PHP2Shell公開直後の国内調査、358社で修正版を確認。一方、77.1%はサポート終了版
目次
2026年10月21日、PHPに認証不要のリモートコード実行につながる重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）が公表され、同日、修正版が公開されました。
ペンタコン研究所では、この発表を受け、毎月実施している「日本の外部公開面」の2026年10月観測を予定より前倒しし、修正版の公開から約7時間後に調査を開始しました。
日本企業44,425社の観測結果
日本企業44,425社のWebサイトを観測し、応答ヘッダからPHPのバージョンを確認できた2,941社について、今回の修正版の利用状況を集計しました。
| 区分 | 社数 | 割合 |
|---|---|---|
| 修正版を利用 | 358社 | 12.2% |
| 修正版より前（サポート中のバージョン） | 316社 | 10.7% |
| サポートが終了したバージョン | 2,267社 | 77.1% |
出典：ペンタコン研究所「日本の外部公開面」2026年10月観測
修正版の公開から約7〜8時間後の観測で、358社が今回公開された修正版を利用していました。
PHP 8.2〜8.5のサポート中の系列を利用していた674社に限ると、358社（53.1%）が修正版を利用していました。
サポート終了版を利用する企業が77.1%
一方、PHPのバージョンを確認できた2,941社のうち、2,267社（77.1%）はPHP本家のサポートが終了した系列を利用していました。
内訳を見ると、PHP 7.4系が1,030社、5.6系が267社、5.3系が139社でした。
今回の脆弱性に対応する修正版が公開されたPHP 8.2〜8.5とは異なり、これらの系列はPHP本家によるセキュリティサポートの対象外です。
なお、PHP 7.4〜8.1系については、PHPのセキュリティチームが最小限の修正をソースで公開しています。また、配布元や長期サポートの事業者が、古いバージョンのまま修正を提供している場合もあります。このため、サポートが終了したバージョンを利用している企業の中にも、修正が適用されている企業が含まれている可能性があります。
修正版の適用と旧バージョンからの移行
今回の観測では、サポート中のPHPを利用する企業の半数以上で、修正版公開から約7〜8時間後に修正版が確認されました。その一方で、調査対象の77.1%はサポート終了版を利用していました。
同じPHPの更新でも、サポート中の系列にセキュリティ修正を適用することと、古い系列から新しい系列に移行することは異なります。
後者では、既存のWebアプリケーションとの互換性確認や改修が必要になる場合があります。
今回の調査結果は、重大脆弱性への迅速な対応が進む一方で、サポートが終了したソフトウェアからの移行が課題として残っていることを示しています。
調査データ
ペンタコン研究所「日本の外部公開面」2026年10月観測
観測対象：日本企業44,425社
PHPの集計対象：バージョンを確認できた2,941社
