# 【PHP重大脆弱性「PHP2Shell」対策】スパイスワークス、WordPressの編集環境を活かしながら公開側の攻撃対象を減らす「静的・動的環境分離」の提案・支援体制を強化 - 出典: bizitmedia（https://bizitmedia.net/） - URL: https://bizitmedia.net/archives/8153 - カテゴリ: ビジネス - 公開日: 2026-10-23 - 更新日: 2026-10-24 --- Webサイト制作・システム開発を手掛ける[株式会社スパイスワークス](https://www.spiceworks.co.jp/)（本社：東京都千代田区、代表取締役：関根 聖二、以下「スパイスワークス」）は、PHPの重大な脆弱性「PHP2Shell」の公表を受け、これまで対応してきたWordPressの「静的・動的環境分離（静的化）」に関する提案および支援体制を強化いたします。本リリースの公開時点より、現状のサイト診断から、要件に応じた設計、構築、運用までを一貫してサポートする[相談受付](https://www.spiceworks.co.jp/contact/)を開始します。公開サーバー上でPHPを実行せずデータベースを置かない構成により、公開側の攻撃対象を減らすサイト運用をご提案します。 ![](https://prcdn.freetls.fastly.net/release_image/53226/15/53226-15-b739e1686a265cef2f5eb99d36ef3907-1200x630.png?width=1950&height=1350&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff) ## ■ 背景：PHPの重大な脆弱性「PHP2Shell」とWordPress環境への影響 2026年10月21日、PHP開発チームは2件の重大な脆弱性（[CVE-2026-109618](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w)、[CVE-2026-109619](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp)）に対する修正版（PHP 8.5.12、8.4.27、8.3.36、8.2.35）を公開しました（[PHP公式の修正版情報](https://www.php.net/archive/2026.php#2026-10-21-5)）。「PHP2Shell」と呼ばれるこれらの脆弱性は、認証なしのリモートコード実行（RCE）につながるおそれがあります。 これを受け、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は直ちにパッチを適用するよう促す警告を公開し（[CISAの警告](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching)）、日本のIPA（独立行政法人情報処理推進機構）も注意喚起を公開しました（[IPAの注意喚起](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html)）。また、政府関連を含む一部の組織では予防措置としてWebサイトが一時停止・制限される事態も生じています（[Reutersの報道](https://live.euronext.com/en/financial-news/government-websites-go-dark-after-ai-discovered-flaw-sparks-security-scramble)）。 世界のWebサイトの約39.6%（[WordPressのシェア数値 – W3Techs](https://w3techs.com/technologies/details/cm-wordpress)）を占めるWordPressはPHP環境に依存しているため（[WordPress公式の説明](https://wordpress.org/news/2026/10/critical-php-security-release/)）、該当する脆弱なPHP環境を利用しているWebサイトは直接的な影響を受けます。この問題は、WordPress本体やプラグインの更新だけでは解消せず、サーバーのPHP環境自体への修正適用が必要です。 ## ■ 脆弱性の発見経緯について 今回の脆弱性発見にはAIを活用した調査が関わっています。OpenAIの発表によれば、同社のAIモデルが一方の脆弱性の特定に関与し、今後同様の発見が大幅に増えると見通しを示しています（[OpenAIの発見経緯・見通し](https://openai.com/ja-JP/index/coordinated-disclosure-of-critical-vulnerabilities/)）。また、セキュリティ企業のWizが両方の脆弱性を独自に発見・報告しています（[Wizの調査](https://www.wiz.io/blog/php2shell-php-rce)）。 ## ■ 「静的・動的環境分離」による支援体制の強化 スパイスワークスでは、こうした脆弱性リスクへの対応策として、従来より行ってきたWordPressの「静的・動的環境分離」の提案・支援体制を強化します。現状のサイト構造の診断から、企業ごとの要件に応じた設計、構築、運用フェーズまで、一貫してご相談いただける体制を整えました。 ### 【静的化の仕組みと効果】 **環境の分離による攻撃対象の削減：** WordPress（CMS）を動かす環境と、ユーザーが閲覧する公開環境を分離します。公開サーバー上でPHPを実行せず、データベースを置かない構成とすることで、公開サイト側の攻撃対象を減らします。 **残存するリスクと運用上の留意点：** 静的化はすべてのリスクを排除するものではありません。CMS環境へのアクセス制限、静的ファイルの生成・転送経路の保護、公開ファイル自体の対策は引き続き必要です。また、WordPressでの記事編集環境は維持されますが、公開時には静的ファイルの書き出し、表示確認、サーバーへの転送といった追加の手順が発生する場合があります。 静的化は、CMS環境で利用するPHPの更新や、CMS環境自体の保護に代わるものではありません。CMS側でも修正版の適用と継続的なセキュリティ対策が必要です。 ## 動的機能（検索・フォーム）の代替策 静的化を行った場合、WordPressのPHP処理に依存する「サイト内検索」や「問い合わせフォーム」はそのままでは動作しません。当社では代替手段として、以下のような実装・構築実績があります。 **サイト内検索の代替：** 「Google Programmable Search Engine（旧Google Custom Search）」の導入のほか、要件に応じて「Fuse.js」を利用した検索機能の実装が可能です。 **フォームの代替：** WordPressプラグインに代わり、Google FormsやHubSpotなどの外部フォームサービスとの連携を行います。セキュリティレベルは利用する各サービスや設定内容に依存します。 ## 想定されるお客様 - 上場企業・金融機関 - 大学・研究機関・官公庁 - ご利用中のWordPressサイトにおける将来的な脆弱性リスクの低減を検討されているWeb担当者様 ## 詳細解説ブログ 本件の技術的背景や対策の詳細については、当社の技術ブログで解説しています。  記事タイトル：[PHP脆弱性「PHP2Shell」WordPressへの影響と対応｜再発に備える「静的化」もわかりやすく解説](https://www.spiceworks.co.jp/blog/?p=27626) ## ご相談・お問い合わせ先 現状の診断や設計・構築に関するご相談は、本リリース公開時点より以下の窓口にて受け付けております。 お問い合わせ先：[https://www.spiceworks.co.jp/contact/](https://www.spiceworks.co.jp/contact/) ## ■会社概要 会社名：株式会社スパイスワークス 所在地：東京都千代田区麹町6-6-2 代表者：関根 聖二 URL：[https://www.spiceworks.co.jp/](https://www.spiceworks.co.jp/)  事業内容：Webサイト制作、システム開発、インフラ構築・保守、セキュリティ対策支援（詳細については[公式サイト](https://www.spiceworks.co.jp/about/)をご参照ください） 本記事は、スパイスワークスが2026年10月22日にPR TIMESで発表したプレスリリースを原文のまま掲載しています。 元のリリース：[【PHP重大脆弱性「PHP2Shell」対策】スパイスワークス、WordPressの編集環境を活かしながら公開側の攻撃対象を減らす「静的・動的環境分離」の提案・支援体制を強化](https://prtimes.jp/main/html/rd/p/000000015.000053226.html)