PHP脆弱性「php2shell」中小企業向け無償対応を開始

PHPの重大脆弱性「php2shell」に中小企業向け無償支援

HiroshimAI株式会社は2026年10月22日、PHPの重大な脆弱性2件、CVE-2026-109618／CVE-2026-109619（通称「php2shell」）への対応を支援する「PHP緊急脆弱性 初期対応支援」を開始しました。対象は全国の中小企業が運営するホームページやWebシステムで、所在地は問いません。PHPを利用しているか分からない場合も、利用有無やバージョンの確認から修正版の適用まで、初期対応を無償で支援します。

申し込みは2026年10月31日までが無償対応の対象で、申し込み状況により期間を延長する場合があります。受付は先着順で、申し込みが多数の場合は順次対応となります。社内に詳しい担当者がいない、制作会社と連絡がつきにくいなど、何を確認すべきか分からない企業に向け、自社で調べる手順も公開しています。

今回の脆弱性は、ログインしていない第三者が外部からサーバー上でプログラムを実行するおそれがあるものです。PHPの開発元The PHP Groupは、2026年10月21日夜（日本時間）、CVSS v4.0で深刻度「9.2」と評価された2件を修正するPHP 8.5.12／8.4.27／8.3.36／8.2.35を公開しました。開発元は完全な回避策はなく、更新だけが安全な選択肢としています。

修正版への更新が基本となる理由

PHP 8.2～8.5系では、それぞれ8.2.35／8.3.36／8.4.27／8.5.12以降が修正版です。ただし、サーバー会社やOSの配布元が独自に修正を適用している場合、バージョン番号が異なることがあります。PHP 8.1以前は開発元による更新版の提供が終了しており、サポート中のバージョンへの更新が必要です。今回は特例として7.4・8.0・8.1向けの最小限の修正コードも公開されています。

PHPはホームページを動かすプログラミング言語の一つで、サイトの利用者には見えない裏側で動作します。WordPressで作られたサイト、お問い合わせ・予約フォーム、ネットショップなどで広く使われており、運営者自身がPHPの利用を意識していない場合もあります。WordPress自体を最新にしていても、今回の対象はWordPressを動かすPHP本体のため、PHPの更新は別途必要です。

利用状況の確認から修正版の適用まで

自社サイトの状況を調べる際は、まず制作会社から受け取った納品資料や、契約しているサーバー会社の管理画面を確認します。WordPressの場合は、管理画面の「ツール」から「サイトヘルス」、「情報」へ進み、「サーバー」欄でPHPのバージョンを確認できます。PHPを使っているか、どのバージョンかを特定することが、必要な対応を見極める出発点です。

更新を担う担当者はサーバーの管理形態によって異なります。レンタルサーバーでは、サーバー会社が更新する場合や、利用者が管理画面でPHPのバージョンを切り替える場合があります。自社または制作会社がサーバーを管理している場合は、管理担当者が修正版へ入れ替える必要があります。すぐに対応できない場合、国家サイバー統括室は2026年10月21日、ホームページを一時的に止めることもリスクを下げる有効策の一つとしています。

• 利用有無・バージョンの確認：納品資料、サーバー管理画面、WordPressのサイトヘルス情報を調べる。
• 更新担当の確認：サーバー会社、自社、制作会社のどこが管理しているかを把握する。
• 修正版かどうかの確認：8.2～8.5系の修正版番号と照らし合わせ、独自修正の有無にも留意する。

背景には、PHPの広い普及と、中小企業のセキュリティ対応を担う人材・体制の不足があります。W3Techsの2026年10月21日時点の調査では、サーバー側の言語が判明しているWebサイトの69.3%でPHPが使われています。その一方、PHP利用サイトのうちバージョン7は27.0%、バージョン5は7.7%で、旧バージョンが3割を超えます。

IPAの「2024年度中小企業等実態調査結果」速報版は、全国の中小企業4,191社の回答を集計したものです。不正アクセス被害を受けた419社のうち48.0%が、セキュリティパッチ未適用などの「脆弱性」を突かれたと回答しました。また、約7割の企業で組織的なセキュリティ体制が整っておらず、直近3期にセキュリティ対策へ投資していない企業は62.6%にのぼります。同速報版は2025年2月14日に公表されました。

無償支援の4段階と申し込み方法

HiroshimAIの支援では、会社名とホームページのURLをもとに、担当者が確認から報告までを進めます。作業範囲と手順は事前に書面で確認し、バックアップを取ってから無償で着手します。対象は緊急の初期対応で、追加契約や有償サービスへの申し込みを条件にしません。

1. 確認：ホームページがPHPで動いているか、バージョンはいくつかを調べます。
2. 判定：今回の修正版で修正できるか、古いバージョンのため別の対応が必要かを判断します。
3. 適用：データのバックアップ後に修正版へ入れ替えます。サーバー会社の管理画面で切り替える場合は、その操作を支援し、ホームページや問い合わせフォームが従来どおり動くか確認します。
4. 報告：実施した内容と今後必要なことを1枚にまとめて伝えます。

想定する対象は、WordPressなどでホームページ、問い合わせ・予約フォーム、ネットショップを運用しているものの社内に詳しい担当者がいない企業、制作会社との保守契約が終了している、または連絡がつきにくい企業、自社でサーバーを管理し更新手順や影響に不安がある企業です。レンタルサーバーを利用する企業も対象で、サーバー会社が更新済みか、管理画面で切り替える必要があるかを一緒に確認します。

支援の対象はPHP本体の修正版適用までで、ホームページ全体の安全性や、すべての攻撃を防ぐことを保証するものではありません。PHP 8.1以前の環境や、ホームページ改修が必要な対応は個別に相談のうえ進めます。改修が必要となる場合は、内容と費用を提示し、依頼者が判断してから進めるとしています。HiroshimAIから突然連絡して作業を持ちかけることはなく、依頼は案内された窓口から受け付けます。

申し込みは、問い合わせ先へ会社名とホームページのURLを送る方法です。ログイン情報はメールに記載せず、受付後に案内される方法で知らせます。受付順に順次対応するため、申し込みが集中した場合は対応まで時間がかかることがあります。

相談は公式サイト（https://www.hiroshimai.co.jp/）またはLINE窓口（https://lin.ee/xDpftPf）で受け付けています。本リリースに関する問い合わせ先は、担当：山口大樹、Email：yamaguchi@hiroshimai.co.jpです。会社情報は、HiroshimAI株式会社、所在地：広島県広島市中区紙屋町1-4-3 エフケイビル702、設立日：2026年7月3日、代表者：代表取締役 住田隆真、資本金：990万円。事業内容はAI顧問／AI研修／AIシステム開発／IoT開発で、会社の連絡先は公式サイト https://www.hiroshimai.co.jp/、Email：info@hiroshimai.co.jp、Tel：082-298-2614です。

発表の背景と支援内容を整理

脆弱性の修正版公開前の2026年10月21日には、IPAが「【事前準備のお願い】PHPのセキュリティリリース公開予定について」を発表し、国家サイバー統括室も公式XでPHPの利用確認と修正版の適用を呼びかけました。高市早苗内閣総理大臣も自身のXで同様の呼びかけを行っています。セキュリティ企業Sansecは、修正版公開前の10月21日にCloudflareが攻撃を観測したと報告しました。

今回の脆弱性は、AIを用いた調査で発見された点でも注目されています。OpenAIは10月21日の公式発表で、セキュリティ研究会社CalifがOpenAIのAIモデルを使って重大な欠陥を特定し、セキュリティ企業Wizも独自に2件の脆弱性を発見・報告したと説明しました。HiroshimAI株式会社代表取締役の住田隆真氏は、脆弱性の未修正を突かれた中小企業が少なくない調査結果に触れ、確認を担う人がいない企業を技術面で支援すること、地域企業が安心して事業を続けることが豊かな家族の幸せにつながるとの考えを示しています。

提供概要を整理すると、無償の初期対応は2026年10月31日までの申し込みが対象で、申し込み状況により期間延長の可能性があります。対象地域は全国、受付は先着順です。最新情報はPHP公式サイト（https://www.php.net/）で確認できます。以下に、支援の条件と窓口をまとめました。

PHPの利用に気づきにくいサイトも、まずは利用状況とバージョンを把握することが対応の第一歩です。今回の支援は、その確認を含め、修正版適用と作業報告までを初期対応として無償で行う取り組みです。