お問い合わせ
  1. トップ
  2. 解説記事
  3. PHP2ShellとWordPress

特集

PHP2ShellとWordPress ― 塞ぐか、移すか

  1. 何が起きた

    サイトの土台に、穴が見つかった

  2. なぜ直らない

    部品を更新しても、土台の穴は残る

  3. どうする

    塞いだうえで、手間の少ない土台へ移す

サイトを船にたとえると

部品を直しても、船体の穴は残る

  1. いまのWordPress

    部品が、同じ部屋に並ぶ

    お問い合わせや予約などの部品（プラグイン）は、どれもデータと管理画面に自由に触れます。

  2. いまのWordPress

    部品の穴から、全体に水が回る

    WordPressで見つかる穴の91%は、部品の穴です。1つの穴から、データも管理画面も水につかるおそれがあります。

  3. いまのWordPress

    今回の穴は、船体そのもの

    PHP2Shellは、サイトを動かす土台の言語（PHP）に開いた穴です。部品を更新しても塞がりません。

  4. 移したあと

    塞いだうえで、船体ごと新しくする

    荷物（記事や画像）と見た目は、できるだけそのまま。手入れの手間が少ない船体へ移し、移したあとの手入れも続けます。

移すときに、変わらないこと・変わること

  1. いま移したあと

    見た目と中身は、できるだけそのまま

    いまの見た目や、記事・ページ・画像は、できるだけそのまま移します。見た目を新しくすることもできます。

  2. いま移したあと

    保守：更新を追いかけない

    移したあとの管理も、続けてお引き受けします。土台の更新を、ご自身で追いかけなくて済みます。

移すときの進め方

  1. 01

    相談

    サイトのURLをお送りください

  2. 02

    ご提案

    移せるか、何が変わるかをお伝えします

  3. 03

    引っ越し

    記事と画像を移します

  4. 04

    切り替え

    サイトを止めずに切り替えます

  5. 05

    管理

    移したあとの管理も続けます（移行だけのご依頼も、お受けします）

まず塞ぐ。そのうえで、移す。

いまのサイトのURLをお送りください。移せるか、何が変わるかをお伝えします。

移行を相談する

詳しく知りたい方へ（技術的な詳細）

PHP2Shell（2026年10月21日公表）

識別番号
CVE-2026-109618／CVE-2026-109619
深刻度
CVSS最大9.2
内容
PHP本体の脆弱性2件。認証なしで遠隔からコードを実行されうる（RCE）。パスワード・トークン・APIキーなどを含むメモリを読まれうる
影響する版
PHP 5.4まで遡ってほぼ全版。WordPress・Drupal・Joomlaで実証
塞ぐには
WordPress・テーマ・プラグインの更新では塞がらない。PHPを修正版（8.5.12・8.4.27・8.3.36・8.2.35）へ上げる
回避策
完全な回避策は無く、更新だけが安全（回避策は攻撃の道を減らすだけ）
古い版
PHP 8.1以前には、PHPの公式の更新が出ない（配布元や長期サポートの提供元が独自に修正を出す場合がある）。提供元に確かめるか、サポート中の版へ上げる
サポートの終わり
PHP 8.2は2026年12月31日でサポート終了

プラグインの穴

2025年に見つかったWordPressの新しい脆弱性11,334件のうち、91%がプラグイン、9%がテーマ。プラグインは本体と同じ権限で動き、データベースとファイルに制限なく触れる。

移す先について

移す先は、ホームページの内容や使い方に合わせてご提案します。特定の仕組みに決めてはいません。どの仕組みでも「絶対に安全」とは言えないため、移したあとの更新と見守りを続けます。

出典