PHP2Shell騒動の経緯｜脆弱性情報の流出・国内外の反応・各社対応

2026年10月21日、PHPに認証なしのリモートコード実行につながる重大な脆弱性2件が公表され、国内外でサイトの予防停止、PHPの緊急更新、WAFルールの配布が相次ぎました。通称は「PHP2Shell」。対象はCVE-2026-109618とCVE-2026-109619です。

今回の騒動は、脆弱性そのものに加えて、解禁前の情報流出、研究者の実演動画の誤公開、修正版コンテナの先行公開、AIによる発見、各サービスの一斉メンテナンスが重なったものです。この記事では公表された資料を突き合わせ、出来事の順番と各社が対応した範囲を整理します。

まず運営者が確認するのは、自分のWeb処理で使われるPHPに修正が入ったかです。WAFの保護、管理画面の再開、WordPressの更新だけではPHP本体の修正を確認できません。PHP公式の注意喚起

初回調査：2026年10月22日。国内各社の追加確認：2026年10月23日。時刻は特記がない限り日本時間です。国内の企業・公的機関・メディアと、海外の主要機関・クラウド・AI・セキュリティ企業の公表情報を対象にしています。発表は更新・削除されるため、国内外すべての公開情報の完全な列挙を保証するものではありません。未確認の発表や取得できなかった投稿は、その旨を記載します。

各社の発表は確認時点の内容で、すべての利用環境での修正適用や侵害の有無を保証するものではありません。

PHP2Shellの対象と修正版

2件は、PHPがWebリクエストを処理するときのメモリーの扱いに関わります。PHP公式はWebリクエストを処理するすべてのPHP構成を更新対象とし、とくにApacheのmod_phpを高リスクとしています。両方とも公式の深刻度はCVSS v4.0で9.2、Criticalです。先行情報にあった「10.0」は公式の評価値ではありません。確認日：2026年10月22日。PHP公式、CERT-EU

「認証不要」は、管理画面へログインする前でも攻撃経路が成立し得るという意味です。一方、すべてのPHP構成で同じ攻撃が成功したという意味ではありません。Califの調査とWizの調査は、成立を確認した構成・経路をそれぞれ示しています。PHP-FPMも更新対象なので、mod_phpを使っていないことだけで対象外と判断しないでください。

8.1以前はPHPプロジェクトの通常サポートが終了しています。ただし今回、7.4・8.0・8.1には配布者向けの最小限のソース修正が提供されました。OSやレンタルサーバーの配布元が、表示上のPHPバージョンを保ったまま修正を取り込む場合もあります。数字の大小だけで判断せず、配布元の両CVEへの対応告知とパッケージの更新履歴を確認します。 PHP公式、CloudLinuxの更新情報

発見から緊急公開までの時系列

大きな転機は、研究者間の非公開調整から、一般の管理者が更新を急ぐ段階に移ったことです。最初の情報流出と、攻撃試行の始まりは同じ日ではありません。AWSは後日の分析で10月17日から試行があったと報告しています。確認日：2026年10月22日。

公開の分単位の記録は資料に差があります。ENISAは13:40 UTC、CERT-EUは13:30 UTCを記載しています。本記事では予定と実績を分け、「21日23時予定、実際の公開は22時台」としています。

「お漏らし」は三つの出来事に分けて読む

最初に出回ったCVE番号、攻撃を見せる動画、修正箇所の推測につながるビルド済みイメージでは、公開された情報の性質が違います。まとめて一つの流出として扱うと、誰のどの判断が問題になったのか分からなくなります。確認日：2026年10月22日。

初期のHacker News投稿については、投稿者petecooperが公開の謝罪・説明を出しています。本人は、エンバーゴがあると知らず、連絡元からもないと伝えられたと説明しています。これは本人の説明であり、非公開の連絡経路を独立に確認したものではありません。

PHP Foundationは、Califの動画について誤公開だったと説明し、Chainguardの先行公開については調整を損なったと批判しました。同時に、以前から認識していた構造的な問題への対応が遅れた点を振り返り、人員と資金の不足にも言及しています。PHP Foundationの公式説明

ChainguardのDan Lorenc CEOは、攻撃の報告を受け、研究者と協議したうえで利用者を守るために公開を早めたと説明しています。これに対しPHP側のNils Adermannは、共有されていたのは攻撃の試行で、侵害成功の確認ではなく、PHPチームとの調整もなかったと反論しています。両者の発言はCEOの投稿とコメント欄で確認できます。The Registerの直接取材も双方の立場を報じています。

論点は、すでに攻撃が始まったときに早く修正を配る利益と、まだ修正を配れない他の環境へ攻撃の手がかりを与える不利益を、誰がどう判断するかです。AWSの10月17日の試行観測は重要な事実ですが、Chainguardが当時何を把握していたかや、初期情報を誰が漏らしたかまで証明するものではありません。

攻撃試行・侵害成功・予防停止は同じ意味ではない

今回のニュースを読むうえで、もっとも間違えやすいのは、サイトの停止をそのまま被害発生と読むことです。企業が安全確認のため停止した事実から、侵入や情報流出があったとはいえません。確認日：2026年10月22日。

AWSのMadPot報告は、10月17日からの悪用試行を示す一方、実際のシステムで成功したかは不明としています。Cloudflareも攻撃通信を観測しています。企業ごとに観測網と時点が違うため、「こちらでは観測していない」と「別の会社が観測した」は両立します。

パッチを適用した後も、過去の侵害がなかったことまで保証されるわけではありません。事業者の「被害未確認」も、その発表時点と調査範囲に限られます。

日本政府と国内セキュリティ機関の発表

国内では、修正版が出る前から準備の呼びかけがあり、公開翌日には対策と侵害調査の案内が出ています。首相の発信は事業者に対応を促すもので、すべてのサイトへ一律の停止を命じたものではありません。確認日：2026年10月22日。

首相と国家サイバー統括室のX投稿は、Impress Watchの記事と埋め込みでも確認できます。本調査ではX原文の直接取得に制限があり、媒体で確認できた内容と元投稿リンクを対応させています。

国内ホスティング各社の修正と再開状況

レンタルサーバー会社が直す共用PHPと、利用者が管理するVPS内のPHPでは、更新の担当が異なります。管理画面が再開したことと、顧客サイトの全PHPが修正されたことも別です。以下の資料確認日：2026年10月22日・2026年10月23日。完了・一部再開・対応予定は各行に記載します。

GMOペパボ・GMOインターネットなど

ロリポップ！の対応

ロリポップ！は予防措置と完了の告知と対応経緯の詳報を公開しています。公式本文には取得制限があるため、詳細は二次資料による確認です。Webセキュリティ診断センターとRAMの対応記録は、公式報告を参照し、22日13時頃に利用者サイトを再開、PHP8.2〜8.5は公式更新、7.4〜8.1はバックポート、5.3〜7.3は独自修正を適用したと紹介しています。修正後のフォーム等の動作確認も案内されています。二次資料が示す16:57の全メンテナンス完了と、利用者サイトの再開時刻は区別しています。

その他の共用サーバー・マネージドホスティング

さくらインターネットの全社発表は、会員機能等の予防停止と、PHPを使わないVPS提供基盤の非該当も説明しています。VPS内の顧客管理PHPまで修正済みという意味ではありません。さくらのクラウドのデータベースアプライアンスには、Web UI等の機能停止について別の発表があります。

WADAX公式FAQにもPHP2Shellの注意喚起が掲出されています。検索表示での確認で、個別記事の本文や修正適用の完了範囲は確認できていません。

国内サービスの停止・復旧・影響の公式発表

国内サービスの発表を、停止・修正・再開と影響なしの説明に分けて読めるようにしました。停止したサービスを、攻撃や情報漏えいが発生した企業と同一視することはできません。資料確認日：2026年10月22日・2026年10月23日。PHPを名指ししていない公式告知は、PHP対応として報じた媒体へのリンクも付けて区別しています。

pixiv・BOOTH・EC・業務サービス

製品本体・企業サイトごとの影響確認

そのほかの公式対応

そのほかの企業・会員サービスの続報

その他のフォーム・チケット・ポイントサービス

ゲーム・配信・メディア・アーティストサイトの対応

ゲームの本体、アカウント管理、公式情報サイト、ファンクラブは別々に停止・再開する場合があります。以下は公式の告知本文または公式サイトの検索表示を確認した発表です。資料確認日：2026年10月22日・2026年10月23日。検索表示だけのものや、公式がPHPを名指ししていないものは行内に記載しています。

金融・交通・一般企業のPHP対応発表

企業サイト、会員機能、アプリの一部、予約や決済の本体はそれぞれ影響範囲が異なります。公式にPHPとの関係を公表した発表を以下にまとめます。資料確認日：2026年10月22日・2026年10月23日。検索表示での確認にとどまる発表は、行内に明記します。

CMS・制作保守会社・大学などの追加発表

CMSやプラグインの更新と、実行環境のPHP更新を区別します。クラウド版とソフトウェア版、保守契約内と契約外でも対応の担当が変わります。資料確認日：2026年10月22日・2026年10月23日。「公式サイトの検索表示で確認」とした発表は、本文全体を直接取得できていません。

CMS・ECソフトの提供元

アルファサードの復旧までの続報

制作・保守会社と更新支援の発表

そのほかの制作保守・業務サービス・大学の発表

セキュリティ製品・業界団体

クラウド・CDN・WAF各社の対応比較

同じ「対策提供」でも、自動適用、手動有効化、今後の展開予定では利用者の作業が違います。各社のWAFは攻撃を減らす補完策で、PHPの修正を置き換えるものではありません。確認日：2026年10月22日。

Oracle Cloud、IBM Cloud、Huawei Cloud、DigitalOcean、OVHcloud、Hetznerについては、今回の2件に対する専用の全社的対応声明を本調査では確認できていません。「発表未確認」は「影響なし」「未対応」の意味ではありません。顧客が管理するPHP、委託先の運用、製品別通知はそれぞれ確認が必要です。

AI各社は何に関わったのか

AIが脆弱性の発見や修正の検証に使われたことと、そのAIサービス自身にPHPの脆弱性があったことは別です。修正の採用とPHPのリリースを担ったのはPHPのメンテナーです。確認日：2026年10月22日。

OpenAIの「攻撃者より先にAIが見つけた」という説明は、同社が把握する範囲のものです。その後に明らかになったAWSの10月17日の試行観測と照らしても、最初の発見や非公開での悪用の全体像まで確定するものではありません。

OS配布元・管理パネル・セキュリティ製品の対応

PHPはWebサイトだけでなく、管理パネルやネットワーク製品にも含まれます。サーバーのPHPパッケージを更新したつもりでも、製品内蔵の別のPHPが残る場合があるため、製品単位で確認します。確認日：2026年10月22日。

海外の政府・公的機関と代表的な報道

欧州・米国・英国などは、PHPの棚卸しと迅速な更新、間に合わない場合の隔離を呼びかけました。日本でだけ停止が起きたわけではありません。一方、国別の停止件数や被害率を同じ基準で測った資料は本調査にはなく、「日本だけ過剰反応だった」「海外は何もしなかった」とは判断できません。確認日：2026年10月22日。

海外報道では、Reutersが修正版の公開、APがAIによる発見と各国の対応、BleepingComputerが事前流出と緊急公開を報道しています。The RegisterはChainguardとの論争、WIREDは公表前の攻撃観測、Indian Expressは世界の停止の背景を解説しています。

Xで広がった話題と元投稿

Xでは、対応を急ぐ事業者への労い、先行公開への批判、首相の呼びかけなどが話題になりました。以下は確認できた例で、X全体や日本・海外の多数派を測ったものではありません。確認日：2026年10月22日。

個別X投稿も直接取得できないものがあり、Impress、HN、公開投稿の引用索引などで本文・元URLを照合しています。索引が削除や追記を直ちに反映する保証はありません。技術的な判断はPHPや各社の公式発表を優先します。

国内メディアの記事一覧

国内報道も、公開前の予告、サービス停止、修正版公開、復旧・一般利用者向け解説で焦点が変わっています。確認できた記事を以下にまとめます。同一配信の転載先を大量に重ねることは避けています。確認日：2026年10月22日。

地方版、有料記事、更新された同一記事、公式Xのみの告知などは取りこぼす可能性があります。ここにない媒体や企業について、発表が存在しないと断定しているものではありません。

運営形態ごとに必要な確認を分ける

共用サーバーなら配布元の修正適用を確認し、自己管理のVPSやコンテナなら自分のPHPを更新します。WAFを有効にするだけで確認を終えないことが、今回の各社発表を比べて分かる共通点です。確認日：2026年10月22日。

更新をすぐ適用できない場合は、PHP公式の緩和策とIPAの案内を読み、自分の構成で成立する対策かを確認します。PHPのメモリー上限やアップロード進捗の設定変更には、経路ごとの制限と可用性への影響があります。設定一つをすべての環境の完全対策として扱わないでください。

JPCERT/CCは、異常なPHPSESSID、multipartリクエストとメモリーエラー・HTTP 500の組み合わせ、ワーカーの異常終了などを調べる観点を示しています。攻撃経路は複数で、ログに痕跡がない場合もあります。修正適用と、過去に何が起きたかの調査は両方必要です。