PHPの重大脆弱性「php2shell」とは？「AIが見つけた」の正しい意味と、副業でサイトを納品する人の確認リスト【2026年10月】

2026年10月21日、PHPの重大な脆弱性が公表されました。 通称「php2shell」。AI副業でWordPressなどのサイトを作って納品している人にとっては、他人事ではありません。

20代後半・会社員の ユウト です。ニュースでは「AIが見つけた」という言い方も目立ちますが、そこは正確に書いておきたいところです。この記事では、①「AIが見つけた」とは何を指すのか、②サイトを持つ・納品する人が確認することを、順に整理します。

1. 何が起きたのか（公式で確認できること）

深刻度の数字は、調べると数字が揃っていません。公式は9.2ですが、公開前に流出した時点では10.0とされ、これは「PHP側が誤りと表明した」とされています。ほかに、NVDは9.8（v3.1）、Red Hatは8.1（v3.1）と、評価の方式や機関によって違う数字が出ています。この記事では、公式の9.2だけを使います。

数字が機関によって違うと、どれが本当か迷うよね。でも、やることは同じです。「更新する」。数字の議論より、自分のサイトの確認が先だと思います。

2. 「AIが見つけた」とは、どういう意味か

ここがいちばん誤解されやすいところです。

「OpenAIは近年で最も影響の大きいセキュリティ問題の一つと表現した」と伝えられていますが、これもOpenAIの原文を確認できていないため、報道ベースの話として受け取るのが安全です。

副業目線で言うなら、ここから読み取れるのは「AIで脆弱性が見つかる時代になった」という話であって、「AIが勝手に見つけた」という話ではありません。見つけたのは研究者で、AIは道具として使われた、という整理です。AIモデルの使い方については、GPT-6 Astra を副業でどう見るかやGemini 4 Argon の原価の記事も参考にどうぞ。

3. 悪用はされているのか（意見が分かれています）

ここも、断定できません。

• CISA（10月21日）： 悪用は、公表時点では「観測されていない」としています
• 民間企業の報告（二次情報）： Amazonが10月17日におとりサーバーで攻撃の試みを観測、watchTowrが10月21日に両方の脆弱性の悪用を観測した、と報じられています

つまり、**公的機関は「未観測」、複数の民間企業は「試みを観測」**と、立場が分かれています。どちらが正しいと決める材料は、私には確認できていません。「悪用が始まっている前提で急ぐ」くらいの構えで足ります。

4. 副業でサイトを持つ・納品する人の確認リスト

AIでWordPressなどのサイトを作って納品している人は、自分のサイトと、納品先のサイトの両方を見ます。

サーバー会社の対応状況は、公式ページで次のように確認できました。

• さくらインターネット（10月22日）： 提供しているPHPに修正を適用済み。サポートが終わった版にも適用。10月22日14時時点で被害報告なし。利用者側の緊急対応は不要としています
• ロリポップ： 10月21日に予防メンテナンス、10月22日に完了報告
• エックスサーバー： 8.2〜8.5に修正適用済みで、公式サイトと管理画面を予防的に止めた、と「piyolog」というまとめサイトが伝えています。エックスサーバー自身の公式ページは確認できていません
• ConoHaなど、その他のサーバー会社：確認できていません

自分の契約先が上に載っていなければ、契約先の公式のお知らせを自分で見てください。

5. 納品先への連絡の考え方

連絡は、怖がらせるためではなく、納品先が判断できる材料を渡すためのものです。

連絡の文面をAIに下書きさせるなら、「事実」「確認できていないこと」「相手にお願いしたいこと」の3つに分けるよう頼むと、煽りの少ない文章になります。ただし、最後の確認は自分の目で行ってください。納品の流れ全体は、AIでチラシの受注を回す流れの記事や、AIで店のHPを作る手順の記事にもまとめています。

6. 更新できないときの判断（IPA・CISAの案内）

古いPHPの上でしか動かないサイトなど、更新できない場合の公式の案内です。

IPAは、製品の中でPHPが使われている場合は、利用者からは見えないので、まず製品の開発元の情報を確認すればよい、という趣旨も示しています。たとえば、買ってきたテーマやパッケージ製品を使っているなら、その提供元の案内を見るのが先です。

止めるかどうかは、納品先の売上にも関わる判断です。自分ひとりで決めず、納品先と話して決めるほうが、あとで揉めません。侵害の調査のやり方は専門的になるため、不安があれば、サーバー会社やセキュリティの専門の窓口に相談してください。

7. サイトを運営していない人は？

会社員や公務員など、サイトを運営していない人が自分でやることは、基本的にありません。対応するのは、サイトの運営者やサービスの提供者です。パスワードを変えるよう勧める公式の根拠は、CISA・JPCERT/CC・IPA・さくらインターネットのいずれにも、確認できませんでした。

一般論として、パスワードの使い回しを見直す、便乗が疑われるメールのリンクを開かない、といった注意はいつでも有効です。ただし、この件についての公的な注意喚起は、確認できていません。

8. 今回、確認できなかったもの

まとめ

AIでサイトを作るのが簡単になったぶん、作ったあとの面倒を見る力が、これからの差になっていくと感じています。派手なニュースの日こそ、自分の管理しているサイトを一覧にして、ひとつずつ確認する。地味ですが、いちばん確実です。

AIのモデルが変わっても困らない作り方は、使っていたAIが急に使えなくなったら？副業を“モデル依存”にしない分散術にまとめています。モデルの停止日はAIのAPI停止日カレンダーも見てください。

それでは、また別の記事で。

―― ユウト

出典（いずれも2026年10月23日閲覧）

公式・一次情報

• PHP公式 アドバイザリ一覧：https://www.php.net/archive/2026.php
• CISA「Critical Vulnerabilities in PHP Require Immediate Patching」：https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• JPCERT/CC JPCERT-AT-2026-0033：https://www.jpcert.or.jp/at/2026/at260033.html
• IPA 事前準備（10月21日）：https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
• IPA 注意喚起（10月22日）：https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
• さくらインターネット お知らせ（10月22日）：https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/
• ロリポップ お知らせ：https://lolipop.jp/info/

二次情報（調査会社・報道・まとめ）

• Tenable：https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
• watchTowr：https://watchtowr.com/intelligence/php-remote-code-execution-php2shell/
• Wiz：https://www.wiz.io/blog/php2shell-php-rce
• piyolog（エックスサーバーの対応について）：https://piyolog.hatenadiary.jp/entry/2026/10/21/174516
• 日本経済新聞（10月21日）：https://www.nikkei.com/article/DGXZQOUA21BHR0R21C26A0000000/

※本記事は、2026年10月23日時点で確認できた公式ページと、調査会社・報道の内容を整理した一般的な情報提供です。二次情報は出典を示して区別していますが、原文を確認できていないものがあります。状況は日々更新されるため、実際の対応の前に、必ずPHP公式、各機関、ご利用のサーバー会社の最新の案内をご確認ください。個別のサイトの安全性を保証するものではなく、セキュリティの判断は専門家にご相談ください。成果には個人差があります。