自分の WordPress サイトは PHP2Shell の影響を受けますか？
サイトで動いている PHP が系列ごとの修正版より古い場合、または PHP 8.1 以前で配布元の修正が入っていない場合は影響を受けます。PHP2Shell は PHP 本体の脆弱性（CVE-2026-109618 と CVE-2026-109619）なので、テーマやプラグイン、WordPress のバージョンに関係なく、修正前の PHP で動いている WordPress はすべて対象です。
| サイトヘルスの PHP バージョン | 意味 |
|---|---|
| 系列の修正版以上 | 修正版に該当します。PHP を再起動し、すべてのサイトで確認 |
| 修正版より古い | 影響を受けます。PHP を更新するか、サーバー会社に依頼 |
| 8.1 以前 | 新しいリリースはありません。配布元の修正済みパッケージを使うか、8.2 以降へ移行 |
| OS パッケージで、番号が古く見える | 修正が取り込まれている可能性があります。配布元の情報を確認 |
| 系列 | 最初の修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 以前 | 新しいリリースなし（7.4・8.0・8.1 は公式ソースパッチあり） |
2 分でできる WordPress の確認方法は？
管理者アカウントがあれば、サーバーにログインする必要はありません。
- WordPress の管理画面で ツール → サイトヘルス を開きます。
- 情報 タブを開き、サーバー を展開します。
- PHP バージョン と PHP SAPI（FPM や Apache など、PHP の実行方式）を控えます。
- PHP2Shell チェッカーに入力すると、修正版と比べて次にすべきことを表示します。
サイトヘルスに表示されるのは、実際にサイトを動かしている PHP です。サーバー上の php -v はコマンドライン用の別の PHP を表示することがあります。そのほかの確認方法は PHP バージョン確認方法をご覧ください。
WordPress 本体やテーマ、プラグインを更新すれば直りますか？
直りません。PHP2Shell は WordPress の下で動いている PHP 本体の問題です。WordPress やテーマ、プラグインを更新しても、サーバーの PHP のバージョンは変わりません。更新自体は続けるべきですが、PHP2Shell の修正は PHP を修正版、または配布元の修正済みパッケージに更新することでしか得られません。
PHP2Shell と wp2shell は同じものですか？
違います。wp2shell は WordPress 本体の別の脆弱性で、WordPress の更新で直ります。PHP2Shell は PHP の脆弱性で、PHP の更新で直ります。「php2shell WordPress」で検索すると wp2shell の情報が出てくることがあるため、両方を確認してください。
- wp2shell：WordPress 本体が最新か（ダッシュボード → 更新）。
- PHP2Shell：サイトヘルスの PHP バージョンが系列の修正版以上か。
WordPress の PHP は誰が更新しますか？
サイトの置き場所によって変わります。
| サイトの置き場所 | PHP を更新する人 | 手順 |
|---|---|---|
| エックスサーバー | サーバー会社（バージョンの切り替えはご自身） | エックスサーバーの PHP バージョン |
| さくらのレンタルサーバ | サーバー会社 | さくらの PHP バージョン |
| ロリポップ！ | サーバー会社 | ロリポップの PHP バージョン |
| ConoHa WING | サーバー会社 | ConoHa の PHP バージョン |
| そのほかのレンタルサーバー・マネージド WordPress | サーバー会社 | PHP2Shell 対処法：問い合わせ文あり |
| 自分で管理する Ubuntu / Debian | ご自身 | Ubuntu での PHP 更新 |
| Docker | ご自身（イメージを作り直す） | Docker の PHP イメージ |
国内のレンタルサーバーでは、エックスサーバーやロリポップ！が予防措置として管理画面などを一時停止したと発表しています（エックスサーバー、ロリポップ！）。各社が修正版の PHP を適用したかどうかは、当サイトではまだ確認できていません。各社の公式のお知らせを確認してください。
PHP を更新すると WordPress が壊れませんか？
同じ系列の中での更新（たとえば 8.3.30 から 8.3.36）は修正が中心で、WordPress が動かなくなることはまれです。系列をまたぐ更新（7.4 から 8.3 など）では、古いテーマやプラグインが動かなくなることがあります。系列を変える前にバックアップを取り、サーバー会社にステージング環境があればそこで試してください。切り替え方は WordPress の PHP バージョンをご覧ください。
セキュリティプラグインや Cloudflare で WordPress は守れますか？
露出を減らすことはできますが、修正ではありません。Cloudflare は WAF が既知の攻撃パターンを防ぐこと、修正公開前に攻撃の試みを観測したことを公表しています。WordPress のセキュリティプラグインは PHP の上で動くため、PHP 本体は修正できません。また PHP 公式は、アプリのコードが動く前に到達できる攻撃経路を少なくとも一つ確認しています。更新までの暫定対策と限界は CVE-2026-109618 回避策をご覧ください。
WordPress サイトがすでに侵害されていないか、どう確認しますか？
PHP を更新しても、過去に侵入されていないかは分かりません。WordPress では次の点を確認してください。
- ユーザー：心当たりのない管理者アカウント（ユーザー → 権限「管理者」で絞り込み）。
- アップロード：
wp-content/uploadsの中の.phpファイル。本来は画像などのメディアだけが入る場所です。 - must-use プラグイン：
wp-content/mu-pluginsの見覚えのないファイル。通常のプラグイン一覧には表示されません。 - プラグイン・テーマ：インストールした覚えのないもの、触っていないのに最近変更されたファイル。
不審な点があれば、何かを消す前に 侵害チェックリストに沿って対応し、復旧後にすべてのパスワードと wp-config.php の認証キー（ソルト）を変更してください。
制作会社はお客様にどう伝えればいいですか？
リスクだけでなく、実施したことを伝えましょう。各サイトの現在の PHP バージョン、それが修正版以上であること、侵害の兆候を確認したことです。お客様向けの文例は PHP2Shell 対処法に、サイトごとの判定は PHP2Shell チェッカーにあります。
管理画面に PHP の更新を促す表示が出ていません。安全ですか？
そうとは限りません。WordPress の表示は推奨バージョンから大きく遅れているときの警告で、個別のセキュリティ修正を判定するものではありません。サイトヘルスの PHP バージョンを修正版と直接比べてください。
1 台のサーバーで複数の WordPress を運用しています。全部確認が必要ですか？
はい。同じサーバーでもサイトごとに PHP のバージョンやワーカーが違うことがあります。更新後はすべてのサイトでサイトヘルスを確認してください。
情報源
このページの主要な事実（修正版、CVE の内容、配布元のパッケージ、公的機関の呼びかけ）は公式の情報源にもとづいています。研究者の報告、報道、コミュニティの投稿はそれぞれ区別して表示しています。
- Security advisory: Critical remote code execution vulnerabilities, update now公式 The PHP Group
- RCE via OOM corruption公式 The PHP Group
- RCE via stale global state公式 The PHP Group
- Site Health screen公式 WordPress.org
- Update PHP公式 WordPress.org
- CVE-2026-63030: wp2shell, a critical remote code execution vulnerability in WordPress Core研究 Rapid7
- Cloudflare deploys protections against php2shell vulnerabilityCDN 事業者 Cloudflare
- 予防的な安全対策のためアカウント管理画面等へのアクセスを一時停止（X）事業者 エックスサーバー
- PHPの重大な脆弱性への予防措置としてサービスサイト等を順次停止（X）事業者 ロリポップ！