PHP緊急脆弱性「php2shell」最新情報｜政府機関も警告、企業サイトが今すべきこと【TCIはPHP不使用で影響なし】

2026年10月21日（日本時間22日未明）、PHPに緊急（Critical）レベルの脆弱性2件——通称「php2shell」——の修正版が公開されました。認証不要でサーバーを乗っ取れる（リモートコード実行）という極めて深刻な内容で、日本のIPA（情報処理推進機構）が事前注意喚起を、米国政府機関CISAが「直ちにパッチを適用せよ」という異例の強い警告を出しています。

この記事では、いま分かっている事実と企業ホームページ担当者が今日確認すべきこと、そして当社・株式会社TCIのサイトとシステムがなぜ今回の騒動の影響を受けないのかを、できる限り正確に解説します。

PHPの緊急脆弱性「php2shell」とは——確認済みの事実

PHP公式セキュリティチームの発表に基づく、確認済みの情報は次のとおりです。

特に危険とされるのが Apache mod_php 構成で、アプリケーションのコードが動き出す前に、未認証のリクエストだけで攻撃が成立する実証例が確認されています。つまり「うちのプログラムは安全に書いてあるから大丈夫」は通用しません。PHP本体の問題だからです。

PHP公式は「完全な緩和策は存在せず、アップデートだけが安全な選択肢」と明言し、サポートが終了しているPHP 7.4／8.0／8.1向けにも異例のソース修正を提供しました。事態の深刻さを物語っています。

政府機関の動き——IPAとCISAの警告

• IPA（日本）：10月21日、「【事前準備のお願い】PHPのセキュリティリリース公開予定について」を公開し、修正版公開に備えるよう国内組織へ注意喚起
• CISA（米国）：同日、「直ちにパッチを適用せよ。即時更新できない組織や、サポート切れのPHP 8.1以前を使い続ける組織は、パッチ適用までPHPシステムをオフラインにすべき」という強い勧告を発表
• CERT-EU（欧州）：アドバイザリを発行し、EU機関へ即時対応を要請

「システムを止めてでもパッチを当てろ」という表現は、政府機関の勧告としては最大級の警戒レベルです。

企業ホームページ担当者が今日確認すべき3つのこと

1. 自社サイトがPHPで動いているか確認する——WordPress・EC-CUBE・Movable Type（PHP版）など国内の企業サイトの大半はPHPで動いています。制作会社・保守会社に「php2shell（CVE-2026-109618／109619）への対応状況」を今日問い合わせてください。
2. レンタルサーバーの告知を確認する——エックスサーバー・さくら・ロリポップ等を利用中なら、事業者側のパッチ適用告知と、契約プランのPHPバージョン設定を確認してください。古いバージョン（8.1以前）を自分で選択したままのケースが最も危険です。
3. 放置している旧サイト・検証環境を洗い出す——DNSを向けていない旧サーバーでも、稼働していれば攻撃対象です。使っていないWordPressは今回を機に停止・解約を検討してください。

TCIのホームページ・システムが影響を受けない理由

結論から申し上げると、当サイト（tci-car-item.com）および当社の自社開発システムは、今回のphp2shellの影響を受けません。理由は単純で、PHPを1行も使っていないからです。

当社サイトは以前WordPressで運用していましたが、現在はTypeScriptによる完全自社開発へ移行し、Cloudflareのサーバーレス・エッジ環境で動作しています。この構成には、今回のような騒動のたびに価値が再確認される特長があります。

• PHPランタイム不使用——php2shellのようなPHP本体の脆弱性とは無縁
• 常時稼働サーバーが存在しない——OS・ミドルウェアの脆弱性管理という重荷そのものがない
• 世界規模のCDN・WAF（Cloudflare）——DDoS攻撃・不正アクセスを基盤レベルで緩和
• 全通信TLS暗号化・最小権限のアクセス制御——セキュリティポリシーとして公開
• 管理画面も自社開発——世界中で攻撃され続けるWordPressログイン画面のような「よく知られた入口」がない

本日、セキュリティポリシーにもこの旨（PHP等のサーバーサイドランタイム不使用）を明記しました。詳しくはセキュリティポリシー 3.5項をご覧ください。

リード獲得やSEOはもう古い——AI検索時代の「わがままHP」という選択

今回の騒動は、多くの企業にとって「ホームページの作り方」を見直すきっかけになるはずです。従来の「CMSを入れてSEO記事を量産し、リードを獲得する」手法は、セキュリティ面でも集客面でも曲がり角を迎えています。検索の主役がGoogleの10本の青いリンクから、ChatGPT・GeminiなどのAIによる回答へ移りつつあるからです。

TCIの開発チームは、自社サイトを実験台に構造化データ・GEO（生成エンジン最適化）・AI検索流入の仕組みを徹底的に研究し、実装してきました。その知見をそのまま、お客様の「わがままHP」——デザインも、更新の仕組みも、AIへの見せ方も、御社のわがままを全部叶えるホームページ——としてご提供できます。

• PHP不使用・サーバーレスの攻撃されにくい構成を標準採用
• 記事が自動更新され続ける更新型サイトでAI検索からの流入を獲得
• 構造化データ・FAQ・要点設計など生成AIに引用される仕組みを標準実装

まとめ

• php2shell（CVE-2026-109618／109619）は認証不要RCEの緊急脆弱性。PHPサイトは修正版への即時更新が唯一の完全な対策
• IPA・CISAなど政府機関が最大級の警告。制作会社・サーバー事業者への確認を今日実施を
• TCIのサイト・システムはPHP不使用の自社開発サーバーレス構成のため影響なし（セキュリティポリシーにも明記）
• 不安な方・サイトの診断を希望される方・AI検索時代のホームページを作りたい方は、お問い合わせフォームからお気軽にご相談ください

本記事は2026年10月22日時点でPHP公式・IPA・CISAが公表している情報に基づいています。最新情報は各機関の公式発表をご確認ください。