「PHPに重大な脆弱性」「今すぐ更新を」というニュースを見て、自分のパソコンも危ないのでは…と不安になっていませんか？
2026年10月21日、Webサイトを動かす仕組み「PHP（ピーエイチピー）」に、外部から勝手にプログラムを実行される深刻な脆弱性（セキュリティ上の弱点）が2件見つかり、修正版が公開されました。「PHP2Shell（ピーエイチピー・トゥ・シェル）」と呼ばれ、修正前から攻撃も確認されています。
この記事では、ふつうのWindowsパソコンを使っている方が影響を受けるのかどうかと、パソコン側で今日からできる対策5つを、できるだけやさしく解説します。
まず結論：ふつうのパソコンは直接の対象ではありません
PHPは、Webサイトを表示する「サーバー」という専用のコンピューターの中で動くものです。WordPressのブログや、会社・お店のホームページの多くがPHPで動いています。
一方、ふつうのWindowsパソコンには、最初からPHPは入っていません。ネットを見たり、メールやOfficeを使ったりしているだけなら、あなたのパソコンが今回の脆弱性で直接乗っ取られることはありません。
ただし、次の2つに当てはまる方は注意が必要です。1つ目は、ホームページ作りやプログラミングの勉強で「XAMPP（ザンプ）」などのソフトを入れたことがある方です。2つ目は、乗っ取られたWebサイトを見てしまったときの「間接的な被害」で、こちらはすべての方に関係します。
まずは対処法①②で「自分のパソコンにPHPが入っていないか」を確かめ、そのあと対処法③〜⑤で間接的な被害への備えをしておきましょう。
PHP2Shellとは？何が起きたのか
今回見つかったのは「CVE-2026-109618」と「CVE-2026-109619」という2つの脆弱性です。危険度を表す点数（CVSS）はどちらも10点満点中9.2で、非常に深刻とされています。
悪用されると、攻撃者がパスワードなどの認証なしに、インターネット越しにサーバーへ命令を送り込み、好きなプログラムを動かせるおそれがあります。サイトの書き換えや、保存されている情報の盗み出しにつながります。
海外の報道によると、Amazonのセキュリティチームは修正版が出る4日前の10月17日に、すでに攻撃の試みを観測していました。Cloudflareなども公開直後から攻撃を確認しています。
修正されたのは、PHP 8.5.12・8.4.27・8.3.36・8.2.35です。PHP 8.1以前は公式の修正版が出ないため、新しいバージョンへの移行が必要です。調査会社W3Techsによると、Webサイトのおよそ7割がPHPを使っており、影響はとても広い範囲に及びます。
対処法①インストールされているアプリにPHPがないか確かめる
まずは、パソコンにPHPを含むソフトが入っていないかを、設定画面で確認します。
1. タスクバーのスタートボタン（Windowsのマーク）をクリックします。
2. スタートメニューから「設定」を開きます。
3. 左のメニューから「アプリ」をクリックします。
4. 「インストールされているアプリ」をクリックします。
5. 上の検索欄に「XAMPP」「PHP」「Laragon」「Local」と1つずつ入力し、該当するアプリがないか確認します。
どれも見つからなければ、あなたのパソコンにPHPが入っている可能性はとても低いです。対処法③へ進んでください。何か見つかった場合は、使っていなければ「…」→「アンインストール」で削除するのがいちばん確実です。
対処法②コマンドでPHPの本体（php.exe）を探す
XAMPPなどは、インストールせずにフォルダーを置くだけで使える版もあり、対処法①の一覧に出てこないことがあります。念のため、コマンドでPHPの本体ファイルを探しておくと安心です。
1. スタートボタンを右クリックし、「ターミナル（管理者）」をクリックします。
2. 「このアプリがデバイスに変更を加えることを許可しますか？」と表示されたら「はい」をクリックします。
3. タブに「管理者: Windows PowerShell」と表示されていることを確認します。
4. 次のコマンドを入力（またはコピーして貼り付け）し、Enterキーを押します。Cドライブ全体を探すので、終わるまで数分かかることがあります。
where.exe /r C:\ php.exe「情報: 与えられたパターンのファイルが見つかりませんでした。」と表示されれば、PHPは入っていません。「C:\xampp\php\php.exe」のように場所が表示された場合は、PHPが入っています。
5. 見つかった場合は、バージョンを確認します。XAMPPを標準の場所に入れている場合は、次のコマンドを入力（またはコピーして貼り付け）し、Enterキーを押します（場所が違う場合は、表示された場所に読み替えてください）。
C:\xampp\php\php.exe -v最初の行に「PHP 8.2.35」のようにバージョンが表示されます。修正版（8.5.12・8.4.27・8.3.36・8.2.35）より古い場合は、次のどれかで対応してください。
使っていない場合は、ソフトごとアンインストールするか、フォルダーを削除します。今後も使う場合は、配布元の新しい版に入れ替えます。すぐに入れ替えられない場合は、XAMPPのコントロールパネルで「Apache」の「Stop」を押し、使うときだけ起動するようにしましょう。PHPはWebサーバー（Apache）が動いているときに攻撃の入り口になるため、止めておけば外から狙われる心配が大きく減ります。
対処法③ブラウザとWindowsを最新の状態にする
ここからは、すべての方に関係する「間接的な被害」への備えです。PHP2Shellで乗っ取られたWebサイトは、見に来た人のパソコンにウイルスを送り込む「踏み台」に使われることがあります。その多くはブラウザーやWindowsの古い弱点を狙うため、最新の状態にしておくことが最大の防御になります。
1. スタートメニューから「設定」を開き、左のメニューから「Windows Update」をクリックします。
2. 「更新プログラムのチェック」をクリックし、表示された更新をすべて入れて再起動します。
3. ChromeやEdgeは、右上の「︙」または「…」→「ヘルプ」→「Google Chrome について」（Edgeは「Microsoft Edge について」）を開くと、自動で最新版に更新されます。
Chromeの最新版で何が直ったかは、Chrome 156のセキュリティ更新の記事で解説しています。
対処法④偽の警告や「コマンドを貼り付けて」に従わない
乗っ取られたサイトでよく使われるのが、「ウイルスに感染しました」という偽の警告画面や、「ロボットでないことを確認するため、このコマンドを貼り付けてください」と指示する偽の認証画面です。
PHP2Shellの被害を受けたのが、ふだん見ている普通のサイトということもあり得ます。いつものサイトでも、突然こうした画面が出たら、指示には従わずにタブを閉じてください。特に、Windowsキー＋Rを押してから貼り付けるよう指示する画面は、まず間違いなく詐欺です。
見分け方と閉じ方は、偽の認証画面「ClickFix」の見分け方と偽の「ウイルスが検出されました」の消し方で詳しく解説しています。
また、Windowsに標準で入っている「Microsoft Defender」と「SmartScreen」（危ないサイトやファイルを止める機能）は、オフにせずそのまま使ってください。
対処法⑤パスワードの使い回しをやめ、パスキーに切り替える
サーバーが乗っ取られると、そのサイトに登録していたメールアドレスやパスワードが盗まれることがあります。同じパスワードをほかのサイトでも使っていると、盗まれたパスワードで別のサービスにもログインされてしまいます。
大事なサービス（メール、ネットバンキング、ネット通販、Microsoftアカウントなど）だけでも、それぞれ別のパスワードに変えておきましょう。さらに安全なのが、パスワードの代わりに顔認証や指紋・PINでログインする「パスキー」です。パスキーはサイト側に盗まれて困る情報が残らないため、今回のようなサーバー側の事件にも強い仕組みです。
📖 パスキーをまだ使っていない方へ：Windows 11での設定方法と保存先の選び方を、初心者向けにまとめています。→ Windows11でパスキーを設定する方法
ブログやホームページを持っている方へ：サーバーのPHPが対策済みか確かめる方法
自分でブログやホームページを運営している方は、パソコンではなくサーバー側の確認が必要です。WordPressは、本体やプラグインを更新しても今回の脆弱性は直りません。PHPそのものに修正が入っているかを、次の手順で確かめましょう。
1. WordPressの管理画面にログインし、左のメニューから「ツール」→「サイトヘルス」を開いて、上の「情報」タブをクリックします。
2. 一覧の「サーバー」をクリックして開き、「PHP バージョン」の番号を確認します。
3. 番号が修正版（8.5.12・8.4.27・8.3.36・8.2.35）以上なら対策済みです。PHP 8.1以前の番号が表示された場合は、レンタルサーバーの管理画面で8.2以降に切り替えてください。
4. 番号が修正版より前のままでも、すぐに危ないとは限りません。レンタルサーバー会社によっては、PHPのバージョンを上げずに修正部分だけを取り込む方法で対策していて、その場合はサイトヘルスに以前と同じ番号が表示されます。レンタルサーバーの管理画面やホームページの「お知らせ」で、今回のPHPの脆弱性への対応が完了しているかを確認しましょう。
たとえばConoHa WINGは、2026年10月22日に「提供中のすべてのPHPバージョンにセキュリティパッチを適用した」と告知しています。この場合、サイトヘルスに「8.3.35」のように修正版より前の番号が表示されていても、対策は済んでいます。
5. お知らせが見つからない、または対応予定しか書かれていない場合は、サーバー会社に「10月21日に公開されたPHPの脆弱性（CVE-2026-109618・CVE-2026-109619）への対応は済んでいますか」と問い合わせると確実です。
まとめ
PHP2Shellは、Webサイトを動かすサーバー側の脆弱性です。ふつうのWindowsパソコンにはPHPが入っていないため、あなたのパソコンが直接乗っ取られる心配はほとんどありません。
念のため、対処法①②でXAMPPなどPHPが入っていないかを確認し、見つかったら削除するか、修正版に入れ替えてください。そのうえで、乗っ取られたサイトからの間接的な被害に備えて、対処法③のWindows・ブラウザーの更新、対処法④の偽画面に従わないこと、対処法⑤のパスワード対策をしておけば安心です。
もし偽の画面の指示に従ってしまった、見覚えのないログイン通知が届いたなどの場合は、すぐにパスワードを変更し、Microsoft Defenderでフルスキャンを実行してください。
📖 関連記事：Microsoftアカウントのトラブル対処法まとめ ／ Chromeの拡張機能の安全な選び方 ／ Amazonを名乗る偽メール・偽SMSの見分け方
よくある質問
PHP2Shellで自分のパソコンが乗っ取られることはありますか？
ふつうのWindowsパソコンにはPHPが入っていないため、ネットやメール、Officeを使っているだけなら直接乗っ取られる心配はほとんどありません。ただし、乗っ取られたWebサイトを見たときの間接的な被害には注意が必要です。
自分のパソコンにPHPが入っているか確かめるにはどうすればいいですか？
設定の「アプリ」→「インストールされているアプリ」で「XAMPP」「PHP」などを検索します。念のため、ターミナルでCドライブ全体からPHPの本体ファイルを探すと、フォルダーを置くだけの版も見つけられます。
XAMPPが入っていた場合はどうすればいいですか？
使っていなければアンインストールするのがいちばん確実です。使う場合は修正版（8.5.12・8.4.27・8.3.36・8.2.35）を含む新しい版に入れ替え、すぐに入れ替えられないときはコントロールパネルでApacheを止めておきましょう。
ブログを運営している場合、WordPressを更新すれば大丈夫ですか？
WordPress本体やプラグインの更新では今回の脆弱性は直りません。PHPそのものを修正版にする必要があります。レンタルサーバーの管理画面でPHPのバージョンを確認し、不明ならサーバー会社に対応状況を問い合わせてください。
コメント