結論
PHP2Shellとは、2026年10月21日に修正されたPHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）の通称です。公開から1週間で、状況は「攻撃の試み」から「実際の悪用」の段階に進みました。米国CISAは10月26日、この2件を悪用確認リストに追加しています。国内では首相と国家サイバー統括室が修正と一時停止を呼びかけ、銀行・省庁・自治体・携帯電話の緊急速報メールまで停止が広がりました。民間の集計では停止は累計1,090件、約4割は再開を確認できていません（10月26日時点）。国内でPHP2Shellが原因と公式に確認された侵害は、10月28日時点で見当たりません。サイトの運営者は、修正の適用を確かめたうえで、侵入の痕跡を確認し、止めたサイトの再開を計画してください。
PHP（ピー・エイチ・ピー）は、WordPressをはじめ多くのWebサイトを動かしているプログラミング言語です。10月21日にその重大な脆弱性「PHP2Shell」が修正されてから、国内では予防のためにサービスを止める動きが一気に広がりました。
この記事では、公開後の1週間（10月22日〜28日）に分かったことを、公式発表と報道をもとにまとめます。脆弱性そのものの説明と確認の手順はPHPの脆弱性の記事、サーバー会社の対応は各社の対応状況の記事、10月23日に公表された3件目の脆弱性はCVE-2026-115560の記事をご覧ください。
この1週間の流れ
| 日時（日本時間） | 出来事 |
|---|---|
| 10月17日 | AWSが、公開前から攻撃の試みを観測（のちに報道） |
| 10月20日 | PHP公式が、翌日の重大なセキュリティリリースを予告 |
| 10月21日 22時ごろ | 高市首相がXで「今夜に対応して頂きたい大至急のお願い」と呼びかけ |
| 10月21日 22時57分 | 国家サイバー統括室が、修正の適用が難しければサイトの一時停止も有効策とXに投稿 |
| 10月21日 23時 | PHPの修正版（8.5.12・8.4.27・8.3.36・8.2.35）の公開予定時刻 |
| 10月22日 | 銀行・証券・省庁・自治体・ECで停止が相次ぐ。IPA・JPCERT/CCが注意喚起。官房長官は「被害の報告は受けていない」 |
| 10月23日 | 金融担当相が「多くの金融機関で予防的にシステムの停止等」と説明。ソフトバンクが緊急速報メールの配信を停止。米国FBIが注意喚起 |
| 10月24日 | 研究者のハニーポットで、攻撃が成功した記録が報告される |
| 10月26日 | 米国CISAが悪用確認リストに追加。JPCERT/CCが注意喚起を更新。民間の集計で停止は累計1,090件 |
| 10月27日 | 777CON-PASSが、メンテナンスの終了は未定のまま、利用者への補償を表明 |
悪用はどこまで確認されたか
米国CISAが「悪用確認リスト」に追加
米国のサイバーセキュリティ当局CISAは10月26日（米国時間）、PHP2Shellの2件を「既知の悪用された脆弱性（KEV）」のリストに追加しました（CISA）。このリストは、実際に悪用された証拠がある脆弱性だけを載せるもので、米国の連邦政府機関には10月29日までの対応が義務づけられています。民間企業に義務はありませんが、CISAは優先して対応するよう求めています。
10月22日の時点では、CISAは成功した悪用を確認していませんでした。英国のThe Registerは、リストへの追加は「何件の実際のシステムが侵害されたかを示すものではない」と注意を添えています（The Register、10月27日）。
研究者のハニーポットで攻撃が成功
| 報告 | 内容 |
|---|---|
| Perplexityの研究者 Adel Karimi氏（10月24日） | PHP 8.4.26（Apacheのmod_php）で動かした3台のハニーポットで、2つのIPアドレスから35回のシェル実行（外部からの命令の実行）を記録。ただし本人は「攻撃に都合のよい、ワーカーが1つの構成」での結果と注記。追加のマルウェアの取り込みには失敗 |
| デルフト工科大学の研究チーム | 70か国・600以上のIPアドレスから、5万件を超える悪用のリクエストを観測。うち171のIPアドレスは、攻撃コードや不正なプログラムを送り込もうとしていた |
一方で、取り下げられた報告もあります。Sophosは「侵害の成功1件」との報告を、のちにスキャンと失敗した試みに分類し直しました。Palo Alto Networksも、欧州の政府機関への侵入との関連づけを撤回しています（The Register）。
米国のFBIも10月21日にSNSで、23日には犯罪通報窓口IC3で注意喚起を出し、修正を直ちに適用して侵入の痕跡を探すよう呼びかけています（FBI IC3、10月23日）。共同通信によると、FBIはすぐに更新できない場合はインターネットとの接続を断つことも求めました。
JPCERT/CCは「悪用を試みる通信」の報告が相次ぐと更新
JPCERT/CCは10月26日に注意喚起を更新し、「本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます」と追記しました。実証コードで実際にプログラムを動かせるかは、PHPの版や実行環境、メモリの配置などの条件に左右されるとしています（JPCERT/CC）。
このほか、シンガポールのセキュリティ企業CYFIRMAは、北朝鮮系とみられる集団がPHP2Shellを使った攻撃を計画している兆候を報告しました。主な標的として政府機関と銀行、地域として日本も挙げていますが、計画と準備の段階の報告で、侵害は確認されていません。北朝鮮との関連の確度も「中程度」とされています（SBS、10月24日）。
国内で何が止まったか
アシュアード（クラウドサービスのセキュリティ評価を手がける会社）が企業などのSNSを調べたところ、国内で止まったサイト・サービスは10月26日時点で累計1,090件に達し、約4割は再開が確認できていません。PHPをどこで使っているかの確認に時間がかかっていることや、古い版で更新が難しいことが理由とみられています（テレビ朝日系（ANN）、10月27日）。
| 分野 | 主な例 | 状況 |
|---|---|---|
| 銀行・証券 | 三菱UFJ銀行（ネットサービスの一部取引）、みずほ銀行、大和証券、静岡銀行、青森みちのく銀行、山梨中央銀行、山陰合同銀行など | 10月21日夜〜22日に予防的に停止。全国銀行協会は、銀行間の送金のネットワークに影響はないとした（時事通信） |
| 銀行（公式告知） | auじぶん銀行 | 22日0時40分にWeb・アプリの一部を停止し、9時30分に主要サービスを再開。「不正アクセスや情報漏えいは確認されておりません」（公式） |
| 省庁 | 財務省（PHPで動くコンテンツを一時停止）、文部科学省（全面再開を告知） | （財務省・文部科学省） |
| 自治体 | 仙台市（8サービス）、兵庫県、滋賀県（防災情報システム） | 仙台市は10月27日15時時点で8件が停止・一部停止のまま。滋賀県の防災情報システムは再開未定で、電話・FAXで代替（仙台市・兵庫県・滋賀県） |
| 携帯電話の緊急速報 | ソフトバンク・ワイモバイル・LINEMOの緊急速報メール、NTTドコモのエリアメールの一部 | ソフトバンクは23日6時47分に配信を停止し、25日9時25分に緊急地震速報と津波警報を再開。ドコモは25日20時1分に再開（ソフトバンク・ドコモ） |
| EC | futureshop（全店舗） | 21日21時36分〜22日23時35分の約26時間停止（公式） |
| ゲーム・アプリ | ウマ娘、グランブルーファンタジー、ニコニコ、バンダイチャンネル、777CON-PASSなど | 21日夜から緊急メンテナンス（電ファミニコゲーマー） |
地震や津波の速報を届ける仕組みまで止まったことは、「予防のための停止」にも社会的な影響があることを示しました。止めるか動かすかの判断と、再開の基準についてはサイトの緊急停止と再開の判断の記事で解説しています。
政府の対応
| 発信者 | 日付 | 内容 |
|---|---|---|
| 高市首相（X） | 10月21日 22時ごろ | 「今夜に対応して頂きたい大至急のお願い」。PHPを使っているか確認し、修正を速やかに適用する準備を求め、難しければサイトの一時停止も有効策の一つとした（ITmedia） |
| 国家サイバー統括室（X） | 10月21日 22時57分ほか | 修正の適用が難しい場合は、サイトの一時停止もリスクを下げる有効策の一つと投稿（電ファミニコゲーマー） |
| 木原官房長官 | 10月22日 | 国家サイバー統括室を中心にSNSで情報を周知すると説明。同日、内閣サイバー官と警察庁のサイバー警察局長が首相と面会（共同通信） |
| 片山金融担当相 | 10月23日 | 「多くの金融機関で予防的にシステムの停止等が行われました」。金融界にさらに必要な対応を促すとした（金融庁） |
| 関係閣僚会議 | 10月26日 | 企業の情報漏えい被害が相次ぐことを受けた初会合。首相は「アクセス・無害化措置」も含めた対処や、AIを使った脆弱性の検証を挙げ、緊急対策パッケージを来週中にまとめるよう指示（首相官邸） |
首相が特定のソフトの脆弱性についてXで直接呼びかけたのは異例で、ITmediaは「経営層にもリスクが認知される」とする技術者の評価を伝えています。一方で、呼びかけを受けて止めたサービスの約4割が再開を確認できていないことから、止めたあとにどう戻すかが次の課題になっています。
SNSで出回った要約の確認
この件では、AIが作った要約がSNSで広く読まれました。主な内容を公式発表と照らし合わせると、次のとおりです。
| 出回った内容 | 確認できた事実 |
|---|---|
| 国家サイバー統括室と首相がパッチ適用を呼びかけ | おおむね正しい。10月21〜22日にXで呼びかけ |
| EC・行政機関・銀行で緊急メンテナンスが相次いだ | 正しい。いずれも予防的な停止で、被害は確認されていない |
| CISAが悪用リストに追加 | 正しい。10月26日に追加 |
| 閣僚会議で能動的サイバー防御まで戦略に組み込んだ | 一部のみ。10月26日の会議は企業の情報漏えい全般が対象で、発言録にPHPの言及はない |
| 関連するBrotliの脆弱性でMicrosoftが緊急更新 | 一部のみ。Microsoftの.NETの緊急更新は事実だが、BrotliはPHP2Shellとは別の脆弱性（Brotliの記事） |
| 777CON-PASSで詐欺被害も報告 | 確認できない。運営会社が注意を呼びかけているのは、PHPとは別の9月の不正アクセスに伴う不審な電話・SMSのおそれ |
AIの要約は便利ですが、別々の出来事を一つの流れとしてまとめてしまうことがあります。対応を決めるときは、公式の発表で確かめてください。
777CON-PASSの状況
パチンコ・パチスロ店の入場抽選などに使われるアプリ「777CON-PASS」（サミーネットワークス）は、10月21日22時30分ごろから「PHPの脆弱性対応に伴うメンテナンス」を続けています。10月27日には公式Xで、終了日時は未定としたうえで「本事象によるユーザー様への補償は実施させていただきます」と表明しました。補償の詳細は検討中です。店舗側では、抽選を店頭や別の仕組みに切り替える動きが出ています（パチンコパチスロ情報サイト、10月27日）。
なお、777CON-PASSではこれとは別に、9月25日・30日の不正アクセスで延べ218万8,657件の情報が漏えいしたと10月16日に公表されています。原因は「認証・アクセス制御に不備」で、PHPの記載はありません。運営会社は、漏えいした電話番号などを悪用した不審な電話やSMSへの注意を呼びかけています（サミーネットワークス）。
便乗したフィッシングに注意
琉球銀行は10月22日、「PHPの脆弱性」を名目にしたフィッシングへの注意を呼びかけました。同行は「本脆弱性への対応を理由として、お客様にID・パスワード、暗証番号、口座情報等の入力をお願いすることはありません」としています（琉球銀行）。長野県筑北村も、便乗したフィッシングメールによる二次被害への懸念を示しています（筑北村）。
10月28日時点で、具体的な被害の報告は見当たりません。ただ、利用者が「メンテナンス中」「セキュリティ対応」に慣れている今は、偽の連絡が信じられやすい時期です。自社のお客さまにも、メールやSMSでID・パスワードを求めることはないと、あらかじめ伝えておくと安心です。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
「PHP2Shellが原因」とされた事例の確認
国内では、PHP2Shellの公開と同じ時期に、別の原因の被害も重なりました。10月28日時点で、PHP2Shellが原因と公式に確認された国内の侵害は見当たりません。
| 事例 | 確認できたこと |
|---|---|
| バルテック | 第一報で「PHPの脆弱性を標的としたサイバー攻撃」としたが、のちに訂正。原因は自社のサービスの脆弱性（公式） |
| futureshop | 同じ時期の不正アクセス2件について、10月25日に「PHPの脆弱性とは関係のない、別の事象」と説明（公式） |
| お名前.com デスクトップクラウド | 10月20日に不正なプログラムを発見。PHP2Shellの公開より前の事案で、PHPの記載はない（公式） |
| 777CON-PASS | 9月の不正アクセスによる漏えいで、原因は認証・アクセス制御の不備（上記） |
いま確認すべきこと
| 確認すること | 理由 |
|---|---|
| サーバー会社の告知で、PHP2Shellの修正が「完了」になっているか | 悪用が確認された。番号が古いままでも修正済みのことがある（各社の対応状況） |
| 自社でサーバーを管理している場合は、PHPを修正版にする | VPSやクラウドは、利用者が自分で更新する |
| 修正前に侵入されていないか、ログと不審なファイルを確認する | 修正は侵入済みの不正なファイルを消さない |
session.upload_progress.enabled=0 を設定する |
3件目の脆弱性（CVE-2026-115560）の修正版はまだ出ていない |
| 止めたサイトやフォームの再開を計画する | 停止が長引くと、問い合わせと検索の評価に影響する |
| お客さまに、メールやSMSでID・パスワードを求めないと伝える | 便乗したフィッシングの注意喚起が出ている |
よくある質問
PHP2Shellは実際に悪用されていますか？
米国CISAは2026年10月26日、PHP2Shellの2件（CVE-2026-109618・CVE-2026-109619）を、実際の悪用が確認された脆弱性のリストに追加しました。研究者のハニーポット（おとりのサーバー）では、攻撃が成功した記録も報告されています。一方、国内でPHP2Shellが原因と公式に確認された侵害は、10月28日時点で見当たりません。
自社のサイトはもう大丈夫ですか？
PHPを修正版（8.5.12・8.4.27・8.3.36・8.2.35）にするか、サーバー会社が修正を適用していれば、今回の2件への対策はできています。ただし、修正を入れる前に侵入されていた可能性はゼロではありません。サーバー会社の告知で対応完了を確認し、ログや不審なファイルの確認も依頼してください。
サイトを止めたままです。いつ再開すればよいですか？
修正の適用を確認でき、不審なアクセスやファイルが見つからなければ再開できます。止めたままにすると、問い合わせや検索の評価に影響が出ます。判断の手順はサイトの緊急停止と再開の判断の記事にまとめました。
「PHPの脆弱性対応」を名乗るメールやSMSが届きました。
銀行や自治体は、便乗したフィッシングへの注意を呼びかけています。琉球銀行は「本脆弱性への対応を理由として、ID・パスワード、暗証番号、口座情報等の入力をお願いすることはありません」としています。メールやSMSのリンクは開かず、公式サイトや公式アプリから確認してください。
SNSで「首相が閣僚会議で能動的サイバー防御を決めた」と見ましたが本当ですか？
10月26日の「サイバーセキュリティに関する関係閣僚会議」で、首相は攻撃への「アクセス・無害化措置」も含めた対処を挙げ、緊急対策パッケージを来週中にまとめるよう指示しました。ただし、この会議は企業の情報漏えい被害全般を受けたもので、首相官邸の発言録にPHPへの言及はありません。
出典
- CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog」（2026年10月26日）
https://www.cisa.gov/news-events/alerts/2026/10/26/cisa-adds-two-known-exploited-vulnerabilities-catalog - The Register「CISA confirms PHP2Shell under attack as researchers clock successful exploits」（2026年10月27日）
https://www.theregister.com/cyber-crime/2026/10/27/cisa-confirms-php2shell-under-attack-as-researchers-clock-successful-exploits/5305681 - JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日公開、26日更新）
https://www.jpcert.or.jp/at/2026/at260033.html - IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html - FBI IC3「Critical Vulnerability Alert: PHP Core」（I-102326-PSA、2026年10月23日）
https://www.ic3.gov/PSA/2026/PSA261023 - 共同通信（熊本日日新聞）「米FBI、PHP欠陥に注意喚起」（2026年10月22日）
https://kumanichi.com/articles/2049263 - PHP「News Archive 2026」
https://www.php.net/archive/2026.php - SBS（韓国）によるCYFIRMAの報告の紹介（2026年10月24日）
https://news.sbs.co.kr/english/article.do?news_id=N1008812986 - ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請」（2026年10月22日）
https://www.itmedia.co.jp/news/article/2610/22/2000002483/ - 電ファミニコゲーマーの記事（2026年10月21日）
https://news.denfaminicogamer.jp/news/2610213j - 共同通信（熊本日日新聞）「PHP注意喚起、状況把握に全力 政府、SNSで情報周知」（2026年10月22日）
https://kumanichi.com/articles/2049509 - 金融庁「片山内閣府特命担当大臣閣議後記者会見の概要」（2026年10月23日）
https://www.fsa.go.jp/common/conference/minister/2026b/20261023-1.html - 首相官邸「サイバーセキュリティに関する関係閣僚会議」（2026年10月26日）
https://www.kantei.go.jp/jp/105/actions/202610/26kaigi_cyber.html - 時事通信（nippon.com）「Japan Banks, Other Firms Take Precautionary Measures over PHP Flaw」（2026年10月22日）
https://www.nippon.com/en/news/yjj2026102200263/ - auじぶん銀行のお知らせ
https://www.jibunbank.co.jp/announcement/important/detail/3fb055c3a9fdc6bf3f1ee5c884e80c9aa564a41a5352b5f4973354e3fba91d28/ - 財務省のお知らせ（2026年10月21日）
https://www.mof.go.jp/public_relations/ohter/20261021231537.html - 文部科学省のお知らせ
https://www.mext.go.jp/a_menu/mext_00007.html - 仙台市のお知らせ（2026年10月27日更新）
https://www.city.sendai.jp/security/20261021php_security.html - 兵庫県のお知らせ（2026年10月23日）
https://web.pref.hyogo.lg.jp/kk51/website_20261023.html - 滋賀県のお知らせ（2026年10月24日）
https://www.pref.shiga.lg.jp/as00/press-release/34485.html - ソフトバンク「メンテナンスに伴う緊急速報メールの配信停止について」（2026年10月23日〜）
https://www.softbank.jp/corp/news/info/2026/20261023_01/ - NTTドコモ「セキュリティ対応に伴う緊急速報『エリアメール』の一部サービスおよび『どこでも災害・避難情報』配信停止について」（2026年10月25日）
https://www.docomo.ne.jp/info/notice/page/261023_00_m.html - futureshopのお知らせ（2026年10月21日）
https://www.future-shop.jp/news/2026/10/21-2.html - futureshopのお知らせ（2026年10月25日）
https://www.future-shop.jp/news/2026/10/25.html - テレビ朝日系（ANN）「PHP脆弱性で1000件超のサイトなどサービス休止 約4割の企業が再開できず」（2026年10月27日）
https://news.ksb.co.jp/ann/article/16996986 - パチンコパチスロ情報サイト「777コンパスのメンテが終了日時未定に！ホールの対応とユーザーの反応」（2026年10月27日）
https://pachinkopachisro.com/archives/7177/ - サミーネットワークス「777CON-PASSにおける不正アクセスによる個人情報漏えいに関するお詫びとお知らせ【最終報】」（2026年10月16日）
https://www.sammy-net.jp/news/2026/10/777con-pass-7.html - 琉球銀行「『PHPの脆弱性』に便乗したフィッシングにご注意ください」（2026年10月22日）
https://www.ryugin.co.jp/100429/ - 筑北村のお知らせ
https://www.vill.chikuhoku.lg.jp/docs/5881.html - バルテックのお知らせ（2026年10月22日）
https://www.webjapan.co.jp/maintenance/serviceteishi261022/ - GMOインターネット（お名前.com）のお知らせ
https://www.onamae.com/news/article/11593
※本記事は2026年10月28日時点の公開情報にもとづいています。停止・再開の状況は各社・各機関で日々変わっています。報道のみで確認したものは、出典に報道機関名を記載しています。
あわせて読みたい
Webサイトの保守のご相談
「止めたサイトをいつ戻すか」
からご相談ください
株式会社仁頼は、Webサイトの制作・改善と保守を支援しています。サーバー会社への確認事項の整理や、再開前の確認、お客さまへのお知らせ文の作成からご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
