2026年10月21日、PHP の開発チームが、PHP に2件の重大な脆弱性があると発表し、修正版を公開しました。ログインしていない外部の人が、細工したリクエストを1回送るだけで、サーバー上でプログラムを動かせるおそれがあるものです。海外の報道では「PHP2Shell」と呼ばれています。

PHP は、WordPress をはじめ多くの会社のホームページや、メルマガの配信システムを動かしているプログラミング言語です。この記事では、メルマガを出している会社が今日やるべきことを整理します。

PHP2Shell（CVE-2026-109618・CVE-2026-109619）とは

PHP の公式発表によると、内容は次のとおりです。

項目 内容
脆弱性 CVE-2026-109618（メモリ不足の処理での不具合）と CVE-2026-109619（解放したはずの内部の状態が残る不具合）の2件
深刻度 どちらも CVSS v4.0 で 9.2（緊急）
起きうること 認証なしで、Web サーバーの権限でプログラムを動かされる（リモートコード実行）
影響を受けるもの Web のリクエストを処理しているすべての PHP。特に Apache の mod_php が最も危険とされる
修正版 PHP 8.5.12、8.4.27、8.3.36、8.2.35（10月21日公開）
古い版 PHP 8.1 以前は公式のサポートが終わっている。7.4・8.0・8.1 向けには最小限の修正も公開された

PHP の発表は、更新することだけが完全な対策で、設定の変更は危険を減らすだけだとしています。

報道によると、公表の前から攻撃の試みが見つかっていて、攻撃のためのプログラムも出回っています。

PHP2Shell がメルマガに与える影響

メルマガを出している会社にとって、危険は2つあります。

1. 自社サイトが乗っ取られる

WordPress などの自社サイトが乗っ取られると、お知らせやブログに、偽の告知や危険なサイトへのリンクを仕込まれるおそれがあります。

その記事をもとにメルマガを作って送ると、自社のメルマガが、読者を危険なサイトへ案内してしまうことになります。読者からの信用を失うだけでなく、迷惑メールとして報告されて、その後のメルマガが届きにくくなります。

2. 配信システムが乗っ取られる

PHP で動くメルマガの配信システムや、WordPress のメルマガ用プラグインを自社のサーバーで使っている場合は、次のおそれがあります。

  • 購読者のメールアドレスや名前の一覧を盗まれる
  • 自社のサーバーから、迷惑メールや詐欺メールを大量に送られる（踏み台にされる）
  • その結果、自社のドメインの評判が下がり、正規のメルマガまで届かなくなる

WordPress のメルマガ・配信プラグインを使っている場合

WordPress そのものも、メルマガのプラグインも、PHP の上で動いています。WordPress やプラグインを最新にしても、PHP 本体が古いままでは今回の脆弱性はふさがりません。PHP の版は、サーバーの管理画面か、レンタルサーバーの会社のお知らせで確かめてください。

今日やることチェックリスト

やること 確かめ方
PHP の版を確かめる サーバーの管理画面、またはレンタルサーバー会社のお知らせで、上の修正版になっているか確認する。なっていなければ、サーバー会社に問い合わせるか、管理者に更新を頼む
すぐ更新できないとき PHP の発表にある一時的な設定（危険を減らすだけ）を管理者と相談する。英国の NCSC は、すぐ直せないシステムはいったん止めることをすすめている
WordPress とプラグインを最新にする 今回の脆弱性とは別に、乗っ取りの入口を減らすため
サイトの記事を見直す 最近、心当たりのない記事や、知らないリンクが増えていないか
メルマガの送信数を見る 送った覚えのない配信や、送信数の急な増加がないか
迷惑メール報告と不達を見る 急に増えていたら、乗っ取りや踏み台を疑う
DMARC のレポートを見る 自社のドメインを名乗るメールが、知らないサーバーから送られていないか

購読者のリストが漏れたら（個人情報保護法）

購読者のメールアドレスや名前は、個人情報保護法の「個人データ」です。不正アクセスなど、不正の目的で行われたおそれがある漏えいは、件数が1件でも、個人情報保護委員会への報告と、本人への通知が必要です（個人情報保護法第26条、施行規則第7条第3号）。漏えいの「おそれ」がある段階でも対象になります。

報告 期限
速報 知ってから速やかに（おおむね3〜5日以内）
確報 不正の目的によるおそれがある場合は60日以内（それ以外は30日以内）

詳しくは、個人情報保護委員会の「漏えい等の対応とお役立ち資料」で確かめてください。

配信の仕組みを自社で持たないという選択

メルマガの配信システムを自社のサーバーで動かしていると、今回のような脆弱性への対応も自社の仕事になります。クラウドの配信サービスを使えば、配信サーバーの更新は提供する会社の責任になります。

書かないメルマガは PHP を使っていないため、今回の脆弱性の影響は受けません。ただし、メルマガの材料になる自社サイトの安全は、サイトを運営する会社の責任です。自社サイトの PHP の版は、あわせて確かめてください。

出典