トレンドマイクロ、PHPの重大な脆弱性「PHP2Shell」への支援・対応策を発表
～無料のPHP2Shellリスク評価ツール「PHP2Shell Exposure Checker」を公開。PHPサービスを守る中小企業向けのソリューションを提供開始～
2026年10月23日
トレンドマイクロ株式会社（本社：東京都新宿区、代表取締役社長 兼 CEO：エバ・チェン 東証プライム：4704、以下、トレンドマイクロ）は、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619、通称「PHP2Shell」）に対し、日本の法人組織および中小企業が自社のリスクを把握し、被害を防ぐための対応・支援策を発表します。具体的には、PHP2Shellの影響有無を確認できる無料のPHP2Shellリスク評価ツール「PHP2Shell Exposure Checker」を提供します。また、中小企業向けにPHP2Shell攻撃からPHPサービスを守る「TrendLife PHP vulnerability web shielding」の提供を開始します。
トレンドマイクロは、「デジタルインフォメーションを安全に交換できる世界の実現」をビジョンに、AI時代において昨今急増するサイバー攻撃に向けたセキュリティ対策の強化に貢献しています。今回の支援策は、当社が発表した日本の法人組織・中小企業・個人のお客さまを対象としたイニシアティブ※に続くものです。
※2026年10月19日発表Japan Cyber Resilience Initiative（日本向けサイバーレジリエンス支援策）
https://www.trendmicro.com/ja_jp/about/newsroom/press-releases/2026/pr-20261019-01.html
PHP2Shellとは：パッチ公開前に情報が流出した2件の重大なPHP脆弱性
PHP2Shellは、PHPにおける2件の重大なリモートコード実行（RCE）の脆弱性（CVE-2026-109618、CVE-2026-109619）です。PHPの修正版が公開される前に、脆弱性の詳細が流出し、エクスプロイトコードも公開されました。2026年10月21日に、修正版（PHP 8.2.35、8.3.36、8.4.27、8.5.12）が公開されています。
いずれの脆弱性もCVSS v4.0のスコアは9.2（Critical）で、認証を必要とせずにリモートコード実行につながるおそれがあります。Apache mod_phpやPHP-FPMを含む、Web経由で利用されるPHP環境が影響を受け、サポートが終了した古いブランチも影響を受ける可能性があります。初期段階の悪用試行も報告されており※、未修正システムに対する攻撃が広がるリスクは大幅に高まっています。PHP自体の脆弱性に起因するため、WordPress、Magento、独自開発のアプリケーションにパッチを適用しても解決せず、完全な回避策もありません。
※実環境での悪用成功は、独立した検証によって確認されていません（TrendAIセキュリティブログ、2026年10月22日）
当社製品では、アップデートの展開が完了するまでの間、脆弱なシステムを保護する仮想パッチを提供しています。
◆PHP2Shellリスク評価ツール「PHP2Shell Exposure Checker」（無料）
「自社のPHPは影響を受けるのか」を確認するための診断ツールを、専用サイトで公開しました。
診断ツールのURL：https://php2shell.trendmicro.com/
●診断したいWebサイトのURLを入力するだけで、公開Webサイトの応答（HTTPヘッダーなど）から、PHP2Shellの影響を受ける可能性を確認できます。
●影響を受ける可能性があるPHPのバージョンや、修正版のバージョンも、同サイトで確認できます。
なお、診断結果はPHPのバージョンなど外部から確認できる情報に基づく目安であり、脆弱性の有無や安全性を保証するものではありません。Linuxディストリビューションなどでは、バージョン表記を変えずに修正が提供される場合もあるため、最終的な判断にはセキュリティチームや運用パートナー、ベンダーへの確認が必要です。
PHP2Shellリスク評価ツール「PHP2Shell Exposure Checker」
◆PHP2Shell攻撃からPHPサービスを守る中小企業向けの対策ソリューション「TrendLife PHP vulnerability web shielding」
中小企業向けのお客さま向けのソリューションとして、お客さまのWebサイト宛の通信をクラウド上のリバースプロキシで中継し、攻撃を遮断して正当な通信のみを転送します。このサービスは、7日間無料で利用することができます。
詳細はこちらをご覧ください。
※本サービスは修正版を適用するまでの暫定的な防御です。PHPの修正版は直ちに適用してください。
「TrendLife PHP vulnerability web shielding」のサービスイメージ図
トレンドマイクロ代表取締役社長 兼 CEO エバ・チェンは次のように述べています。「PHPの脆弱性は、世界中の企業と人々の生活に影響を及ぼしており、とりわけ事業がウェブサイトの運営に依存する中小企業は、サイトに被害が生じるとサービスの停止や受注不能、情報漏えいといったリスクに直面しかねません。今回の問題は一か所の修正では対処が完了しないため、当社はネットワーク層での攻撃遮断とエンドポイントでの防御を組み合わせた多層的な保護策を提案し、修正作業を安全に進めるための時間を確保することに貢献します」。
トレンドマイクロは、セキュリティ対策の強化が急務となっている中小企業のお客さま向けに、10月19日に発表した支援策の一つとして、「ウイルスバスター ビジネスセキュリティサービス」の60日間の無料体験※を提供しています。
※60日間の無料体験は、2026年12月31日までに利用を開始いただいたお客さまが対象となります。
トレンドマイクロは、サイバーセキュリティ関連で以下を発表・公開しています。
●TrendAIセキュリティブログ「パッチ公開前に情報が流出した2件の重大なPHP脆弱性：組織が今すぐ取るべき対応」脆弱性の詳細、組織が優先して取るべき対応、TrendAI製品による検知・防御の方法を解説
https://www.trendaisecurity.com/ja/resources-insights/trendai-security-blog/two-critical-php-flaws-leaked-before-the-patch-what-organizations-should-do-now
●TrendLifeブログ「PHPの脆弱性とは？一般の利用者とサイト運営者が知っておきたい影響と対策」一般の利用者とサイト運営者それぞれが、今回の脆弱性に便乗した詐欺への注意点も含め、取るべき対応を解説
https://trendlife.com/ja-jp/blog/article-php-vulnerability
●TrendLifeブログ「個人情報が漏えいしたらどうする？今すぐできる対処法と相談先」パスワード、クレジットカード、運転免許証など、漏えいした情報の種類ごとに個人ができる対処法と、公的な相談先を解説
https://trendlife.com/ja-jp/blog/article-personaldataleak-whattodo
PHP2Shellに関するトレンドマイクロ製品およびサービスへの影響は以下をご覧ください。
●TrendLifeセキュリティアラート：PHPの重大なリモートコード実行の脆弱性について（CVE-2026-109618/CVE-2026-109619）
https://helpcenter.trendlife.com/ja-jp/article/TMKA-13389
●TrendAIセキュリティアラート：https://success.trendmicro.com/ja-jp/solution/KA-0024791
※ 2026年10月23日現在の情報をもとに作成したものです。今後、内容の全部もしくは一部に変更が生じる可能性があります。
※ TREND MICROはトレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。
Copyright (c) 2026 Trend Micro Incorporated. All Rights Reserved.