が確認すべき6つのポイント](https://ppln.co.jp/blog/php2shell-countermeasures/)で解説しています。 ## 継続的な管理につなげる Webサイト、サブドメイン、IPアドレス、クラウドサービス、委託先が管理するシステムなど、企業のインターネット上の環境は時間とともに変化します。年に一度資産台帳を確認するだけでは、実際に外部から見えている環境との間に差が生まれる可能性があります。 普段から外部公開資産とその状態を把握しておけば、新しい脆弱性が公表されたときに「自社は影響を受けるのか」を判断しやすくなります。 ## PIPELINEの支援 PIPELINEは、外部から観測できる情報をもとに、自社や取引先のサイバーリスクを継続的に把握するための支援を行っています。RiskSensorでは、外部公開資産や設定不備などの状況を可視化し、優先して確認すべき点の整理に役立てることができます。 なお、外部から確認できる情報だけですべての構成や侵害状況を判断できるわけではありません。社内の資産管理情報や担当者による確認と組み合わせることが重要です。 ## ご相談について 外部リスクの確認についてのご相談は、[お問い合わせ](https://ppln.co.jp/contact/)からご連絡ください。SCS評価制度★3の進め方を解説したオンデマンドセミナーは[こちら](https://ppln.co.jp/blog/scs-star3-webinar-archive/)でご案内しています。 ## 出典 - PHP「News Archive - 2026」（2026年10月21日 セキュリティリリース） [https://www.php.net/archive/2026.php](https://www.php.net/archive/2026.php) - IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」 [https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html) - CISA「Critical Vulnerabilities in PHP Require Immediate Patching」 [https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) - ロイター「高市首相 速やかな対応呼びかけ プログラミング言語PHPに脆弱性」2026年10月21日 [https://www.reuters.com/jp/economy/5S4LC2ZTKBPSRB6S65XU54IV5Y-2026-10-21/](https://www.reuters.com/jp/economy/5S4LC2ZTKBPSRB6S65XU54IV5Y-2026-10-21/) ## 新着記事 - ![](https://go.ppln.co/hs-fs/hubfs/Imported_Blog_Media/e3cb85_d4ea4c6446f741a8b7c2c883dc8d409e~mv2.png?width=720&height=405&name=e3cb85_d4ea4c6446f741a8b7c2c883dc8d409e~mv2.png) 2026年11月5日 ### [外部資産 調査：外部公開資産の確認方法と重要性](https://go.ppln.co/ja/blog/external-asset-discovery?hsLang=ja) - 2026年10月26日 ### [【登壇のお知らせ】PIPELINE代表・渡辺アランが「TECH+ セミナー セキュリティ 2026 Nov.」に登壇](https://go.ppln.co/ja/blog/tech-plus-seminar-2026-nov?hsLang=ja) - 2026年10月26日 ### [PHP2Shellの対策方法｜企業が確認すべき5つのポイント](https://go.ppln.co/ja/blog/php2shell-countermeasures?hsLang=ja) RiskSensor 取引先のセキュリティを、自己申告ではなくエビデンスで。 [簡易リスク診断](https://ppln.co.jp/assessment/) [お問い合わせ](https://ppln.co.jp/contact/) 継続的サイバー保証 [TEL 050-3311-7772](tel:+815033117772)（平日9:00〜18:00） [hello@ppln.co](mailto:hello@ppln.co) 継続的サイバー保証 - [RiskSensor](https://ppln.co.jp/risksensor/) - [ERI｜外部リスクの継続確認](https://ppln.co.jp/risksensor/#eri) - [SCS｜SCS評価制度対応](https://ppln.co.jp/risksensor/scs/) インテリジェンス - [Vision Intelligence Data](https://ppln.co.jp/risksensor/#vid) - [EVI｜早期脆弱性インテリジェンス](https://ppln.co.jp/risksensor/#evi) 調査 - [インシデント対応・調査](https://ppln.co.jp/incident-response/) - [ログ分析による初期調査](https://ppln.co.jp/incident-response/#log) - [ダークウェブ調査](https://ppln.co.jp/incident-response/#darkweb) - [詳細調査](https://ppln.co.jp/incident-response/#detailed) 備え・監視 - [ご契約形態（年間契約・チケット制）](https://ppln.co.jp/incident-response/#plans) - [脅威監視サービス（ThreatIDR）](https://ppln.co.jp/incident-response/#monitoring) - [DatalaiQ](https://ppln.co.jp/datalaiq/) 資料・情報 - [資料ダウンロード](https://ppln.co.jp/resources/) - [簡易リスク診断](https://ppln.co.jp/assessment/) - [インサイト（ブログ）](https://go.ppln.co/ja/blog) PIPELINEについて - [会社概要](https://ppln.co.jp/company/) - [受賞歴](https://ppln.co.jp/company/#awards) - [パートナー](https://ppln.co.jp/company/#partners) - [インテリジェンスパートナー](https://ppln.co.jp/partners/intelligence/) - [お問い合わせ](https://ppln.co.jp/contact/) - [プライバシーポリシー](https://ppln.co.jp/privacy/) - [情報セキュリティ基本方針](https://ppln.co.jp/security-policy/) - [サイトのご利用について](https://ppln.co.jp/site-policy/) - [反社会的勢力に対する基本方針](https://ppln.co.jp/antisocial-forces/) - [脆弱性情報の受付](https://ppln.co.jp/vulnerability-disclosure/) © 2026 Pipeline. All rights reserved. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Pipeline Cyber Intelligence Team", "url" : "https://go.ppln.co/ja/blog/author/pipeline-cyber-intelligence-team" }, "dateModified" : "2026-11-05T03:46:54.074Z", "datePublished" : "2026-10-21T15:00:00.000Z", "headline" : "PHP2Shellとは？外部公開資産の把握から考える初動対応", "mainEntityOfPage" : { "@id" : "https://go.ppln.co/ja/blog/what-is-php2shell", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://go.ppln.co/hubfs/logo_pipeline.png" }, "name" : "Pipeline株式会社" } } ```