結論
2026年10月21日、PHPに「緊急」レベルの欠陥2件（通称 php2shell、CVE-2026-109618／CVE-2026-109619）の修正版が公開されました。ログイン不要で外部からサーバーを乗っ取られうる内容で、攻撃の試みもすでに観測されています。同じ日にはNode.jsも、深刻度「High」を含む10件の修正版を出しました。
ホテルの対応は、そのシステムが自社で持つものか、SaaSとして使っているものかで分かれます。
- 自社で持つもの（自社サイト、自社開発の予約フォームやアプリ、館内のサーバーなど）：直すのはホテルが依頼した制作会社・保守会社。今日中に更新を依頼し、完了まで見届ける
- SaaSで使っているもの（予約エンジン、サイトコントローラー、クラウドPMSなど）：直すのは提供会社。今週中に発表を確かめ、なければ問い合わせて回答を記録する
なお、WordPressのプラグイン更新だけでは直りません。PHP本体の更新が必要です。
はじめに
今回の件は報道も多く、「うちのシステムは大丈夫なのか」「何をすればいいのか分からない」という声が宿泊施設からも聞こえます。国内では官公庁や銀行、ANAなど211組織がサービスの一時停止や緊急メンテナンスに踏み切りました（piyologの集計）。国家サイバー統括室と高市首相も、速やかな更新を呼びかけています。
本記事では、PHP公式の発表と各社の公表内容をもとに、自社で持つシステムとSaaSそれぞれの対応フローと、10月22日時点の各社の対応状況を整理します。同じ日に出たNode.jsの修正もあわせて扱います。各社の発表は更新されるため、最新の情報もあわせて確認してください。
php2shellとは何か
| 項目 | 内容 |
|---|---|
| 番号 | CVE-2026-109618、CVE-2026-109619 |
| 深刻度 | 2件ともCVSS v4.0で9.2（「緊急」レベル） |
| 起きうること | 外部からサーバー上で好きなプログラムを動かされる。顧客情報の流出やサイト改ざんにつながる |
| 影響を受けるもの | Webで動いているPHPのほぼすべて。最も危険なのはApacheのmod_php |
| 修正版 | 8.5.12／8.4.27／8.3.36／8.2.35 |
| 8.1以前 | PHP公式の更新対象外。最小限の修正コードだけが提供され、OS提供元や保守会社の対応次第 |
PHP公式は、攻撃がアプリが動き出す前に成立しうること、そして「完全な回避策はなく、更新が唯一の安全な選択肢」であることを示しています。WordPressやプラグインを最新にしても、この穴はふさがりません。サーバー上のPHP本体の入れ替えが必要です。
10月21日にはCloudflareやwatchTowrが攻撃の試みを観測したと発表し、攻撃コードとされるものも出回っています。IPAは同日時点で悪用を確認していないとしていましたが、未更新のサーバーが狙われるのは時間の問題と考えるべきです。
同じ日に出たNode.jsの修正
Node.jsも10月21日に、深刻度「High」を含む脆弱性10件を修正した版（v22.23.4／v24.22.1／v26.12.1）を公開しました。公式発表に悪用の記載はなく、PHPほど急ぐ状況ではありません。ただしNode.js 20以前はサポートが終わっていて修正版が出ないため、自社開発のアプリなどで使っていれば版の移行が必要です。
Node.jsはホテルの公式サイトより、委託して作った予約サイトやアプリ、SaaSの裏側で使われることが多い技術です。詳しい修正内容と対応フローはNode.jsの脆弱性10件：ホテルが確かめることと自社開発・SaaS別の対応にまとめました。問い合わせは、下の文例のようにPHPの件とまとめると手間が増えません。
対応は「自社で持つもの」と「SaaS」で分かれる
最初に決めるのは、そのシステムを誰が直す契約になっているかです。サーバーやプログラムをホテル（またはホテルが委託した制作会社）が持っていれば、ホテルが動かない限り誰も直しません。利用料を払って使うSaaSは、提供会社が直します。
| 自社で持つもの | SaaSで使っているもの | |
|---|---|---|
| 例 | 自社ホームページ（WordPressなど）、自社開発の予約フォーム・アプリ、館内のサーバー・NAS・Wi-Fi機器 | 予約エンジン、サイトコントローラー、クラウドPMS、レストラン予約、OTAの管理画面 |
| 直す人 | 制作会社・保守会社（依頼するのはホテル） | 提供会社 |
| 役割 | 更新を依頼し、完了まで見届ける | 対応状況を確かめ、記録を残す |
| 期限 | 今日中に依頼 | 今週中に確認 |
| 完了確認 | 更新後の版の番号と、更新した日時の報告 | 公式発表か、書面での回答 |
見分け方の目安は契約です。サーバーの契約や制作・保守の請求がホテル名義なら「自社で持つもの」、月額の利用料を払ってログインして使うだけなら「SaaS」です。共用レンタルサーバーはその中間で、PHP本体はサーバー会社が更新しますが、サイトをどの版で動かすかはホテル側（制作会社）が選んでいます。
自社で持つものの対応フロー
- 洗い出す（今日中）：自社ホームページ、問い合わせ・予約フォーム、自社開発のアプリ、館内のサーバーを書き出し、それぞれの制作会社・保守会社を確かめる（Wi-Fi機器まわりはホテルのWi-Fiが偽メールの踏み台にも参照）
- 版を確かめる（今日中）：PHP・Node.jsのどの版で動いているか、サーバーの種類（共用レンタルサーバー／VPS・専用サーバー）を制作会社に聞く
- 更新を依頼する（今日中）：PHPは8.5.12／8.4.27／8.3.36／8.2.35、Node.jsはv22.23.4／v24.22.1／v26.12.1以降へ（詳しくはNode.jsの記事）。PHP 8.1以前やNode.js 20以前には修正版がないので、版の切り替えを相談する
- 完了を確かめる（更新当日）：更新後の版の番号と、再起動まで済んだことを報告してもらう。共用レンタルサーバーなら、サーバー会社の「対応完了」の発表も確認する
- 動作と痕跡を確かめる（更新当日〜翌日）：予約ボタンと問い合わせフォームを実際に操作して動くか確かめ、更新前に侵入された形跡がないかも調べてもらう
- 記録して次に備える（今週中）：依頼日・完了日・版の番号を残す。PHP 8.2は2026年12月31日で公式サポートが終わるので、8.3以降への移行計画も決める
SaaSで使っているものの対応フロー
- 一覧にする（今週中）：契約しているSaaSと、その窓口（管理画面のお知らせ、サポートのメールアドレス）を書き出す
- 発表を確かめる（今週中）：公式サイトと管理画面のお知らせを見る。下の「各システムの対応状況」も参考になる
- なければ問い合わせる（今週中）：発表がないことは「影響なし」ではない。下の文例で、影響の有無・対応の完了日時・不正アクセスの形跡を書面で聞く
- 回答を記録する：「影響なし」なら理由を、「対応中」なら完了予定日を控える。取引先や監査に聞かれたときの証跡になる
- 期限までに回答がなければ催促する：予約や顧客情報を預けているサービスほど、返事待ちのまま放置しない
どちらのフローでも、「脆弱性対応のため」と称してログインやパスワード入力を求めるメールやSMSは、提供会社を名乗っていても詐欺を疑ってください。OTAのシステムは各OTAが管理しているので、ホテル側の作業はありません。
各システムの対応状況（10月22日時点）
編集部が確認できた範囲では、ホテル向けの主要なサイトコントローラーやPMSの公式サイトに、この脆弱性についての発表は見当たりませんでした。発表がないことは「影響なし」を意味しません。管理画面のお知らせを確認するか、問い合わせてください。
| 会社・サービス | 公表内容 |
|---|---|
| TL-リンカーン（シーナッツ） | 公式サイトに発表なし |
| 手間いらず | 発表なし。別件として9月28日に不正アクセスを公表し、宿泊者あての詐欺メッセージへの注意を呼びかけ中（第二報） |
| ねっぱん!++ | 公式サイトのお知らせに発表なし |
| TAP（タップ、PMS） | 公式サイトに発表なし |
| NEHOPS（NEC、PMS） | NECの製品セキュリティ情報に掲載なし（最新の掲載は8月21日の別製品の件） |
| OPERA（Oracle、PMS） | Oracleのセキュリティアラート一覧に掲載なし（最新は10月20日の定例パッチ） |
| さくらのレンタルサーバ・VPS | 10月21〜22日に緊急メンテナンス。レンタルサーバは21日22:30に完了。お知らせにPHPの記載なし |
| KAGOYA | PHP 8.2〜8.5に順次修正を適用する予定。それ以外の版は方針を検討中（21日18:20時点） |
| エックスサーバー、GMOペパボ（ロリポップ!など） | 緊急メンテナンスを実施したと報道あり（ITmedia NEWS）。公式サイトは確認時に表示されず、公式の発表内容は確認できなかった |
| ConoHa WING | 21日に緊急のサーバーメンテナンスを告知。PHPの記載なし |
レンタルサーバーの「メンテナンス完了」は、自社サイトのPHPが修正済みになったことと同じではありません。古い版（PHP 8.1以前）の扱いは会社ごとに異なるため、制作会社を通じて確認してください。手間いらずの不正アクセス事案での各施設の告知については、手間いらず事案12社の告知の読み比べで取り上げています。
問い合わせ文例
聞きたいことを番号つきで送ると、回答が早く正確になります。SaaSの提供会社にも、自社サイトの制作会社にも使えます。
件名：PHP・Node.jsの脆弱性（10月21日公開の修正）への対応状況のご確認 〇〇株式会社 ご担当者様 いつもお世話になっております。〇〇ホテルの〇〇です。 10月21日に修正版が公開されたPHPの重大な脆弱性（通称 php2shell）について、 以下をお知らせください。 1. 弊社が利用している〇〇（サービス名・サイト名）は影響を受けますか 2. 影響を受ける場合、修正版への更新は完了していますか（完了日時） 3. 未完了の場合、完了予定日と、それまでの暫定対策 4. 弊社の予約情報・顧客情報への不正アクセスの形跡の有無 【制作会社・保守会社あて】次の2点もあわせてお知らせください。 5. 弊社サイトが動いているサーバーの種類（共用レンタルサーバー／VPS／専用サーバー） 6. 弊社サイトが動いているPHPのバージョンと、8.3以降への移行の要否 ※同じ10月21日に公開されたNode.jsの修正についても、利用の有無と対応状況をあわせてお知らせください。 お手数ですが、〇月〇日までにご回答いただけますと幸いです。
「影響なし」という回答には、理由（PHPを使っていない、更新済み、など）も添えてもらうと安心です。
デメリット・リスク
- PHPの版を上げるとサイトが崩れることがある：古いテーマやプラグインは新しい版で動かない場合があります。レンタルサーバーの管理画面で自分で切り替えず、制作会社と相談してから行いましょう
- 便乗した詐欺：「脆弱性対応のため」と称してログインやパスワード入力を求めるメールやSMSは、提供会社を名乗っていても詐欺を疑ってください（ホテルを名乗る偽メールへの対応は予約詐欺メールに宿が返す4つの答え）
- 侵入されていた場合の対応：更新前に侵入されていれば、更新だけでは不正なプログラムが残ります。不審な形跡が見つかったときの初動はホテルのセキュリティSOPと初動対応を参考にしてください
まとめ
- PHP本体に「緊急」レベルの欠陥2件が見つかり、10月21日に修正版が出た。攻撃の試みも観測されている。同じ日にNode.jsも「High」を含む10件を修正した
- 対応は「自社で持つもの」と「SaaS」で分かれる。決め手は、誰が直す契約になっているか
- 自社で持つものは今日中に更新を依頼し、版の番号と完了日時の報告まで見届ける
- SaaSは今週中に発表を確かめ、なければ書面で問い合わせて回答を記録する
- WordPressの更新だけでは直らない。PHP本体の更新と再起動が必要
よくある質問（FAQ）
Q1. ホームページがWordPressで、プラグインも最新です。それでも対応が必要ですか？
必要です。欠陥はWordPressではなく、その土台のPHP本体にあります。サーバー上のPHPが修正版になっているかを、サーバー会社か制作会社に確認してください。
Q2. OTA経由の予約やOTAの管理画面は大丈夫ですか？
OTAのシステムは各OTAが管理しており、ホテル側でできる作業はありません。管理画面のお知らせに目を通しておけば十分です。
Q3. サイトコントローラーの会社から連絡がありません。
発表がないことは影響がないことを意味しません。管理画面のお知らせを確認し、なければ問い合わせ文例を使って書面で確認しましょう。
Q4. 共用レンタルサーバーの緊急メンテナンスが終わりました。もう安全ですか？
メンテナンスの完了と、自社サイトのPHPが修正済みになったことは別です。特にPHP 8.1以前を選んでいる場合は、扱いがサーバー会社によって異なります。
Q5. 自社でサーバーを持っていません。何もしなくてよいですか？
自社でサーバーを持っていなくても、ホームページや予約システムを外部に委託していれば関係します。委託先に確認し、回答を記録しておきましょう。
Q6. PHP 8.2を使っています。修正版を入れれば終わりですか？
今回はそれで対応できますが、8.2は2026年12月31日で公式サポートが終わります。年内に8.3以降への移行を計画してください。
Q7. Node.jsの脆弱性も対応が必要ですか？
自社開発のアプリや予約フォームがNode.jsで動いていれば、制作会社に修正版への更新を依頼します。SaaSの裏側で使われている場合は提供会社が直すので、PHPと同じ問い合わせであわせて確かめれば足ります。詳しくはNode.jsの脆弱性10件：ホテルが確かめることと自社開発・SaaS別の対応を参照してください。
出典：PHP公式サイト（セキュリティリリースのお知らせ、2026年10月21日）、Node.js「October 2026 Security Releases」（2026年10月21日）、IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）、ITmedia NEWS「PHPの『緊急』レベルの脆弱性、開発元が修正バージョン公開」（2026年10月22日）、piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」、JAPAN Security Summit Update「国家サイバー統括室、PHPの重大脆弱性に注意喚起」、Sophos「Proof-of-concept exploit released for PHP vulnerabilities」、さくらインターネット・KAGOYA・ConoHa WING・株式会社シーナッツ・手間いらず株式会社・株式会社タップ・NEC・Oracleの各公式サイト（いずれも2026年10月22日確認）
コメント