---
title: ＃０８９　PHPに重大な脆弱性。そもそもPHPとは何なのか？
description: 2026年10月に公表されたPHPの重大な脆弱性「PHP2Shell」を解説。PHPとは何か、Webサイトの仕組み、脆弱性がなぜ危険なのか、企業が取るべき対策、決済システムにも共通するセキュリティの考え方をわかりやすく紹介します。
image: https://www.fingo.co.jp/hubfs/note%20%E6%8A%95%E7%A8%BF%E3%83%98%E3%83%83%E3%83%80%E3%83%BC-Oct-27-2026-01-54-37-2479-AM.png
---

[![FinGo](https://www.fingo.co.jp/hubfs/raw_assets/public/fingo-theme/images/fingo-logo-2026.png)](https://www.fingo.co.jp/)

- [ホーム](https://www.fingo.co.jp/)
- [会社概要](https://www.fingo.co.jp/about)
- [製品・サービス](https://www.fingo.co.jp/products)
- [導入事例](https://www.fingo.co.jp/case-study)
- [ニュース](https://www.fingo.co.jp/blog/tag/news)
- [ブログ](https://www.fingo.co.jp/blog/tag/columns)
- [採用情報](https://www.fingo.co.jp/recruit)
- SNS 
    - [X](https://x.com/FinGoJapan)
    - [YouTube](https://www.youtube.com/@fingo408)
    - [Instagram](https://www.instagram.com/fingo_inc_cashless)
- [お問い合わせ](https://www.fingo.co.jp/contact)

[‹ ブログ一覧へ](https://www.fingo.co.jp/blog)

Blog

# ＃０８９　PHPに重大な脆弱性。そもそもPHPとは何なのか？

2026.10.27 FinGo株式会社

![＃０８９　PHPに重大な脆弱性。そもそもPHPとは何なのか？](https://www.fingo.co.jp/hubfs/note%20%E6%8A%95%E7%A8%BF%E3%83%98%E3%83%83%E3%83%80%E3%83%BC-Oct-27-2026-01-54-37-2479-AM.png)

## PHPが話題になっているけれど、そもそも何？

2026年10月、PHPに関する重大な脆弱性「PHP2Shell（CVE-2026-109618、CVE-2026-109619）」が公表され、IPA（情報処理推進機構）やJPCERT/CCが注意喚起を行いました。今回の脆弱性は、条件によっては攻撃者が遠隔からサーバー上で任意のコードを実行できる可能性があるとされています。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

ニュースを見て、「PHPに深刻な脆弱性」と聞いても、「そもそもPHPって何？」と思った方も多いのではないでしょうか。

 

実際、私自身も今回のニュースを見るまでは、PHPという名前は知っていても、その役割や、なぜここまで大きな話題になっているのかを十分に理解していたわけではありません。

調べてみると、PHPは世界中の多くのWebサイトやWebサービスを支える重要な技術の一つでした。そのためPHPの脆弱性は、一部の技術者だけの問題ではなく、企業のWebサイトやオンラインサービスを利用する多くの人に関係する話だと分かります。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

この記事では、まずPHPとは何か、Webサイトがどのように動いているのかを整理したうえで、今回のPHP2Shellの内容と対策について解説します。また、FinGoが関わるキャッシュレス決済の世界とも関連づけながら、システム全体でセキュリティを考える重要性について紹介します。

### この記事の要点

- PHPはWebサイトやWebサービスの裏側で動く代表的なプログラミング言語の一つです。
- PHP2ShellはPHP本体に見つかった重大な脆弱性で、条件によってはサーバー上で不正なプログラムを実行される可能性があります。
- 重要なのはPHPを怖がることではなく、正しい情報を把握し、継続的にアップデートや保守を行うことです。

[![](https://assets.st-note.com/img/1793065309-r1jOgc4Z8PERHSpDbIvz30Mw.png?width=1200)](https://assets.st-note.com/img/1793065309-r1jOgc4Z8PERHSpDbIvz30Mw.png?width=1200)

 

---

## 1. そもそもPHPとは？

### 結論：PHPはWebサイトの「裏側の処理」を担当するプログラミング言語です

PHPは、主にWebサーバー上で動作するプログラミング言語です。

例えば次のような処理で利用されています。

- ログイン認証
- 会員情報の管理
- 商品情報や在庫情報の取得
- お問い合わせフォームの送信
- 注文処理

私たちがWebサイトを閲覧しているとき、画面の裏側ではさまざまな処理が行われています。その中心で活躍している技術の一つがPHPです。

### HTMLとの違い

Webサイトの技術として、HTMLという言葉を聞いたことがある方もいるでしょう。

役割を簡単に整理すると次のようになります。

[![](https://assets.st-note.com/img/1793065979-x1aNT8MAsobzXkFBe59KCL7g.png?width=1200)](https://assets.st-note.com/img/1793065979-x1aNT8MAsobzXkFBe59KCL7g.png?width=1200)

PHPは利用者から見えない場所で動いているため、普段は意識する機会があまりありません。

また、今回のニュースを見て「PHPは危険なのでは」と感じる方もいるかもしれませんが、PHPを利用していること自体が危険というわけではありません。多くのソフトウェアと同様に、脆弱性が発見された際に適切な対応を取ることが重要です。

 

---

## 2. Webサイトはどのような仕組みで動いているのか？

### 結論：ブラウザとサーバーが情報をやり取りし、PHPが裏側で処理を行っています

脆弱性の話を理解するために、まずWebサイトの基本的な仕組みを見てみましょう。

一般的な流れは次のようになります。

1. ユーザーがブラウザでWebサイトを開く
2. ブラウザからWebサーバーへリクエストが送られる
3. PHPなどのプログラムが必要な処理を行う
4. 必要に応じてデータベースから情報を取得する
5. 結果をブラウザへ返し、画面に表示する

### イメージ図（概念図）

[![](https://assets.st-note.com/img/1793065192-VwrfkDR5JvI7KZaPj9BdMnCF.png?width=1200)](https://assets.st-note.com/img/1793065192-VwrfkDR5JvI7KZaPj9BdMnCF.png?width=1200)

※実際のシステム構成はサービスによって異なります。

### ネットショップを例に考える

たとえばネットショップの商品ページを開いた場合、

- 商品名
- 価格
- 在庫状況
- 商品説明

などの情報が表示されます。

これらは毎回手作業でページを作っているわけではありません。

ブラウザからのアクセスを受けたサーバーがPHPで処理を行い、データベースから該当商品の情報を取得し、その結果をページとして表示しています。

なお、すべてのWebページでPHPやデータベースが使われているわけではありません。企業の案内ページなど、静的なページだけで構成されるサイトもあります。

 

---

## 3. PHP2Shellとは？今回の脆弱性は何が問題なのか？

### 結論：PHP本体に重大な脆弱性が見つかり、外部から不正なプログラムを実行される可能性があります

今回話題となっているPHP2Shellは、次の2件の脆弱性を組み合わせた総称です。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

- CVE-2026-109618
- CVE-2026-109619

IPAによると、これらの脆弱性が悪用された場合、遠隔の第三者によって任意のコード実行が行われる可能性があります。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html)

### 任意のコード実行とは？

任意のコード実行（Remote Code Execution：RCE）とは、攻撃者が用意したプログラムをサーバー上で実行できてしまう状態を指します。

簡単に言えば、

> 本来は管理者だけが実行できるはずの処理を、外部の攻撃者が実行できてしまう可能性がある

ということです。

その結果、

- サーバー内の情報の窃取
- Webサイトの改ざん
- 不正プログラムの設置
- 他システムへの攻撃の踏み台化

などにつながる可能性があります。 [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

### 影響を受けるバージョン

IPAによると、以下のバージョンが影響を受けます。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html)

- PHP 8.2.35未満
- PHP 8.3.36未満
- PHP 8.4.27未満
- PHP 8.5.12未満

また、調査に関与したWiz社は、PHP 5.4以降のバージョンが少なくともいずれかの脆弱性の影響を受ける可能性があると説明しています。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html)

### 認証なしで成立する可能性がある

PHPおよびJPCERT/CCの情報では、認証されていない第三者による攻撃が可能になり得ると説明されています。 [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html), [\[github.com\]](https://github.com/NCSC-NL/php2shell)

つまり、ログイン機能を突破された後ではなく、外部から送られた細工されたリクエストによって攻撃が成立する可能性があるため、深刻度が高く評価されています。

### 実際の攻撃状況

JPCERT/CCは2026年10月26日の更新で、

- 本脆弱性を悪用すると主張する実証コードが多数公開されている
- 悪用を試みる通信の観測報告が相次いでいる

としています。 [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

一方で、「攻撃の通信が観測された」ことと、「実際の被害が確認された」ことは同じではありません。

2026年10月時点で、公的機関の注意喚起では、すべてのPHP利用環境で被害が発生したとは示されていません。 [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

[![](https://assets.st-note.com/img/1793065398-jSAixqbXFB9GL0rJ1DyER32H.png?width=1200)](https://assets.st-note.com/img/1793065398-jSAixqbXFB9GL0rJ1DyER32H.png?width=1200)

 

---

## 4. なぜ脆弱性への対応を急ぐ必要があるのか？

### 結論：修正版が公開されたら、影響を受ける環境では速やかな更新が重要です

The PHP Groupは修正版を公開しており、IPAやJPCERT/CCも更新を推奨しています。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

修正版は次の通りです。

- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12

[\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

### なぜ急ぐ必要があるのか

脆弱性が公開されると、

- 攻撃手法の研究が進む
- 実証コードが公開される
- 自動攻撃ツールが作られる

といった可能性があります。

そのため、修正版が公開された後は、攻撃リスクが高まるケースがあります。

### 古いバージョンにも注意

PHP 8.1以前はすでにサポート終了（EOL）となっています。IPAは、サポート対象バージョンへの移行を検討するよう呼びかけています。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html)

### 更新だけで終わりではない

JPCERT/CCは、侵害の有無についても調査を推奨しています。 [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

重要なのは、

- 修正版の適用
- ログの確認
- 不審な通信の調査
- 継続的な監視

を組み合わせることです。

なお、脆弱性が公表されたからといって、すべてのサイトが即座に危険になるわけではありません。利用環境や設定状況によって影響は異なります。

 

---

## 5. 決済端末のセキュリティにも通じる考え方

### 結論：安全性は端末だけでなく、システム全体で考える必要があります

今回のPHP2Shellのニュースから学べるのは、「安全性は一つの製品だけで決まるものではない」ということです。

これはキャッシュレス決済の世界でも同じです。

決済端末の安全性というと、端末本体だけを思い浮かべるかもしれません。

しかし実際には、

- 決済端末
- 接続先ネットワーク
- 通信経路
- クラウドサービス
- サーバー
- 管理ソフトウェア

など、多くの要素が連携しています。

もし関連するソフトウェアに脆弱性が見つかった場合は、

- どこに影響があるのか
- 対策が必要なのか
- アップデートが提供されているか

を確認し、必要な対応を行うことが重要です。

もちろん、今回のPHP2ShellがFinGoの決済端末そのものに存在するという意味ではありません。

ここでお伝えしたいのは、決済インフラにおいてもWebシステムにおいても、「システム全体を継続的に守る」という考え方が共通しているという点です。

セキュリティ対策は導入時だけで終わるものではなく、運用開始後も継続的なアップデートや監視が必要です。

 

---

## 6. まとめ：安全なシステムを支えるのは、継続的な対策

 

PHPは、多くのWebサイトやWebサービスを支える重要なプログラミング言語です。

今回公表されたPHP2Shellは、PHP本体に見つかった重大な脆弱性であり、影響を受ける環境では速やかな対策が推奨されています。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

重要なのは、「PHPは危険だ」と考えることではありません。

むしろ、

- 正しい情報を確認する
- 修正版を適用する
- 継続的に運用する
- システム全体の安全性を考える

という姿勢です。

決済システムにおいても、Webサービスにおいても、安全性を支えるのは単一の製品ではなく、関係するソフトウェアやインフラを含む継続的なセキュリティ対策だと言えるでしょう。<https://www.fingo.co.jp/contact>

 

---

## FAQ

 

### PHPとは何ですか？

PHPは、Webサーバー上で動作し、ログイン処理や商品情報の表示など、Webサイトの裏側の処理を担当するプログラミング言語です。

### PHPはどのようなWebサイトで使われていますか？

企業サイト、ECサイト、会員サイト、予約システム、ブログシステムなど、多くのWebサービスで利用されています。

### PHPの脆弱性とは何ですか？

PHPのプログラムや実行環境に存在するセキュリティ上の弱点です。悪用されると、情報漏えいや不正アクセスにつながる可能性があります。

### PHP2Shellが悪用されると何が起きますか？

攻撃者がサーバー上で任意のコードを実行できる可能性があります。情報窃取、サイト改ざん、不正プログラム設置などにつながるおそれがあります。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

### PHPの脆弱性が見つかったら、すべてのWebサイトが危険なのですか？

いいえ。影響の有無は利用しているPHPのバージョンや構成によって異なります。ただし、対象環境では速やかな確認と更新が推奨されます。 [\[ipa.go.jp\]](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html), [\[jpcert.or.jp\]](https://www.jpcert.or.jp/at/2026/at260033.html)

### ソフトウェアの脆弱性には、どのような対策が必要ですか？

修正版への更新、ログの監視、侵害調査、サポート対象バージョンの利用などが重要です。継続的な保守運用も欠かせません。

[‹ ブログ一覧へ戻る](https://www.fingo.co.jp/blog)

## 関連記事

[一覧へ ›](https://www.fingo.co.jp/blog/tag/columns)

## キャッシュレス導入・決済端末のご相談はこちら

製品・サービスや導入事例について、お気軽にお問い合わせください。

[お問い合わせフォーム](https://www.fingo.co.jp/contact)

[FinGo](https://www.fingo.co.jp/)

未来を創造するものづくりを。

<https://x.com/FinGoJapan> <https://www.youtube.com/@fingo408> <https://www.instagram.com/fingo_inc/>

[会社概要](https://www.fingo.co.jp/about) [製品・サービス](https://www.fingo.co.jp/products) [導入事例](https://www.fingo.co.jp/case-study) [ニュース](https://www.fingo.co.jp/blog/tag/news) [個人情報保護方針](https://www.fingo.co.jp/privacy-policy) [お問い合わせ](https://www.fingo.co.jp/contact) [採用情報](https://www.fingo.co.jp/recruit)

 〒100-0011  
 東京都千代田区内幸町1-2-2 日比谷ダイビル13F  
 TEL: 03-6457-9407

Copyright 2026 FinGo Inc. All rights reserved.

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "FinGo株式会社",
    "url" : "https://www.fingo.co.jp/blog/author/fingo株式会社"
  },
  "dateModified" : "2026-10-27T01:57:46.381Z",
  "datePublished" : "2026-10-27T01:57:46.000Z",
  "headline" : "＃０８９　PHPに重大な脆弱性。そもそもPHPとは何なのか？",
  "image" : [ "https://www.fingo.co.jp/hubfs/note%20%E6%8A%95%E7%A8%BF%E3%83%98%E3%83%83%E3%83%80%E3%83%BC-Oct-27-2026-01-54-37-2479-AM.png" ],
  "mainEntityOfPage" : {
    "@id" : "https://www.fingo.co.jp/blog/089",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://www.fingo.co.jp/hubfs/%E8%83%8C%E6%99%AF%E6%8E%92%E9%99%A4-1.png"
    }
  }
}
```