# 【PHP重大脆弱性「PHP2Shell」対策】スパイスワークス、WordPressの編集環境を活かしながら公開側の攻撃対象を減らす「静的・動的環境分離」の提案・支援体制を強化 - サイト: HAYAYOMI早読み（早読み） - URL: http://hayayomi.com/2026/10/24/%e3%80%90php%e9%87%8d%e5%a4%a7%e8%84%86%e5%bc%b1%e6%80%a7%e3%80%8cphp2shell%e3%80%8d%e5%af%be%e7%ad%96%e3%80%91%e3%82%b9%e3%83%91%e3%82%a4%e3%82%b9%e3%83%af%e3%83%bc%e3%82%af%e3%82%b9%e3%80%81wordpres/ - 公開: 2026-10-24T02:14:29+09:00 - 更新: 2026-10-24T02:14:29+09:00 - カテゴリー: テクノロジー - 言語: ja > Webサイト制作・システム開発を手掛ける株式会社スパイスワークス（本社：東京都千代田区、代表取締役：関根 聖二、以下「スパイスワークス」）は、PHPの重大な脆弱性「PHP2Shell」の公表を受け、これまで対応してきたWordPressの「静的・動的環境分離（静的化）」に関する提案および支援体制を強化いたします。本リ… Webサイト制作・システム開発を手掛ける株式会社スパイスワークス（本社：東京都千代田区、代表取締役：関根 聖二、以下「スパイスワークス」）は、PHPの重大な脆弱性「PHP2Shell」の公表を受け、これまで対応してきたWordPressの「静的・動的環境分離（静的化）」に関する提案および支援体制を強化いたします。本リリースの公開時点より、現状のサイト診断から、要件に応じた設計、構築、運用までを一貫してサポートする相談受付を開始します。公開サーバー上でPHPを実行せずデータベースを置かない構成により、公開側の攻撃対象を減らすサイト運用をご提案します。 ■ 背景：PHPの重大な脆弱性「PHP2Shell」とWordPress環境への影響 2026年10月21日、PHP開発チームは2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）に対する修正版（PHP 8.5.12、8.4.27、8.3.36、8.2.35）を公開しました（PHP公式の修正版情報）。「PHP2Shell」と呼ばれるこれらの脆弱性は、認証なしのリモートコード実行（RCE）につながるおそれがあります。 これを受け、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は直ちにパッチを適用するよう促す警告を公開し（CISAの警告）、日本のIPA（独立行政法人情報処理推進機構）も注意喚起を公開しました（IPAの注意喚起）。また、政府関連を含む一部の組織では予防措置としてWebサイトが一時停止・制限される事態も生じています（Reutersの報道）。 世界のWebサイトの約39.6%（WordPressのシェア数値 – W3Techs）を占めるWordPressはPHP環境に依存しているため（WordPress公式の説明）、該当する脆弱なPHP環境を利用しているWebサイトは直接的な影響を受けます。この問題は、WordPress本体やプラグインの更新だけでは解消せず、サーバーのPHP環境自体への修正適用が必要です。 ■ 脆弱性の発見経緯について 今回の脆弱性発見にはAIを活用した調査が関わっています。OpenAIの発表によれば、同社のAIモデルが一方の脆弱性の特定に関与し、今後同様の発見が大幅に増えると見通しを示しています（OpenAIの発見経緯・見通し）。また、セキュリティ企業のWizが両方の脆弱性を独自に発見・報告しています（Wizの調査）。 ■ 「静的・動的環境分離」による支援体制の強化 スパイスワークスでは、こうした脆弱性リスクへの対応策として、従来より行ってきたWordPressの「静的・動的環境分離」の提案・支援体制を強化します。現状のサイト構造の診断から、企業ごとの要件に応じた設計、構築、運用フェーズまで、一貫してご相談いただける体制を整えました。 【静的化の仕組みと効果】 環境の分離による攻撃対象の削減： WordPress（CMS）を動かす環境と、ユーザーが閲覧する公開環境を分離します。公開サーバー上でPHPを実行せず、データベースを置かない構成とすることで、公開サイト側の攻撃対象を減らします。 残存するリスクと運用上の留意点： 静的化はすべてのリスクを排除するものではありません。CMS環境へのアクセス制限、静的ファイルの生成・転送経路の保護、公開ファイル自体の対策は引き続き必要です。また、WordPressでの記事編集環境は維持されますが、公開時には静的ファイルの書き出し、表示確認、サーバーへの転送といった追加の手順が発生する場合があります。 静的化は、CMS環境で利用するPHPの更新や、CMS環境自体の保護に代わるものではありません。CMS側でも修正版の適用と継続的なセキュリティ対策が必要です。 動的機能（検索・フォーム）の代替策 静的化を行った場合、WordPressのPHP処理に依存する「サイト内検索」や「問い合わせフォーム」はそのままでは動作しません。当社では代替手段として、以下のような実装・構築実績があります。 サイト内検索の代替： 「Google Programmable Search Engine（旧Google Custom Search）」の導入のほか、要件に応じて「Fuse.js」を利用した検索機能の実装が可能です。 フォームの代替： WordPressプラグインに代わり、Google FormsやHubSpotなどの外部フォームサービスとの連携を行います。セキュリティレベルは利用する各サービスや設定内容に依存します。 想定されるお客様 - 上場企業・金融機関 - 大学・研究機関・官公庁 - ご利用中のWordPressサイトにおける将来的な脆弱性リスクの低減を検討されているWeb担当者様 詳細解説ブログ 本件の技術的背景や対策の詳細については、当社の技術ブログで解説しています。  記事タイトル：PHP脆弱性「PHP2Shell」WordPressへの影響と対応｜再発に備える「静的化」もわかりやすく解説 ご相談・お問い合わせ先 現状の診断や設計・構築に関するご相談は、本リリース公開時点より以下の窓口にて受け付けております。 お問い合わせ先：https://www.spiceworks.co.jp/contact/ ■会社概要 会社名：株式会社スパイスワークス 所在地：東京都千代田区麹町6-6-2 代表者：関根 聖二 URL：https://www.spiceworks.co.jp/  事業内容：Webサイト制作、システム開発、インフラ構築・保守、セキュリティ対策支援（詳細については公式サイトをご参照ください） 本記事は、スパイスワークスが2026年10月23日にPR TIMESで発表したプレスリリースを原文のまま掲載しています。 元のリリース：【PHP重大脆弱性「PHP2Shell」対策】スパイスワークス、WordPressの編集環境を活かしながら公開側の攻撃対象を減らす「静的・動的環境分離」の提案・支援体制を強化 引用するときは、記事のタイトルとURLを残してください。 案内: http://hayayomi.com/llms.txt