Googleで優先する情報源に追加
2026年10月21日、「PHP2Shell」と総称される2件の重大なPHPの脆弱性が公表されました。攻撃者がこれらの脆弱性を悪用すると、認証なしでサーバー上の悪意のあるコードが実行されるおそれがあります。PHP開発元は、同日中に緊急セキュリティアップデートを公開し、脆弱性を修正しました。
Kinstaでは、すべてのお客様のWordPressサイトにPHP2Shellへの対策を実施済みです。エンジニアリングおよびセキュリティ部門により、本番環境とステージング環境を含むプラットフォーム全体に、必要なPHPのセキュリティアップデートが適用されました。また、今回の脆弱性に関連する侵害の形跡も確認されていません。
以下、PHP2Shellの概要、Kinstaが実施した一連のセキュリティ対策、サイトのPHP設定を確認する方法についてご説明します。
PHP2Shellとは
PHP2Shellは、CVE-2026-109618とCVE-2026-109619の2件のPHPの脆弱性を意味します。いずれもCVSS 4.0.における深刻度スコアは9.2で、「Critical（緊急）」に分類されています。
これらの脆弱性は、PHPがリクエストを処理する際のメモリ管理に影響を及ぼします。これらの脆弱性が悪用されると、攻撃者がサーバー上で悪意のあるコードを実行し、サイトやデータが侵害されるおそれがあります。
WordPressはPHPで動作するため、脆弱性のあるPHPバージョンを使用しているWordPressサイトも影響を受ける可能性があります。
PHP2Shellは、WordPressのプラグインやテーマ、WordPress本体の脆弱性とは異なり、PHPの実行環境そのものに存在する問題です。そのため、WordPress本体やプラグインを更新しても解決できず、サーバー側のPHPに修正パッチを適用する必要がありました。
PHP開発元は10月21日、PHP 8.2、8.3、8.4、8.5向けの修正を公開しています。また、古いバージョンについても、サードパーティの提供元によるセキュリティ修正が必要でした。
お客様に個々のWordPressサイトでの対応を求めることなく、サーバー環境側でこれらのアップデートを実施しています。
PHP2Shellに対するKinstaの対応
Kinstaのエンジニアリングおよびセキュリティ部門は、公式のセキュリティパッチが公開される前からPHP2Shellへの対応を進めていました。まず、脆弱性を悪用されるリスクを軽減するための保護対策を導入し、その後、修正済みのPHPバージョンが公開され次第、順次適用しました。
Cloudflareによる攻撃のブロック
PHPの修正パッチを適用するまでの間、サイトを攻撃から保護することが最優先事項の一つです。
Kinstaでは、CloudflareのWebアプリケーションファイアウォール（WAF）を利用し、悪意のあるリクエストがサイトに到達する前に検出・ブロックしています。
PHP2Shellの脆弱性が公表される前に、Cloudflareはこれらの脆弱性を悪用する攻撃を検出するための新たなファイアウォール保護機能を導入していました。Kinstaでも、関連する保護機能をインフラ全体で有効にしました。
これにより、PHPの修正パッチの公開を待つ間、パッチの適用作業中も、エッジ側のファイアウォールでPHP2Shellを悪用する攻撃をブロックできる状態を確保できました。
さらに、潜在的なリスクを軽減するため、サーバー環境全体でPHPの設定にも追加の変更を加えています。これらの対応にあたっては、Cloudflareに加え、先日導入した脆弱性対策機能の提携先であるPatchstackとも連携しています。
これらの対策により、修正パッチの適用前もサイトへの攻撃を防ぐことができました。ただし、脆弱性を解消するには、PHP自体に修正パッチを適用する必要がありました。
PHPのセキュリティアップデートの適用
PHP開発元から修正パッチが公開されると、修正済みPHPパッケージの検証と、プラットフォーム全体への展開を開始しました。
アップデート対象は、PHP 7.4からPHP 8.5までのすべてのバージョンです。古いバージョンについては、Kinstaが利用するPHPパッケージの提供元からセキュリティアップデートが提供されています。
Kinstaではプラットフォーム側でPHPを管理しているため、お客様ご自身で修正パッチをインストールしたり、PHPバージョンを手動で変更したりする必要はありません。Cloudflareによる追加の保護対策も継続しながら、サーバー環境全体にアップデートを適用しています。
プラットフォーム全体へのセキュリティアップデートを完了し、すべてのサイトの保護を確保したうえで、2026年10月22日17時26分（日本時間）に公式ステータスページで今回のインシデントの解決を発表しました。また、PHP2Shellに関連する侵害の形跡は確認されていません。
対応の経過に関する詳細は、PHPの脆弱性に関するステータスページをご覧ください。
お客様による対応は不要です
Kinstaをご利用のお客様による特別な対応は不要です。必要なセキュリティアップデートは、すでにKinsta側で適用しています。
PHP2Shellへの対策として、PHPバージョンを変更したり、別途修正パッチをインストールしたり、サイトを一時的にオフラインにしたりする必要はありません。
今回のインシデントに対する対策として、サイト環境を一時停止されている場合は、現在は再開して問題ありません。一時停止中の環境にも、必要なセキュリティアップデートを適用しています。
なお、通常のサイトメンテナンスとして、WordPress本体、プラグイン、テーマを最新の状態に保つことは引き続き重要になります。ただし、これらの更新はPHP2Shellへの対策とは別のものであり、PHP2Shellの修正はすでにサーバー環境側で完了しています。
MyKinstaの「サイト」＞（サイト名）＞「ツール」画面「PHP設定」セクションでご確認いただけます。
なお、表示されるPHPバージョンだけでは、セキュリティパッチが適用されているかどうかを判断できない場合があります。これは、PHPのビルドによっては、最新の公式バージョンに変更することなく、セキュリティ修正をバックポート（既存のバージョンに適用）しているためです。
特定の環境へのパッチ適用状況についてご不明な点がございましたら、MyKinstaからサポートまでお気軽にお問い合わせください。24時間365日ご利用いただけます。
最新情報の確認とサポートへのお問い合わせ
クライアントのWordPressサイトを管理されている場合は、PHPの脆弱性に関するステータスページを状況説明にご活用ください。このページでは、修正パッチの公開にあわせて実施した対策や、対応完了までの経緯をご確認いただけます（英語での提供となります）。
特定のサイトのセキュリティ状況を確認したい場合や、ご不明な点がございましたら、MyKinstaからサポートまでお問い合わせください。24時間365日、いつでもご相談いただけます。
お問い合わせ方法については、Kinstaのサポートに関するドキュメントをご覧ください。
