パッチが済んだのに、なぜ安心できない？三つのケース
レンタルサーバー各社がPHP2Shellの修正を終えても、安心できないケースが三つあります。修正前の侵入、自分で管理するサーバー、条件の限られた別の脆弱性。御社がどちら側かを見分ける方法をまとめます。
著者 Jeensuk Yang
PHPフリー · Webセキュリティ · リスク編 02
?こんな方におすすめです
- レンタルサーバー会社から「PHPの対応完了」のお知らせを受け取った方
- 「パッチが済んだのだから、もう終わり」と考えている方
- 自社が例外に当てはまらないか確かめたい方
!この記事でわかること
- パッチが守ってくれるもの、守れないもの
- 安心できない三つのケースと、それぞれのサイン
- 自社が「済んだ側」か「まだの側」かを見分ける方法
「対応完了」のメール、届きましたか？
前回の記事で、主なレンタルサーバー会社は10月21〜22日にPHPの修正を終えたとお伝えしました。多くの会社は、これで終わりです。
ただし、三つのケースに当てはまる会社には、まだやることが残っています。御社がどちら側なのか、ご自身で判断できるよう、一つずつ見ていきましょう。
パッチが済んだら、本当に全部終わりなのか？
ほとんどの場合は終わりです。たとえばエックスサーバーは、共用サーバーのPHP 5.6〜8.5に修正を適用し、「急いでPHPバージョンを変更いただく必要はございません」と案内しています。1
ただ、修正（パッチ）は家の鍵を新しいものに替えるのと同じです。鍵を替えても守れないものがあります。
- 替える前に、すでに入っていた人
- 鍵を自分で替えなければならない家（VPS）
- 別の扉にあいた、別の穴
新しい鍵は、すでに家の中にいる人や、作られてしまった合鍵には効きません。
ヤンのまとめ「対応完了」は、これからの攻撃を防いだという意味です。すでに起きたことと、自分で管理している部分は、別に確かめる必要があります。
ケース1：修正の前に、すでに入られていたら？
パッチを当てても、すでにあけられた侵入口は残ります。今回は修正版の公開前から、一部で攻撃の動きが観測されていました。Amazonのおとりサーバー（ハニーポット）は、公開の4日前の10月17日に攻撃の試みを記録しています。2
パッチはこれからの攻撃を防ぐだけで、すでに入ったものを追い出してはくれません。
JPCERT/CCは、侵害が疑われる場合は「関連するログなどの証拠を保全した上で」調査や隔離をするよう求めています。3 米TechTargetも、サーバーを再起動する前に10月20日以降の記録（ログ）を残すよう勧めています。4
また、この穴を使うとサーバーのメモリにあるパスワードやAPIキーが漏れるおそれがあります。5 そのため韓国の情報保護機関KISAは、異常がなさそうでも、データベースや管理者のパスワードを変えるよう勧めています。6
確かめておきたいサイン
- WordPressの管理者一覧に、見覚えのないユーザーが増えている
- アップロード用のフォルダなどに、見覚えのないPHPファイルが置かれている
ヤンのまとめパッチは泥棒を追い出してはくれません。痕跡の見方は、4本目の記事で順番にご説明します。
ケース2：サーバーを自分で管理しているなら？
VPSや自社サーバーは、サーバー会社がPHPを直してはくれません。レンタルサーバーの「共用サーバー」ならPHPはサーバー会社が管理しているので、今回は各社が一斉に直しました。
しかしエックスサーバーはVPSについて「弊社によるPHPの修正パッチの適用は行っておりません」とし1、さくらインターネットも「お客さまのVPS内でPHPが稼働している場合は最新版へのアップデートを推奨します」としています。9 つまりVPSで動いているサイトは、誰かが手を打たない限り、今も穴があいたままかもしれません。
VPSかどうか確かめたほうがよいサイン
- 契約名に「VPS」「クラウド」「専用サーバー」が入っている
- 制作会社が「サーバーもこちらで用意しました」と言っていた
- 毎月、サーバー会社ではなく制作会社の名前で「保守費」が請求されている
ヤンのまとめVPSなら、まず「誰がPHPを上げるのか」を決めることからです。このケースは3本目の記事で詳しく扱います。
ケース3：10月23日に公表された別の穴は？
10月21日の修正とは別の脆弱性ですが、当てはまるサイトはまれです。10月23日、PHPの開発チームはセッション処理にかかわる脆弱性（CVE-2026-115560）について公表しました。10月21日の修正には含まれず、次の定期リリースで直し、詳細もそのときに公開するとしています。10
問題になるのは、セッションの保存形式を設定ファイルとは別の形式に、実行中に切り替えるような珍しい作りのアプリだけです。10
なお、ロリポップ！は10月22日の報告で、すべてのバージョンのPHPでこの機能を無効にしたと明らかにしています。7 このケースはサイトを見るだけではわからないので、サーバーの設定を見られる人に聞く必要があります。
ヤンのまとめ今すぐ心配することではありません。ただ、大きな修正の直後にも関連する穴がまた見つかりうる、ということは覚えておいてください。
では、御社はどうすればよいのか？
まず三つのケースを一枚にまとめます。
| ケース | 何が残っているか | 誰が確かめるか |
|---|---|---|
| 1. 修正前の侵入 | 仕込まれた裏口、漏れたパスワード | 御社 ＋ サイトの管理者 |
| 2. 自分で管理するサーバー | 穴そのもの | サーバーを管理している人 |
| 3. 別の脆弱性 | まだ修正版のない別の穴（条件が限られる） | サーバーを管理している人（共用サーバーならサーバー会社） |
選べる道は三つあります。
3本目と4本目の記事に手順をすべて書きます。サーバーの設定を扱える人がいれば、この道で十分です。
「共用サーバーですか、VPSですか？」と「10月20日以降のログは残っていますか？」。答えが返ってこなければ、それ自体が答えです。
PHPがなくても運営できます。PHPがなければ、今回のような「基礎の穴」は生まれません。
ヤンのまとめ多くの中小企業にとって本当の問題は、今回の穴ではありません。次の穴が見つかったときに、また同じように慌ててしまうことだと私は考えています。
パッチのあとについてよくある質問
サーバー会社から「対応完了」のメールが来たら、やることはありませんか？
ほとんどの場合はありません。ただ、修正の前に侵入されていないかは別に確かめるのがおすすめです。管理者一覧とアップロード用のフォルダを一度見てみてください。
自社のサイトがVPSかどうかは、どうすればわかりますか？
契約書や請求書を見ればわかります。契約名に「VPS」「クラウド」「専用サーバー」があるか、制作会社がサーバーまで用意したならVPSの可能性があるので、制作会社に聞いてみてください。
CVE-2026-115560には今すぐ対応すべきですか？
ほとんどのサイトは当てはまりません。珍しい作りのアプリでだけ問題になります。気になるなら、サーバーの管理者に session.upload_progress.enabled=0 の設定が入っているか聞いてみてください。
SOURCES
- エックスサーバー お知らせ（2026年10月22日、10月23日時点の状況） xserver.ne.jp
- Help Net Security 「PHP2Shell: Critical PHP vulnerabilities patched, update now!」（2026年10月21日） helpnetsecurity.com
- JPCERT/CC 注意喚起 JPCERT-AT-2026-0033（2026年10月22日） jpcert.or.jp
- TechTarget 「PHP2Shell: 22M exposed servers at risk as emergency patches released」（2026年10月21日） techtarget.com
- Wiz Research 「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」（2026年10月21日） wiz.io
- KISA（韓国インターネット振興院）「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」（韓国語、2026年10月22日） boho.or.kr
- ロリポップ！ 「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」（2026年10月22日） lolipop.jp
- IPA 「2021年度中小企業における情報セキュリティ対策の実態調査報告書」プレス発表（2022年3月31日） ipa.go.jp
- さくらインターネット お知らせ（2026年10月22日、10月23日追記） sakura.ad.jp
- PHP Group 「Informational advisory: Session upload progress」（2026年10月23日） php.net
PHP2Shellをきっかけに、中小企業のホームページが知っておきたいリスクを5本にまとめます。
- PHP2Shellとは？中小企業のホームページに何が起きたのか
- パッチが済んだのに、なぜ安心できない？三つのケース（この記事）
- VPS・自社サーバーのPHPサイトは、なぜまだ危ないのか（準備中）
- パッチの前に侵入されていたら？攻撃の痕跡三つ（準備中）
- PHP 8.2のサポート終了（12月31日）までに決めておくこと（準備中）
ほかの記事はあたたかいデジタルのブログでご覧いただけます。
御社は「済んだ側」？それとも「まだの側」？
サイトのアドレスを入れるだけで、PHPを使っているか、サーバー会社の対応状況はどうかをすぐにお知らせします。当てはまらなければ「今は移行しなくて大丈夫です」とそのままお伝えします。
無料で30秒チェック結果をご覧になってご相談が必要なら あたたかいデジタルに問い合わせる
最終更新 2026年10月25日
