PHP2Shellの確認のために、誰かにパスワードを渡す必要はありません。
10月21日、PHPの開発元が修正版を出しました。PHP本体に見つかった2件の脆弱性（CVE-2026-109618、CVE-2026-109619）で、ログインなしに外からプログラムを実行されるおそれがあるそうです。開発元はすぐに更新するよう呼びかけていて、更新のほかに完全な回避策はないとしています。PHP公式の告知
WordPressもPHPで動いているので、自社サイトが気になるのは当然です。ただ、「調べるのでログイン情報を教えてください」と言われても、渡さないでください。騒ぎのさなかに、よく知らない相手へ鍵を預けるほうが危ないと私は考えます。確認の大半は、自分で管理画面を開けば済みます。
見る場所
最初に見るのは、サイトが使っているPHPのバージョンです。見る場所は2つあり、どちらか一方で足ります。
- レンタルサーバーの管理画面にある、PHPの設定やバージョン切り替えの画面
- WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」
サイトヘルスは管理者のアカウントで開きます。同じ画面の「ステータス」タブに、古いPHPを使っているという警告が出ていることもあります。WordPress公式の説明（英語）
バージョン別の動き方
- 8.2〜8.5：サーバー会社のお知らせで、修正版（8.5.12、8.4.27、8.3.36、8.2.35）への更新が済んでいるか確かめる
- 8.1以下（7系や5系を含む）：開発元から修正版は出ません。8.3以降への切り替えを決める
- 見つからない：サーバー会社か制作会社に聞く
8.1以下はサポートが終わった版で、今回の修正の対象外です。8.2も開発元のサポートは2026年12月末までの予定なので、上げるなら8.3以降にしておくと、年明けにまた切り替えを考えずに済みます。PHPのサポート期間
ただし、番号だけで安全と言い切ることはできません。GMO Flatt Securityの解説にも、バージョン番号だけで脆弱性の有無を判断するのは容易ではない、とあります。最後は、サーバー会社か管理している人の確認で締めます。GMO Flatt Securityの解説
共用サーバーの場合
共用のレンタルサーバーでは、PHP本体を入れ替えるのはサーバー会社です。契約者ができるのは、管理画面で使う版を選ぶことくらいです。
なので、あなたがやることは2つに絞れます。契約先のお知らせページで、この件の対応状況を読むこと。8.1以下を使っていたら、管理画面で新しい版に切り替えること。
切り替えには落とし穴があります。古い版から上げると、古いテーマやプラグインが動かなくなることがあります。先にバックアップを取り、表示が崩れたら元の版に戻せることを確かめてから切り替えてください。ただ、元に戻した状態は危ないままです。テーマやプラグインを直してから、上げ直してください。
サーバーを自分たちで管理している場合
VPSや自社サーバーなら、更新するのは自分たちです。OSのパッケージで入れたPHPなら、配布元のお知らせに沿って更新します。ここは担当者の仕事なので、「PHP2Shellの対応は済んだか」と担当者に聞いてください。
制作会社に任せている場合
サイトの管理まで制作会社に任せていて、自分ではログインできない会社もあると思います。その場合は、次の文面をそのまま送ってください。
PHPの脆弱性（PHP2Shell、CVE-2026-109618／109619）について確認させてください。
- 当社サイトが使っているPHPのバージョンと、サーバー会社の対応状況を教えてください。
- 古いバージョンを使っている場合は、切り替えの予定を教えてください。
- 対応が済んだら、日付と内容を教えてください。
作業を頼むなら
切り替えのあと、テーマやプラグインの修正を外に頼むこともあるでしょう。そのときも、自分の管理者パスワードは渡しません。WordPressなら作業用のユーザーを別に作って渡し、作業が終わったら削除します。サーバーの管理画面での操作が必要なら、手順を書いてもらい、自分でボタンを押せば足ります。
パスワードを誰かに渡すのは、本当に作業が必要になってからで間に合います。渡すとしても、作業用の別アカウントで足ります。まずは今日、管理画面でPHPのバージョンを見てください。