PHPの脆弱性（PHP2Shell）とは？利用者は何をすれば良いか

アプリが止まったり、ネットショップが開かなかったり、「PHPの脆弱性」というニュースが流れたりして、不安になった人は多いと思います。PHPの脆弱性で、利用者は何をすれば良いのでしょうか。

先に結論を書きます。

• これはサービスを運営する側（サーバー）の問題です。一般の利用者がスマホやパソコンでやることは、基本的にありません
• サービスが止まったのは、予防のために先に止める動きが広がったためと報じられています。止まっていること自体は、情報が盗まれたことを意味しません
• 使っているサービスの公式のお知らせを自分で開いて確認し、復旧を待ちます（自分でPHPのサイトやサーバーを運営している人は、下の「何が起きたか」の公式ページを確認してください）
• 「スマホがPHPに感染」「緊急アップデート」などを装った偽の通知には気をつけます

この記事では、何が起きたのかと、SNSで広がった対策のどれが的外れなのかを整理します。

PHP2Shell とは？PHPの脆弱性の何が問題か

2026年10月21日、プログラミング言語「PHP」（ウェブサイトやサービスの内部で使われているもの）に、重大な脆弱性（ソフトの弱点）が2つ見つかり、修正版が公開されました。多くのサービスがPHPを使っています。

IPAの注意喚起によると、番号は CVE-2026-109618 と CVE-2026-109619 です。修正版は PHP 8.2.35、8.3.36、8.4.27、8.5.12 です（IPA、JPCERT/CC）。IPAによると、この2つの組み合わせは「PHP2shell」と呼ばれ、離れた場所の第三者が、サーバー上で意図しないプログラムを実行できる可能性があるとされています。

修正版が公開された日、ネットショップ作成サービス、保育施設向けのアプリ、ゲームなどが緊急メンテナンスに入ったり、一時停止したりしたと報じられています（Impress Watch）。各社が公式にどんな理由を示したかは、同記事には書かれていません。ソフトバンクの発表では、ソフトバンク、ワイモバイル、LINEMOの緊急速報メールも、10月23日から「PHPの脆弱性への対応」のためのメンテナンスで止まりました（ソフトバンク）。

攻撃の状況について、公式の情報で確認できるのは次の点です。

• 悪用を試みる通信の観測報告があると、JPCERT/CCが10月26日の更新で追記しています。この観測が国内のものかどうかは、本文には書かれていません
• 米国のCISA（サイバー安全保障の機関）が、10月26日（現地時間）にこの脆弱性を「悪用が確認された脆弱性の一覧」に加えたと、IPAは追記しています
• そのうえで、IPAは国内での攻撃被害の事例は把握していないとしています（ページは10月27日に更新）

状況は変わることがあるので、続報は IPA と JPCERT/CC のページで確認してください。

PHPの脆弱性で、利用者は何をすれば良い？基本的にありません

IPAの注意喚起は、PHPを使ってシステムを運営する側に向けたものです。修正版への更新のほか、更新できない間のアクセス制限や、必要に応じたサービスの一時停止の判断を検討するよう案内しています。一般の利用者向けの専用項目はなく、利用しているサービスが影響を受けるかどうかは、そのサービスの提供元の情報を確認するよう案内しています。

なぜ利用者側でやることがないのかというと、弱点があるのは、サービスを動かしているサーバーの中のソフトだからです。アプリやサイトを使うだけなら、スマホやパソコンでPHPを更新する必要は通常ありません。iPhone向けの解説でも、「一般のiPhoneユーザーがPHPの更新作業を行う必要はありません」と説明されています（iPhone Mania）。

ただし、自分でPHPを使うサイトや開発環境を管理している人（フリーランスで自分のサイトを運営している人など）は、運営する側にあたります。IPA と JPCERT/CC の注意喚起と、使っているレンタルサーバーなどの告知を確認してください。

アプリやサイトを使うだけの人がやることは、次の3つくらいです。

• 使っているサービスの公式のお知らせを、自分で開いて確認する
• 止まっているサービスは、復旧を待つ
• 公式のお知らせに利用者向けの依頼（パスワードの変更など）があれば、その案内に従う。メールやSMSで届いた場合も、リンクからではなく、自分で公式アプリやブックマークを開いて、同じお知らせがあるか確かめてから対応する

SNSで広がった対策の誤解

今回、SNSでは次のような対策が広まったと報じられています。ジャーナリストの岡田有花さんは、一般の利用者がWi-Fiを切ったり、スマホの電源を落としたりしても直接の対策にはならず、全パスワードの変更も「おおむね的外れ」と整理しています（Yahoo!ニュース エキスパート）。

広まった対策	どう考えるか
Wi-Fiを切る	弱点はサーバー側にあるので、家のWi-Fiを切っても関係しません。普段どおり使って構いません
スマホの電源を切る	同じ理由で、直接の対策にはなりません
全部のサービスのパスワードを変える	今回のニュースだけを理由に、全部を変える必要はありません。公式のお知らせで変更が案内されたサービスや、不正なログインに気づいたサービスから変えます。変更するパスワードを他でも使い回している場合は、そちらも変えます
OSやアプリを今すぐ更新する	スマホのOSやアプリの更新は、サービス側のPHPの修正にはなりません。この件のために急ぐ必要はないとされています。普段の更新は、自動更新をオンにするか、いつものタイミングで入れておけば十分です。重要な更新の案内が来たときは、普段どおり対応してください

最後の行は公式の言及ではなく、民間の解説にもとづく整理です。

ただし、普段から大事なことは、今回も変わりません。

• パスワードの使い回しをやめる：どこかのサービスから情報が漏れたとき、ほかに広がりにくくなります → パスワード管理ツールの始め方
• 2段階認証（ログイン時にもう1つ確認を求める仕組み）を設定する：メールなど大事なアカウントから順に
• ルーターなど、メーカーから更新が出ている機器は更新する。電源を切るのではなく、更新が出ていれば入れるだけです

これらは今回のニュースがあってもなくても大事なことで、今日中に終えなければならない作業ではありません。

サービスが止まっているときは

サービスが止まっていると、「情報が盗まれたのでは」と感じるかもしれません。でも、止まっていることと、情報が盗まれたことは別です。今回は、攻撃を警戒して予防的に先にサービスを止める動きが広がっていると、Impress Watch は伝えています（Impress Watch）。ドコモも、緊急速報の一部の停止を「予防的なセキュリティ対応」として案内しています（ドコモ）。

そのうえで、止まっているサービスについては、次のように対応します。

• そのサービスの公式サイトや公式アプリの「お知らせ」を見る。公式のSNSアカウントがあれば、そこも確認する
• 復旧の時期が書かれていれば、それまで待つ。何度もログインを試す必要はありません
• 復旧後も、公式のお知らせに利用者向けの案内がないか確かめる
• 注文や予約が途中だった場合は、公式のお知らせにある問い合わせ先に、自分で調べた窓口から連絡する
• 「個人情報が漏れた」というお知らせが出たときは、その内容に沿って対応する → 個人情報流出の連絡が来たら

緊急速報メールが届かないときの備え

ソフトバンク、ワイモバイル、LINEMOでは、10月23日の午前6時47分から10月26日の午後11時17分まで、緊急速報メールの配信が止まりました。国や自治体の災害・避難情報は、10月26日の午後11時17分に再開したと、ソフトバンクが発表しています（ソフトバンク）。緊急地震速報と津波警報は、それより先の10月25日に再開したと報じられています（時事通信）。

ドコモも、エリアメールの一部と「どこでも災害・避難情報」の配信を止め、10月25日の午後8時1分に再開しました（ドコモ）。ソフトバンクは、Yahoo!防災速報のような別のアプリの利用を案内した、と報じられています（ケータイ Watch）。

ソフトバンク系の3ブランドとドコモは、公式の発表では再開済みです。au と楽天モバイルの状況は、この記事では確認していません。ただ、今回に限らず、携帯会社のメンテナンスや障害、電波の状況によって、緊急速報メールが届かないことはありえます。そこで、普段からもう1本の手段を用意しておくと、使えない日があっても困りにくくなります。すでに地域の防災情報を受け取れる手段があるなら、新しく足さなくても構いません。

• スマホに防災アプリを入れておく。自治体や携帯会社が案内しているものを、公式のアプリストアから入れ、通知を許可し、住んでいる地域や実家の地域を登録する
• 住んでいる自治体の防災メールや公式アカウントに登録する
• 台風や大雨のときは、テレビやラジオ、自治体のお知らせも合わせて見る。通信が使えないときのために、ラジオも選択肢に入れておく

アプリによって、通知される地域や情報の種類は違います。緊急速報メールと同じ情報が届くとは限らないので、設定を一度確かめておいてください。

便乗した偽の通知に注意

以下は確認された実例ではなく、よくある連絡の型を想定した場面です。

大きなニュースが出ると、それに便乗した偽のメールやSMS、偽の画面が出回ることがあります。今回のPHPの件で便乗した詐欺が広がっている、という情報は、公式の発表や注意喚起では見つけられませんでした（10月29日に、フィッシング対策協議会の緊急情報一覧に今回のPHPに関するものがないことを確認しています）。ただ、ニュースを利用するのは詐欺の常套手段なので、次のような連絡には気をつけてください。

• 「スマホがPHPに感染しました」「緊急アップデートが必要です」と画面に出る
• 「復旧対応のため」と書いて、セキュリティアプリのインストールを求める
• 「障害のためパスワードを再設定してください」「アカウントが凍結されます」というメールやSMS

こうした偽の通知への注意は、民間の解説でも呼びかけられています（iPhone Mania）。見分けるときは、次のようにします。

• メールやSMSのリンクは開かない。そうした連絡から開いた画面では、パスワードを入れない
• 確認は、公式アプリや、自分で登録したブックマークから行う
• 「アプリを入れてください」という連絡は、そのサービスの公式サイトにも同じ案内があるか確かめる。確かめられなければ入れない
• 画面の警告から、電話番号に連絡しない

お知らせが本物かどうかを確かめる手順は、こちらにまとめています。→ 個人情報流出の連絡が来たら

偽のメール・SMS への備えは偽メール・偽SMSの見分け方は覚えなくていい。開かずに済む3つの習慣、画面に「ウイルスに感染」と警告が出たときの対処は「ウイルスに感染しています」は偽警告。サポート詐欺の消し方と偽メール対策で説明しています。

やらなくていいこと

• Wi-Fiを切る、スマホやパソコンの電源を切る
• 今回のためだけに、全部のサービスのパスワードを変える
• 今回のために、OSやアプリを急いで更新する（OSやアプリの普段の更新は、これまでどおり行ってください）
• サービスが止まっているときに、何度もログインを試す
• 「PHPを更新してください」という連絡に従って、アプリやファイルを入れる
• SNSで見かけた対策を、公式のお知らせを確かめずにそのまま広める

---

この記事は2026年10月29日時点の公式発表と報道をもとにしています。続報で内容が変わることがあります。