PHPの重大な脆弱性「php2shell」— マーケティング担当が今日確かめること。LP・フォーム・カート・配信ツールが止まっても、広告は止まりません

10月21日、PHPに認証なしで遠隔操作されるおそれのある脆弱性2件が公表され、修正版が出ました。カートやメール配信の各サービスが緊急メンテナンスに入っています。サーバーを触らないマーケティング担当にも、今日確かめることがあります。

2026年10月21日、Webサイトで広く使われているプログラミング言語PHPに、重大な脆弱性が2件あることが公表されました。通称は「php2shell」です。どちらも、ログインしていない第三者が、遠隔からサーバー上でプログラムを動かせるおそれがあるというものです。深刻度はCVSS v4.0で9.2。PHPの開発元は同じ日に修正版を公開し、すぐに更新するよう呼びかけています。

一次情報はこちらです。

PHP公式: Security advisory: Critical remote code execution vulnerabilities, update now
IPA（情報処理推進機構）: 【事前準備のお願い】PHPのセキュリティリリース公開予定について
CERT-EU: Security Advisory 2026-018

この記事の結論を先に書きます。 サーバーの更新は、システムの担当者やサービスの事業者の仕事です。マーケティング担当がサーバーに触る必要はありません。ただ、更新のためにLP・申込フォーム・カート・メール配信・会員サイトが一時的に止まります。止まっている間も、広告は出続け、予約したメールは時刻どおりに出ないことがあります。今日やることは、自分の持ち場で「何が止まり、何がずれるか」を確かめて、広告と配信の側で手を打つことです。

※この記事は、2026年10月22日時点で公表されている情報をもとにしています。私たちはセキュリティの専門会社ではありません。サーバーの具体的な対応は、システムの担当者やサービスの事業者の案内に従ってください。

先に、言葉を揃えます

言葉	この記事での意味
PHP	Webサイトの裏側で動くプログラミング言語。WordPressなど多くのサイトやWebサービスがこれで動いている
脆弱性	プログラムの欠陥のうち、攻撃に使われるおそれがあるもの
修正版	欠陥を直した新しい版。今回は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
緊急メンテナンス	サービスの事業者が、修正版の適用などのために予定外でサービスを止めること
SaaS	自社でサーバーを持たずに、事業者のサービスとして使うツール。メール配信・カート・フォームなど

公表で確認できたこと

影響はWebのリクエストを処理するPHP全般です。 PHP公式は、PHP-FPM、ApacheのPHPモジュール、php-cgi など、Webからの要求を処理するすべてのPHPが対象だと書いています。完全な緩和策は無く、更新だけが安全な選択だとしています。サポートが終わった8.1以前には、公式の更新は出ません。

国内では、サービスが次々に止まりました。 日本ネット経済新聞は10月21日、makeshop・カラーミーショップ・BASE などのカートが21日夜から22日にかけてメンテナンスに入り、管理画面へのログイン、ショップページの閲覧、購入ができなくなると報じています（記事。記事はPHP対応の影響と「思われる」としています）。共同通信によると、銀行などが一部のサービスを止め、首相は対応が難しい場合はサイトの一時停止もリスクを下げる有効な策の一つだとXに投稿しました（Yahoo!ニュース）。

IPAは「棚卸し」を呼びかけています。 PHPを使っているプログラムを洗い出すこと、そして製品や機器の内部でPHPが使われている場合もあるので、提供元の情報を確かめることです。

確認できていないこと

実際の被害。 CERT-EUは、攻撃を試すコードが出回り始めていると説明していますが、実際の悪用を確認したとは書いていません
どのサービスが、いつ更新を終えたか。 各社の発表を個別に見るしかありません
メンテナンスの理由。 理由を「保守作業」とだけ書いている事業者もあり、すべてがPHPの対応だとは言い切れません

私たちのところでも、配信ツールが止まりました

21日の夜、私たちが使っているメール配信のサービスから、緊急メンテナンスの案内が届きました。21日から22日にかけて、サービスが止まる時間帯がある。作業中に配信予定の時刻を迎えたメールは、作業が終わってから順に送る。そういう内容です。理由は「セキュリティ上のリスクを防ぐため」とありました。

あわせて、自社のドメインを一つずつAIに調べさせ、どのサーバーが何で動いているかを確かめました。サイトはPHPを使わない構成でしたが、メール用に残しているレンタルサーバーが1台あり、そこも事業者が同じ時期に緊急メンテナンスを入れていました。

自社のサーバーに何も問題がなくても、使っているサービスが止まれば、マーケティングは止まります。ここが今回いちばん現場に効くところです。

で、マーケティングの現場にどう効くのか

1. LPやフォームが止まっている間も、広告費は出ています

カートやLPの作成ツール、フォームのサービスがメンテナンスに入ると、広告をクリックした人はメンテナンス画面にたどり着きます。広告の配信は、飛び先が止まったことを知りません。

メンテナンスの時間帯が分かっているなら、その間だけ広告を止めるか、飛び先を別のページに切り替える
止めなかった場合は、その時間帯の数字を施策の評価から外す。登録率や購入率が下がって見えても、広告文やLPのせいではありません

2. 予約したメールは「時刻どおり」に出ないことがあります

作業中に予定時刻を迎えたメールは、作業のあとにまとめて送られる、という扱いが多いはずです。困るのは、時刻に意味があるメールです。

「本日23時59分まで」のように締切を書いたメールが、締切のあとに届く
ウェビナーの「まもなく開始」が、終わってから届く

今日と明日の予約を開いて、時刻が入った文面がないか確かめてください。必要なら日時をずらすか、文面を直します。メールの送り方そのものの点検はなりすましメール対策は、メールを送る部署の仕事に書きました。

3. 自分たちで置いたLPやフォームは、事業者は直してくれません

SaaSなら、更新は事業者がやります。一方で、マーケティング部門が自分たちで借りたサーバーに置いているものは別です。キャンペーンのときに外注先が作ったWordPressのLP、問い合わせフォーム、役目を終えたのに残っている特設サイト。誰がサーバーを管理しているのか分からないまま動いているものが、いちばん危ない場所です。

使っていないものは、この機会に止めるのがいちばん確実です。持っていないものは、狙われようがありません。データを持ちすぎない話は相次ぐ情報漏えいのあと、顧客リストを持つマーケティング担当が今週見直すことでも書きました。

4. 棚卸しはAIに手伝わせると早く終わります

使っているツールの一覧があれば、確かめる順番はAIに作らせられます。頼み方の例を載せます。そのまま貼って使えます。

PHPの重大な脆弱性（php2shell、2026年10月21日に修正版公開）について、
マーケティング部門として確認する一覧を作ってください。

下に、私たちが使っているツールとサイトを並べます。
それぞれについて、表にしてください。
・自社で管理しているもの／サービスの事業者が管理しているもの、のどちらか
・事業者のお知らせページで、10月21日以降のメンテナンスや対応の発表を確かめる場所
・止まった場合に影響するもの（広告の飛び先、予約したメール、申込の受付など）
・自社で管理しているものは、誰に何を頼めばよいか

分からないものは推測で埋めずに「要確認」と書いてください。

〔ここに、使っているツール名・サイトのURLを並べる〕

ポイントは最後の一文です。AIはサービスの中身を知らないことが多く、推測で「影響なし」と書きがちです。確かめる場所を出させて、確かめるのは人がやります。ツール同士のつなぎ目まで洗い出すなら、自動化ツールとAIエージェントに渡した「連携の鍵」を棚卸しするの一覧と合わせると漏れが減ります。

今日、確かめておくこと

確かめること	見るポイント
広告の飛び先	飛び先のLP・カート・フォームが止まる時間帯がないか。あれば広告を止めるか飛び先を替える
予約したメール	今日と明日の予約に、締切や開始時刻を書いた文面がないか
事業者のお知らせ	カート・フォーム・メール配信・会員サイトの各社が、メンテナンスや対応を発表しているか
自社で置いたLPやフォーム	誰が管理しているサーバーか。使っていないものは止める
数字の見方	メンテナンスの時間帯の数字を、施策の評価から外したか

まとめ

10月21日、PHPに認証なしで遠隔操作されるおそれのある脆弱性2件が公表され、修正版が出た
サーバーの更新はマーケティング担当の仕事ではないが、更新のためにLP・フォーム・カート・配信ツールが止まる
止まっている間も広告は出続け、予約したメールは遅れて届くことがある
自分たちで置いたLPやフォームは、事業者は直してくれない。使っていないものは止める
棚卸しはAIに表を作らせ、確かめるのは人がやる

私たちが自社のマーケティングをAIで運用する中で、何をAIに任せ、どこに人の確認を置いているかは、無料のレポートにまとめています。止まったときに誰が何をするかを含めて、AIを入れる前に決めておくことの参考にしてください。無料レポートを受け取る

本記事の内容は2026年10月22日時点のものです。