PHP2Shell の時系列まとめ｜公表前の予告から、国内サービスの停止と再開まで
PHP2Shell は、修正版より先に攻撃の試みとサービスの停止が始まった珍しい脆弱性だった。10月17日の攻撃の観測から、21日の国内サービスの停止、22日の再開と注意喚起までを時系列で整理した。
PHP2Shell の時系列まとめ｜公表前の予告から、国内サービスの停止と再開まで
- 10月17日、公表より前に攻撃の試みが観測されていた（Amazon の報告）
- 21日の早朝に PHP 公式が「修正版は今夜」と予告。午後には中身が漏れ、国内のサービスが次々に止まった
- 21日の夜に修正版（8.5.12・8.4.27・8.3.36・8.2.35）が出て、22日の朝にかけて各社が修正を入れて再開した
- 22日に IPA と JPCERT/CC が注意喚起。攻撃の観測の報告も出始めた
公表の前（10月17日〜21日朝）
報道によると、Amazon の脅威情報チームは、10月17日に自社のおとりのサーバー（ハニーポット）で PHP2Shell を狙った試みを観測していた
ここを読む中身が漏れ、サービスが止まり始める（21日午後）
21日の午後、修正版より先に脆弱性の中身が外に漏れた
- 13:00ごろ：さくらのレンタルサーバ
- 14:16：コドモン
- 15:50：BASE
この時系列から分かること
- 修正版を待っていられないことがある：中身が漏れれば、修正版の前から狙われる
- 自社のサイトだけの話ではない：使っている外のサービスも止まる
- 再開の知らせだけで安心しない：版の番号まで確かめる
PHP2Shell（CVE-2026-109618 / 109619）は、ふつうの脆弱性と順番が違った。ふつうは「修正版が出る → 内容が知られる → 攻撃が始まる」の順になる。PHP2Shell では、修正版が出る前に内容が漏れ、攻撃の試みやサービスの停止が先に始まった。
何がいつ起きたのかを、公開されている告知とまとめをもとに整理した。時刻は日本時間。
- 10月17日、公表より前に攻撃の試みが観測されていた（Amazon の報告）
- 21日の早朝に PHP 公式が「修正版は今夜」と予告。午後には中身が漏れ、国内のサービスが次々に止まった
- 21日の夜に修正版（8.5.12・8.4.27・8.3.36・8.2.35）が出て、22日の朝にかけて各社が修正を入れて再開した
- 22日に IPA と JPCERT/CC が注意喚起。攻撃の観測の報告も出始めた
全体の流れ
公表の前（10月17日〜21日朝）
報道によると、Amazon の脅威情報チームは、10月17日に自社のおとりのサーバー（ハニーポット）で PHP2Shell を狙った試みを観測していた。公表の4日前だ。
PHP 公式は、21日の早朝（日本時間4時半ごろ）に、重大な修正を出すことを予告した。IPA も21日のうちに、事前の準備を呼びかけた。この時点では、どこに穴があるのかは伏せられていた。
中身が漏れ、サービスが止まり始める（21日午後）
21日の午後、修正版より先に脆弱性の中身が外に漏れた。修正版がない状態で攻撃の方法だけが知られると、守る側には止める以外の手がない。国内では、PHP を使うサービスが予防のために次々と止まった。
公開されているまとめ（ツバサのメモ帳）によると、主な停止は次のとおり。
| 時刻（21日） | サービス | 出来事 |
|---|---|---|
| 13:00ごろ | さくらのレンタルサーバ | 緊急メンテナンスを開始 |
| 14:16 | コドモン | 全サービスを順に停止 |
| 15:50 | BASE | 閲覧・注文・管理画面・API を停止 |
| 16:00 | エックスサーバー | 公式サイトと管理画面を停止 |
| 19:00 | ネクストエンジン | 全機能を停止 |
| 21:36 | futureshop | 全店舗のサイト・管理画面などを停止 |
| 22:00 | カラーミーショップ | 全面停止 |
| 23:00 | MakeShop | 管理画面・ショップなどを停止 |
ネットショップの仕組み、在庫や受注の管理、保育園の連絡の仕組みなど、日々の仕事に使うサービスが一晩止まった。自社のサイトに問題がなくても、使っている外のサービスが止まれば、仕事は止まる。
修正版が出る（21日夜）
PHP 公式は、21日の夜（日本時間22時ごろ）に修正版 8.5.12・8.4.27・8.3.36・8.2.35 を公開した。PHP 8.1 以前には、正式な修正版は出ていない（7.4・8.0・8.1 には、ソースの修正の部品だけが示された）。
同じ夜のうちに、Linux の配布元（Ubuntu・AlmaLinux など）も修正したパッケージを出し始めた。
修正を入れて再開（22日朝）
| 時刻（22日） | サービス | 出来事 |
|---|---|---|
| 4:42 | MakeShop | 完了を告知 |
| 6:30 | さくらのレンタルサーバ | PHP のバージョンアップ完了を告知 |
| 6:45 | エックスサーバー | PHP 8.2〜8.5 の全サーバーで修正完了を告知 |
| 8:45 | BASE | 緊急メンテナンスの完了を告知（約16時間の停止） |
| 8:49 | カラーミーショップ | すべての機能が再開 |
| 20:45 | お名前.com レンタルサーバー | 修正の適用とメンテナンスの終了を告知 |
サービスの再開は「動かせる状態に戻した」という知らせで、PHP の修正版が入ったことまでは書いていない告知も多かった。自分のサイトの PHP の版は、自分でも確かめる。くわしくは レンタルサーバーの告知の読み方 にまとめた。
注意喚起と、攻撃の報告（22日〜）
22日には IPA と JPCERT/CC が注意喚起を出した。JPCERT/CC は、更新だけでなく「攻撃を受けていないかの調査」も求めている。
同じころ、海外のセキュリティ会社から、攻撃の観測の報告が出始めた。一方で「まだ見ていない」という報告もあり、状況は食い違っている。くわしくは 攻撃はもう始まっているか にまとめた。
この時系列から分かること
- 修正版を待っていられないことがある：中身が漏れれば、修正版の前から狙われる
- 自社のサイトだけの話ではない：使っている外のサービスも止まる
- 再開の知らせだけで安心しない：版の番号まで確かめる
- 古い PHP は置いていかれる：8.1 以前には修正版がなく、各社の独自の修正に頼るしかなかった
よくある質問
なぜ修正版より先にサービスが止まったのですか？
修正版が出る前に、脆弱性の中身が外に漏れたためです。
修正版がない状態で攻撃の方法だけが知られると、守る側には止める以外の手がありません。
今はもう、サービスは全部再開していますか？
多くは22日の朝までに再開しました。
ただ、再開と修正版の適用は別の話です。
自分のサイトの PHP の版は、自分でも確かめてください。
PHP 8.1 以前の修正版は出ましたか？
正式な修正版は出ていません。
7.4・8.0・8.1 にはソースの修正の部品だけが示され、サーバー会社や配布元が独自に入れています。
8.4 か 8.5 への移行を進めてください。
参考にした情報
- php.net：2026年のニュース（予告と勧告）
- IPA：PHPの脆弱性対策について（PHP2shell）
- JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（JPCERT-AT-2026-0033）
- ツバサのメモ帳：PHP脆弱性php2shellで止まったカート・モールを一晩追跡
- 城咲子：php2shell 修正版公開後の各社対応状況（レンタルサーバーとサービスの再開は修正版適用済みとは限らない）
- お名前.com：PHP の脆弱性への対応のお知らせ
- The Hacker News：PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws（英語）
- AlmaLinux：php2shell の修正パッケージ（英語）
2026年10月22日時点の公開情報にもとづく。PHP2Shell の状況は日々変わるので、最新は php.net・IPA・JPCERT/CC と、利用中のサービスの公式の告知を確認すること。
URL を入れるだけで、今のサイトの仕組みと PHP の状態が分かる。移行の相談もできる。
無料で診断する
