話題のPHPの脆弱性「PHP2Shell」とは｜このサイトはPHPを使っていません（朝霞市のLINEは10月23日に再開）
書いている人：わたなべ竜二（朝霞市議・2児の父）難病の息子と、政治を志した理由 →間違えたら直して公開しています
結論：このサイト（ryu2-w.jp）は、PHPを使っていません。 今回のPHPの脆弱性の影響は受けません。安心してご覧ください。
10月21日に、ウェブサイトを動かす仕組みとして広く使われている「PHP」に、重大な脆弱性（セキュリティ上の弱点）が2つ公表されました。海外では「PHP2Shell」と呼ばれ、ニュースでも大きく取り上げられています。朝霞市でも、市のLINE公式アカウントが予防のために一部のサービスを止めました（10月23日に再開）。
このサイトを見ていただいている方から心配の声をいただく前に、何が起きているのかと、このサイトの状況をお伝えします。
このサイトは影響を受けません
このサイトは、PHPではなく Nuxt（JavaScript） という別の仕組みで動いています。サーバーの設定も確かめ、ryu2-w.jp でPHPが動く経路が無いことを確認しました。
そのうえで念のため、運営に使っているサーバーについても、10月23日に次のことを済ませました。
- サーバーに入っているPHPを、脆弱性を直した版に更新
- PHPの公式が勧める追加の防御設定を有効に
- 作業の前に、侵入された痕跡が無いことを確認
- 今後はPHPの修正版が自動で入るように設定
「PHP2Shell」とは
PHPを開発している団体（The PHP Group）が10月21日に公表した、2つの脆弱性（CVE-2026-109618・CVE-2026-109619）です。
- 深刻度：どちらも CVSS v4.0 で 9.2（「緊急」にあたる重さ）
- 何が起きうるか：ログインなどをしなくても、外からの細工した通信だけで、サーバー上でプログラムを勝手に動かされるおそれがある（遠隔からのコード実行）
- 対象：ウェブの通信を受けるPHP全般。WordPressなどの個々のソフトではなく、PHPそのものの問題です
- 直った版：PHP 8.5.12、8.4.27、8.3.36、8.2.35（10月21日公開）。8.1以前の古い版にはPHP公式の修正が出ないため、配布元の修正の有無を確かめるか、新しい版へ移る必要があります
- PHP公式の見解：設定変更などの回避策では完全には防げず、更新することが唯一の安全な方法としています
悪用の状況は、10月21日の時点で、カナダのサイバーセキュリティセンターが「攻撃の手順の見本は公開されているが、実際の悪用は確認されていない」としています。海外の一部の企業は悪用を観測したと報告していて、情報は分かれています。
日本では、情報処理推進機構（IPA）が10月21日に事前の注意喚起を出し、22日に正式な注意喚起ページへの案内を追加しています。
朝霞市LINE公式アカウントの一時停止と再開
朝霞市によると、市LINE公式アカウントは、サービスを提供する会社のシステムで使われているPHPに重大な脆弱性が見つかったことを受け、登録者の情報とサービスの安全を守るための予防的な措置として、一部のサービスを止めていました。
止まっていたのは、ごみ出しの定期配信、チャットボット、キーワード応答、施設検索、デジタル会員証などです。市は 10月23日に「安全性が確保されたため、停止していたサービスを再開した」 と発表しています。ごみ出しの通知などは、また使えるようになっています。
私たちにできること
PHPはウェブサイトの側（サーバー）で動く仕組みなので、スマートフォンやパソコンを使う私たちが、PHPの更新をする必要はありません。 ただ、こうしたニュースが出たときは、それに便乗した不審なメールやSMSが増えがちです。
- 「至急」「アカウントが停止」などと急がせるメールやSMSのリンクは開かない
- お知らせは、公式のホームページやアプリから自分で開いて確かめる
- スマートフォンやパソコンは、最新の状態に更新しておく
ご自身でホームページを持っているお店や団体の方へ。 WordPressなどでホームページを作っている場合、多くはPHPで動いています。契約しているレンタルサーバー会社や制作会社のお知らせを確かめ、PHPが直った版になっているかを確認してください。
出典
- The PHP Group「PHP 2026年の発表一覧（セキュリティリリース）」（2026年10月21日）
- カナダ サイバーセキュリティセンター「AL26-026 Critical vulnerabilities impacting PHP」（2026年10月21日）
- 情報処理推進機構（IPA）「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日公開、22日更新）
- 朝霞市「朝霞市LINE公式アカウント」（2026年10月23日更新）
