なぜ一夜で200以上のサイトが止まったのか｜WordPress更新では直らない「PHP2Shell」の正体

2026年10月21日の夜、国家サイバー統括室や首相のアカウントまでが緊急の呼びかけを行い、国内で200以上のサービスが一斉に予防停止した PHP の重大な脆弱性「PHP2Shell」（CVE-2026-109618・CVE-2026-109619）。 インターネットから完全に切り離した手元の隔離ラボ環境（PHP 8.4.26）で、サーバーの裏側で実際に何が起きるのかを動かし、なぜ WordPress の更新では直らず PHP 本体の更新が必須なのかを解説します（※悪用防止のため、攻撃コード断片やパスはモザイク・非表示処理しています）。 00:00 ログイン画面を通らずサーバー権限が見える理由 00:51 第1章：8月の報告から10月20日の修正前漏えいまで 01:31 21時44分の呼びかけと国内211組織の予防停止 02:35 第2章：【実機検証 Step 1】session_start() なしで状態が作られる 03:30 【実機検証 Step 2〜4】専用コンソールで見る連鎖と mod_php の危険性 04:15 【実機検証 Step 5】設定変更で止まる経路と、公式が警告する限界 04:43 【実機検証 Step 6〜7】リクエスト解析中のメモリ枯渇でワーカーが落ちる 05:24 第3章：2つの危険な勘違い（WordPress更新で安心／古いPHPは対象外） 06:15 確認すべき修正版バージョンと、現場がサイトを止めた判断の意味 試した環境: 隔離ローカル環境（AgentVM `192.168.240.10`、PHP 8.4.26-fpm、インターネット非接続、2026年10月22日検証）。 自分のサイトやブログをお持ちの方は、WordPress の管理画面ではなく、レンタルサーバー等の管理画面で PHP のバージョン（修正版: 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以上）を確かめてください。 この動画の台本は、セキュリティ会社で脆弱性診断やインシデント対応をしている現役のホワイトハッカーが書いています。読み上げは合成音声です。 ■出典 ・PHP 公式 News Archive 2026（2026-10-21 セキュリティリリース） https://www.php.net/archive/2026.php#... ・GitHub php-src 公式アドバイザリ GHSA-w8hw-w9fx-j79w（CVE-2026-109618） https://github.com/php/php-src/securi... ・GitHub php-src 公式アドバイザリ GHSA-6wmf-4rv5-p3rp（CVE-2026-109619） https://github.com/php/php-src/securi... ・国家サイバー統括室 X（2026-10-21 13:01 / 21:44 JST） https://x.com/cyber_forecast/status/2... / https://x.com/cyber_forecast/status/2... ・高市早苗 X（2026-10-21 21:55 JST） https://x.com/takaichi_sanae/status/2... ・IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」 https://www.ipa.go.jp/security/securi... ・英国 NCSC「Critical security issue affecting PHP」 https://www.ncsc.gov.uk/news/critical... ・Sansec「PHP2Shell: Critical PHP RCE」 https://sansec.io/research/php2shell ・Patchstack「Major security alert: PHP vulnerable to critical RCE」 https://patchstack.com/articles/php-m... ・Huntress「Rapid Response: php2shell」 https://www.huntress.com/blog/php2she... ・piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」 https://piyolog.hatenadiary.jp/entry/... ■クレジット VOICEVOX:青山龍星 BGM：自作