PHPの脆弱性 php2shell は、
WordPress の更新では直りません

php2shell は、PHP 本体（PHP のプログラムを実行するランタイム）のメモリの扱いに関する不具合の総称です。2件の CVE が割り当てられています。

• CVE-2026-109618：メモリが不足して処理が止まったとき、準備が終わっていない内部データを、後片付けの処理が正しいデータとして扱ってしまう不具合です。
• CVE-2026-109619：致命的なエラーでリクエストが中断されたとき、解放済みのメモリへの参照が残り、同じプロセスが次に処理するリクエストがその参照をたどってしまう不具合です。

どちらも、細工した HTTP リクエストを送るだけで発生させられます。影響は、サービスの停止（DoS）、メモリ内容の漏えい、そして最も深刻な認証不要のリモートコード実行（RCE）です。研究者により、WordPress・Drupal・Joomla の上でコードを実行できることが実証されています。

重要なのは、これがアプリケーションではなく PHP 本体の不具合だという点です。WordPress 本体、プラグイン、テーマをいくら最新にしても、その下で動いている PHP が古いままなら、この脆弱性は残ります。

サーバーにログインできる場合は、php -v で使っている版を確認できます。Webサーバーが使う PHP とコマンドラインの PHP が別の版になっていることもあるため、管理画面やサーバーの設定もあわせて確認してください。

レンタルサーバーの場合は、事業者のお知らせで修正状況を確認してください。サイトごとに PHP の版を選べるサービスでは、修正版の入った系列を選び直す必要があることがあります。

Linux ディストリビューションが配布する PHP は、版番号を上げずに修正だけを取り込む（バックポート）ことがあります。その場合は版番号ではなく、配布元のセキュリティ情報で CVE-2026-109618／109619 の修正状況を確認してください。

サイトドックのエッジ防御は、Cloudflare の上に実装しています。php2shell 向けの遮断ルールは Cloudflare が作成し、2026年10月21日 12時02分（日本時間）、脆弱性の公表の約9時間前に配信を始めました。

サイトドックは、既知の攻撃パターンに対する Cloudflare の管理ルールを「遮断」の設定で適用し、配信元の新しいルールを自動で取り込む構成で運用しています。そのため、php2shell 向けの7本の遮断ルールも、当社の追加作業を待たずに、公表前から加入サイトで有効になっていました。実際に、当社の収容環境でも、これらのルールによる攻撃リクエストの遮断を確認しています。

ただし、前の節のとおり、エッジでの遮断は一時的な防波堤です。サイトドックは次の役割を担い、根本対策である PHP の更新につなげます。

• 遮断ルールを「遮断」のまま維持する設定管理（誤遮断の調整でも、php2shell 向けのルールは記録だけの設定に落としません）
• サーバーに直接届くアクセスを絞るオリジン保護（プロプランの全ポート非公開）
• 毎月の定期診断で、PHP などの使用技術がヘッダから外に見えていないかの確認と、証跡レポートでの報告

なお、サイトドックの定期診断は、php2shell そのものを検出する検査を行っていません。メモリを壊すタイプの脆弱性は、本番のサイトで安全に試す方法がないためです。PHP の版の確認は、サーバーの管理者にお願いしています。