株式会社Rabiloo Japan（本社：神奈川県相模原市）は、2026年10月21日に公表されたPHP本体の重大な脆弱性2件を受け、企業のWebサイト・Webサービスを対象とする「PHP脆弱性緊急対応サービス」の提供を2026年10月23日に開始しました。その入口として、稼働中のPHPと今回の修正の状況を確かめる無料初期確認を受け付けています。

PHPを使っているかどうか分からない企業や、サイトの制作・保守を外部に任せている企業でも、会社名・連絡先・対象のURLだけで申し込めます。確認できたこと、確認できないこと、次の行動を分けて、専門用語を使わずにお伝えします。更新が必要な場合は、内容と費用を事前にご案内したうえで、PHPの更新と動作確認までRabilooが行います。

サービスLP：https://rabiloo.co.jp/php-vulnerability/

背景：10月21日に何が公表されたか

2026年10月21日、PHPの開発チームは、PHP本体の脆弱性CVE-2026-109618とCVE-2026-109619（通称「PHP2Shell」）と、それを直した修正版を公表しました。深刻度はいずれもCVSS v4.0で9.2（Critical）です。条件がそろうと、ログインしていない第三者が、PHPの実行権限で不正なコードを動かせるおそれがあります。修正済みのバージョンは、8.2.35、8.3.36、8.4.27、8.5.12です。国内では、IPA（情報処理推進機構）とJPCERT/CCが10月22日に注意喚起を公表しました。

Amazonは、公表前の10月17日から攻撃の試みを観測したと報告しています（実際のサイトで攻撃が成功したかどうかは不明としています）。ただし、攻撃の試みが観測されていることは、個々の企業のサイトが被害を受けたという意味ではありません。必要なのは、自社の環境を確かめ、修正が済んでいなければ更新を進めることです。

「自社が対象か分からない」企業へ

PHPは、外から見えないところでサイトやサービスを動かしています。次のどれかに当てはまれば、今回の確認の対象になり得ます。

会社のホームページ：問い合わせフォームや、お知らせを更新する画面があるサイト

WordPressのサイト：WordPress本体を更新していても、サーバーで動くPHPは別に確認が必要です

予約・会員・ECなどのWebサービス：予約画面、顧客向けのマイページ、ネットショップ、取引先向けの受発注の画面など

外部とつながるAPI：決済や在庫など、ほかのシステムとデータをやり取りする仕組み。画面がなくても対象になり得ます

サイトが普段どおり表示されていることは、修正が適用されている証拠にはなりません。また、サーバー会社やOSの提供元が、古いバージョン番号のまま修正を取り込んでいる場合もあるため、バージョン番号だけでは判断できません。

制作会社やサーバー会社に任せていて、誰に何を聞けばよいか分からない場合も、そのまま申し込めます。契約書や毎月の請求書にある会社名が分かれば、そこから確認を始められます。サーバー会社や制作会社への確認もRabilooで進められます（進め方はサーバーの管理の権限によって変わるため、個別にご案内します）。

無料初期確認の概要

対象

企業が運営するWebサイト、またはWebサービス

1つのサイトまたはWebサービスの1環境

確認すること

PHPが動いているか

動いているPHPの系統と版サーバー会社やOSの提供元が、今回の修正を取り込んでいるか

分からない点を、どこに確かめればよいか

お返しする内容

確認できたこと確認できないこと次の行動

返答の目安

受付のご連絡：お申込みから1営業日以内に、メールでご連絡します

結果のご連絡：確認に必要な情報がそろってから3営業日以内に、メールでお伝えします

費用

無料（無料初期確認から、自動で有料の作業へ進むことはありません）

申込みに必要な情報

必須：会社名、連絡先（お名前・メールアドレス・電話番号）、対象のサイト・WebサービスのURL

分かれば：サーバー会社、制作会社・保守会社、管理画面で見える情報（PHPの版の表示、サーバーの種類など）

無料初期確認には、侵入試験、網羅的な脆弱性診断、侵害されたかどうかの調査、修正の作業は含まれません。サイトのURLだけでPHPの利用や修正の適用を判定することはしないため、必要に応じて追加の情報をお願いします。申込みの際に、パスワードや秘密鍵をお知らせいただく必要はありません。フォームやメールにも書かないでください。

申込みから結果の連絡までの流れ

申込み：LPのフォームから、会社名、連絡先、対象のURLを送ります

情報の確認：足りない情報は、調べ方をお伝えするか、サーバー会社などへの確認をRabilooで進めます

初期確認：分かる範囲の情報から、PHPの稼働と、今回の修正の状況を確かめます

結果の連絡：確認できたこと、確認できないこと、次の行動を、専門用語を使わずにお伝えします

必要なら更新まで：内容と費用を事前にご案内したうえで、Rabilooが更新と動作確認まで行います

更新が必要な場合：有料の緊急対応

初期確認で更新が必要と分かった場合は、次の作業までRabilooが行えます。内容と費用は、環境を確かめたうえで事前にご案内します。作業を頼むかどうかは、結果をお伝えしたあとに決められます。

影響の調査：対象の環境が、今回の2件の影響を受ける構成かを詳しく確かめます

PHPの更新・パッチの適用：修正版への更新、または提供元の修正の適用を行い、PHPの実行プロセスを再起動します

更新後の動作確認：問い合わせフォーム、予約、ログイン、注文など、事業に関わる機能が動くかを確かめます

侵害の調査や復旧は、更新の作業とは別の専門の対応です。不審な動きがある場合は、ログや証拠を残したうえでご相談ください。

お申込み方法

サービスLPの申込みフォームから受け付けています。PHPのバージョンが分からない場合も、そのままお申し込みください。電話（070-8456-9696）でもご相談いただけます。

自社のPHP稼働環境を無料で確認する →

株式会社Rabiloo Japanについて

Rabilooは、2017年に創業したIT企業です。2022年に株式会社Rabiloo Japanを設立し、予約・会員・業務システムなどのWebサービスの開発と、その後の運用・保守を支援しています。

今回のサービスでは、初期確認から更新・動作確認までを同じ窓口で行います。確認の結果は、経営の判断に使える言葉でお伝えします。

Rabilooグループとして、ISO/IEC 27001（情報セキュリティ）、ISO 9001の認証と、CMMI Level 3の評価を取得しています。

会社概要

会社名：株式会社Rabiloo

所在地：神奈川県相模原市中央区清新一丁目1番17号 荒木ビル3階（日本法人）

ハノイ本社 ：3rd Floor, B1 Roman Plaza Building, To Huu Street, Dai Mo Ward, Nam Tu Liem District, Ha Noi, Vietnam

代表者：ゴー・ゴック・クオン

設立：2017年4月

事業内容：

AI・DXの導入支援（導入計画づくりから、業務への組み込みまで）

AIの実装（使えるAIを1か月で納める「AIファーストムーブ」ほか）

業種別のソリューションの開発・提供（AIカメラ、物流管理システム、予約システム、POSシステム、AIチャットボット、AI-OCRなど）

Webサービス・業務システム・アプリの開発

納品後の運用改善・保守

URL：https://rabiloo.co.jp

本件に関するお問い合わせ

株式会社Rabiloo Japan

電話：070-8456-9696

メール：contact@rabiloo.com

サービスLP：https://rabiloo.co.jp/php-vulnerability

参考情報

PHP公式：2026年10月21日の注意喚起 https://www.php.net/archive/2026.php#2026-10-21-5

JPCERT/CC：CVE-2026-109618／CVE-2026-109619に関する注意喚起 https://www.jpcert.or.jp/at/2026/at260033.html

IPA：PHPの脆弱性対策について https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

Amazon Threat Intelligence：公表前の攻撃の試みの観測 https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/