※本記事には広告が含まれます。
【最初にお読みください（2026年10月25日）】この記事は、PHPの修正版が出る前後に私が行った対応の記録です。すでにPHPの開発元から、この脆弱性を修正したバージョン（8.5.12／8.4.27／8.3.36／8.2.35）が公開されていて、ConoHa WINGでも全バージョンに修正が適用済みです。これから対応する場合は、記事内の暫定対策ではなく、脆弱性が修正されたバージョンのPHPを使ってください。レンタルサーバーなら、サーバー会社の公式のお知らせで修正済みかどうかを確認するのが確実です。
2026年10月21日、PHPに「php2shell」と呼ばれる重大な脆弱性が見つかり、ニュースになりました。このブログ（万札日記）もWordPressなので、PHPで動いています。サーバーはConoHa WINGです。この記事では、修正版が出る前に私がやった暫定対策と、ConoHa側の対応が終わるまでの流れを、実際の順番どおりにまとめます。
結論：ConoHa WINGなら、いまは追加でやることはない
- ConoHa WINGは10月22日夜に対応完了：提供しているすべてのPHPバージョンに修正プログラムを適用済み、と公式に発表された
- バージョン番号は修正版と同じにならない：PHP 8.3系は「8.3.35」と表示されれば修正済み（公式の修正版の番号は8.3.36）
- 修正前の暫定対策：php.iniに
session.upload_progress.enabled = Offを書く。ConoHaの管理画面から1分でできた - WordPressやプラグインの更新では直らない：PHP本体の問題なので、サーバー側の更新が必要
php2shellとは？
PHPの「セッションのアップロード進捗」という機能に関係するとみられる脆弱性で、CVE-2026-109618とCVE-2026-109619の2件です。深刻度（CVSS）は9.2で、外からサーバー上のプログラムを動かされるおそれがあると報じられました。WordPressでも攻撃が再現したとされています。
PHPの開発チームは、日本時間の10月21日23時に修正版を公開すると予告しました。修正版が出るまでの間にできる対策として、セキュリティ会社から「アップロード進捗機能をオフにする」方法が紹介されていました。
私がやったこと（10月21日）
① ブログのPHPのバージョンを確認
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開くと、PHPのバージョンが分かります。このブログはPHP 8.3.31でした。対象になりうるバージョンだったので、対策することにしました。
② ConoHa WINGでphp.iniに1行足す
- ConoHaのコントロールパネルにログインし、上の「WING」を選ぶ
- 左のメニューの「サイト管理」→「サイト設定」→「応用設定」タブを開く
- 「PHP設定」を開き、「php.ini編集」の鉛筆マークを押す
- 次の1行を書いて「保存」を押す
session.upload_progress.enabled = Off保存したあと、画面を読み込み直して設定が残っていることを確認しました。ブログのトップページや記事、管理画面も、いつもどおり表示されました。この機能は「ファイルをアップロードするときの進み具合を表示する」ためのもので、ふつうのブログでは使っていないので、オフにしても困ることはありませんでした。
注意：この設定は、あくまで修正版が入るまでの「念のための守り」です。セキュリティ会社も「これで100％防げるとは言えない」としていました。本当の対策は、修正版のPHPに入れ替えることです。
ConoHa WING側の対応（10月21日〜22日）
| 日時 | できごと |
|---|---|
| 10月21日 19:00〜22日 10:00 | ConoHa WINGで「緊急メンテナンス（システムの保守作業）」。この時点のお知らせには、PHPや脆弱性の話は書かれていなかった |
| 10月22日 11:30ごろ | ブログのPHPはまだ8.3.31のまま |
| 10月22日 12:00〜20:45 | 再び緊急メンテナンス。Webメールやファイルマネージャーも一時停止 |
| 10月22日 20:45 | 「PHPの脆弱性への弊社対応完了のお知らせ（終報）」が出る。すべてのPHPバージョンにセキュリティパッチを適用 |
| 10月23日 10:30 | ブログのPHPが8.3.35に変わっていることを確認 |
バージョンが「8.3.36」にならないのはなぜ？
最初は「公式の修正版は8.3.36なのに、8.3.35のままで大丈夫？」と思いました。ConoHaのお知らせによると、今回はPHPのバージョンを上げずに、修正プログラムだけを今のバージョンに取り込む方法だったそうです。そのため、サイトヘルスなどに表示される番号は、公式の修正版の番号とは違います。
ConoHaが発表した、修正後のバージョンは次のとおりです。自分のサイトの表示がこの番号なら、修正済みです。
| PHPの系列 | 修正後に表示される番号 |
|---|---|
| 8.5 | 8.5.11 |
| 8.4 | 8.4.26 |
| 8.3 | 8.3.35 |
| 8.2 | 8.2.34 |
| 8.1 | 8.1.34 |
| 8.0 | 8.0.30 |
| 7.4 | 7.4.33 |
php.iniに足した1行は、修正後もそのまま残しています。使っていない機能なので、残しておいて困ることはありません。
やってよかったこと・気をつけたいこと
- まずバージョンを確認する：サイトヘルスを見るだけで、自分のサイトが対象かどうかの見当がつく
- レンタルサーバーでもできる対策がある：PHP本体は自分で更新できないが、php.iniの設定ならConoHaの管理画面から変えられる
- 偽メールに注意：こういう騒ぎのときは、サーバー会社を名乗って「再ログイン」を求める偽メールが出回りやすい。確認は公式サイトや管理画面のお知らせから
- WordPressとプラグインは最新に：今回のPHPの問題とは別に、ふだんからの基本。私はこの機会にプラグインの更新もしました
まとめ
- php2shellはPHP本体の脆弱性。WordPressの更新では直らない
- ConoHa WINGは10月22日夜に全バージョンへ修正を適用済み。8.3系なら「8.3.35」で修正済み
- 修正前の暫定対策は、php.iniに
session.upload_progress.enabled = Off
参考：ConoHa WING「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」／GMO Flatt Security Blog「PHPの重大な脆弱性「php2shell」の概要と対応指針」
コメント