「PHPが使われているサイトは危ない」という投稿を見かけて、手が止まっていませんか。XやInstagramのパスワードを今すぐ変えるべきか、迷っている人も多いはずです。先に答えると、一般の利用者がサイトごとにPHPを使っているか調べる必要はありません。
話題になっているのは「php2shell」という脆弱性（セキュリティの穴）です。PHP（Webサイトを動かすためのプログラミング言語）で見つかりました。問題があるのはサービス側のサーバーなので、利用者がサイトを見分けて動く必要はないんです。
この記事では、まず何が起きているのかを説明します。そのあと、一般ユーザーが実際にやること、サイトを運営している人が確認することの順にまとめました。
PHPの脆弱性「php2shell」で何が起きているのか
php2shellは、PHP公式とIPA（情報処理推進機構）が公表した重大な脆弱性です。番号はCVE-2026-109618とCVE-2026-109619の2つで、どちらも公式に確認されています。
いちばんの問題は、リモートコード実行ができてしまう点です。リモートコード実行とは、離れた場所から勝手にプログラムを動かされることを指します。しかも今回は、ログインしなくても実行できてしまいます。
悪用されると、サーバーの乗っ取りやサイトの改ざん（中身を書きかえられること）が起こりえます。情報を持ち出される心配もあります。どれもサービスを運営する側のサーバーで起きる被害です。
そのため、自分のスマホやパソコンでPHPの設定を確認する必要はありません。そもそも一般のスマホやPCには、見るべきPHPの設定がないからです。
「PHPを使っていないサイトなら被害なし」と考えなくていい理由
質問にあった「PHPを使っていないサイトなら安全か」という考え方は、実はあまり役に立ちません。あるサイトがPHPを使っているか、使っているならどのバージョンかは、外から正確に見分けるのがむずかしいからです。XやInstagramが何で作られているかも、ここでは確認できていません。
そこで、PHPを使っているかどうかで安全・危険を分けるより、各サービスの公式発表を目安にしたほうが確実です。影響を受けたサービスは、緊急メンテナンスや脆弱性対応のお知らせを出すことが多いからです。
👉 関連：pixivが見れないのは緊急メンテナンス？終了時間と確認方法
とはいえ、PHPを使っているサイトを全部危ないと考えて、片っぱしからパスワードを変える必要もありません。登録しているサービスを一つずつ変えていくと時間がかかりますし、どこまでやったか分からなくなりがちです。やることを絞ったほうが、むしろ漏れなく対応できます。
一般ユーザーがやることは3つだけ（公式発表の確認→パスワード→二段階認証）
やることはシンプルで、3つだけです。上から順番に進めていきましょう。
1つ目は、使っているサービスの公式発表を見ることです。公式Xアカウントや公式サイトのお知らせ欄を開いてみてください。「メンテナンス」や「脆弱性対応」という言葉が入った告知が出ていないか確認します。個人的には、ここを先に見ておくと、どこまで対応すればいいか決めやすいと感じています。
2つ目と3つ目は、PHPの件に限らず、ふだんからおすすめの基本対策です。二段階認証とは、パスワードに加えて、スマホに届く確認コードなども入力してログインするしくみのことを言います。
- 公式発表を確認する：よく使うサービスの公式Xや公式サイトで、メンテナンスや脆弱性対応の告知を探す
- 使い回しているパスワードを変える：同じパスワードを複数のサービスで使っていないか見直す。使い回しているサービスから優先して、別々のパスワードにする
- 二段階認証を設定する：各アプリの設定画面で「セキュリティ」や「パスワードとセキュリティ」のような項目を開く。そこで二段階認証をオンにする
設定項目の名前はアプリによって少しずつちがいます。見つからないときは、アプリのヘルプページで「二段階認証」と検索すると早いです。
「緊急のセキュリティ対策」をよそおったメールやリンクに気をつける
たとえば、こんなメッセージが届いたとします。「PHPの脆弱性のため、あなたのアカウントが危険です。今すぐこちらからパスワードを変更してください」。差出人はサービスの運営っぽい名前で、リンクが1つ付いています。
こうしたメールやDMは、本物そっくりの偽サイトに連れていくためのものです。ニュースで話題になっているときほど、この手のメッセージは増えやすくなります。「PHP」「脆弱性」といった今まさに聞いた言葉が入っていると、つい信じてしまうんですよね。
パスワードを変えるときは、届いたリンクからは開かないでください。ふだん使っている公式アプリや、ブラウザのブックマークから開いて変更するのが安全です。本当に対応が必要なら、公式アプリの中やお知らせ欄にも同じ案内が出ています。
自分でサイトを運営している人はセキュリティリリースの適用を
ここからは、自分でWebサイトやブログを運営している人向けです。PHP公式からは、修正版のセキュリティリリース（穴をふさいだ更新版）が出ています。
- 修正版のバージョン：8.2.35、8.3.36、8.4.27、8.5.12
- WordPressなどを使っている場合：レンタルサーバー会社の管理画面やサポートページを見る。PHPが修正版に更新されているかを確かめる
- 侵入されたあとがないか：サーバーのログ（アクセスや操作の記録）を見る。見覚えのない操作やファイルの変更がないか確かめる
根本的な解決策は、修正版に更新することです。設定の工夫だけでは穴はふさがりません。
レンタルサーバーの場合は、サーバー会社がまとめて更新してくれることもあります。一方で、自分でPHPのバージョンを選ぶタイプのサーバーなら、管理画面から自分で切りかえが必要です。更新作業のために、サーバー会社やサービスが緊急メンテナンスを入れる可能性があります。お知らせメールや管理画面の告知も、あわせて見ておきましょう。
👉 関連：ニコニコ動画・生放送が見られない？緊急メンテの確認方法
関連記事
まとめ
- 結論：php2shellはサーバー側の脆弱性なので、利用者が「このサイトはPHPか」を見分けて動く必要はありません
- 次にやること：使っているサービスの公式Xや公式サイトで「メンテナンス」「脆弱性対応」の告知を確認します。そのうえで、使い回しているパスワードを変えて二段階認証を設定します
- 覚えておくこと：「PHPの脆弱性対応」をうたうメールのリンクからはログインしない。サイト運営者なら修正版（8.2.35／8.3.36／8.4.27／8.5.12）への更新が必要です
php2shellの影響を受けたかどうかは、各サービスが出す緊急メンテナンスや脆弱性対応のお知らせで分かります。まずは使っているサービスの公式発表を見るところから始めましょう。
