PHP2shellとは？カゴヤ共用サーバーで今確認すること

2026年10月21日、PHPに重大な脆弱性が2件（CVE-2026-109618 / CVE-2026-109619）公表されました。組み合わせると外部からプログラムを実行されるおそれがあることから「PHP2shell」と呼ばれています。多くのレンタルサーバー会社は数日のうちに修正を当て終えましたが、カゴヤの一部のプランでは修正版が提供されない状況が続いています。この記事では、何が起きているのかと、利用者が今確認すべきことをまとめます。

PHP2shellはどんな脆弱性か

IPA（情報処理推進機構）の注意喚起によると、メモリ不足のエラー処理に起因するものと、リクエスト処理に関連するものの2件で、悪用されると遠隔の第三者に任意のコードを実行される可能性があります。ログインなどの認証を経ずに狙われる点が深刻で、10月26日には米国CISAの「悪用が確認された脆弱性」の一覧にも掲載されました。

PHPの開発元が修正版を出したのは、サポート中の 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 です。それより古いバージョンは公式の修正版がなく、サーバー会社が独自に修正を当てるか、新しいバージョンへ移るしかありません。

カゴヤで状況が分かれている理由

カゴヤでは、「レンタルサーバープラン」は10月22日に修正版への更新を終えています。一方、共用サーバー、マネージド専用サーバー、WordPress専用サーバーの各プランは、使われているPHPに修正版が提供されないとして、レンタルサーバープランへの変更を根本対策として案内しています。

対象プランには、古いOS（CentOS 5〜7）の上で動いているものが含まれます。たとえば共用サーバー S12 / S22 / S32 は CentOS 7 で、PHP 7.3 などを選べる構成です。OSごと古いため、PHPだけを差し替える対応が難しいと考えられます。

暫定の緩和策で起きうること

カゴヤ社は対象プランに、PHPの設定を変える緩和策を順次実施しています。送信できるデータ量を8MBまでに絞る、アップロードの進み具合を記録する機能を止める、といった内容です。リスクを下げるための一時的な対策で、脆弱性そのものが直るわけではありません。

この設定変更で、大きなファイルを添付する問い合わせフォームや、アップロードの進捗を表示する機能が動かなくなることがあります。緩和策の実施後は、自社サイトのフォームから一度テスト送信してみてください。

今確認すべき3つのこと

• 契約プラン: コントロールパネルの「契約情報」で、共用・マネージド専用・WordPress専用のどれかに当たるか。
• PHPのバージョン: 「Webサイト」→「PHP」で確認。8.2以降でなければ、移行先でも作り直しや修正が必要になる可能性があります。
• フォームとメール: 問い合わせフォームが送れるか、同じサーバーでメールを使っているか。引っ越しの段取りに影響します。

PHPの調べ方はPHPバージョンとサーバーのプランを調べる方法にまとめています。

まとめ

対象プランは、待っていれば修正が届く状況ではありません。カゴヤ社自身も、公式の修正がないバージョンでのサイト公開は推奨しないとしています。まずはプランとPHPのバージョンを確認し、プラン変更か他社への引っ越しかを決めるところから始めましょう。不正アクセスの有無はログから判断するのが難しいとカゴヤ社も述べており、早めの移行が安全です。