「PHPの脆弱性、うちのホームページは大丈夫？」と聞かれて、制作者が最初に確かめたこと

はじめに

「PHPの脆弱性のニュースを見たんですが、うちのホームページは大丈夫ですか？」

2026年10月21日の前後、電話やメール、チャットで、こうした問い合わせを何件もいただきました。「何をすればいいの？」「うちは関係あるの？」と聞き方はさまざまでしたが、不安の中身は同じです。

ただ、その場ですぐに「大丈夫です」とは答えられませんでした。答えは、そのサイトがどのサーバーで、どのバージョンのPHPで動いていて、誰が面倒を見ているかで変わるからです。まず状況をお聞きし、分からないところは調べてから、お返事しました。

私は静岡県富士市でWeb制作とシステム開発をしています。納品したサイトの多くはWordPressで、PHPの上で動いています。この記事では、今回の騒ぎで何が起きたのか、なぜ「うちは大丈夫？」にすぐ答えられないのか、制作する側がこの数日で何をしたのか、そして発注者の方が今日からできる確認を書きます。

なお、脆弱性の情報やサーバー会社の対応は日々更新されています。この記事の内容は2026年10月23日時点のものです。

何が起きたのか？

2026年10月21日、プログラミング言語PHPの開発元が、PHP本体の重大な脆弱性2件を修正したバージョンを公開しました。PHP公式サイトの発表では、2件とも深刻度は「緊急（critical）」で、ログインしていない第三者がサーバー上でプログラムを実行できてしまう種類の欠陥です。公表の前から実際の攻撃の試みが観測されていたと、複数のセキュリティ企業が報告しています。

PHPは、WordPressをはじめ、多くのホームページの裏側で動いている言語です。PHPそのものについてはPHPのバージョンが古いまま放置するリスクとアップデートが必要な理由で詳しく書いたので、ここでは省きます。

今回の要点は、欠陥がWordPressやプラグインではなく、PHP本体にあることです。WordPressを最新版に更新しても、この脆弱性は直りません。直すには、サーバーで動いているPHP本体を修正版にする必要があります。

騒ぎの大きさは、周りの動きからも分かります。国家サイバー統括室はXで更新の速やかな適用を呼びかけ、運用を外部に委託している場合は委託先の対応状況も確かめるよう求めたと報じられています。大手のレンタルサーバー会社は、緊急のメンテナンスに入りました。エックスサーバーは10月21日16時から、予防的な措置として公式サイトや管理画面を一時停止しています。同社は、不正アクセスによる停止ではないと説明しています。

「うちは大丈夫？」に、なぜすぐ答えられないのか？

答えを決める情報が3つあるからです。どのサーバーを使っているか、PHPのバージョンはいくつか、誰が保守をしているか。この3つが分からないと、制作者でも「大丈夫」とも「危ない」とも言えません。

問い合わせをいただいたとき、私が最初に聞き返したのも、この環境のことでした。使っているサーバー会社の名前がうろ覚えの方もいらっしゃいました。責めるつもりはありません。サーバーの契約は制作のときに一度したきりで、その後は意識しないのが普通です。ただ、今回のように急いで確かめたい場面では、その普通が足かせになります。

サーバーの種類によって、PHP本体を直すのが誰なのかが変わります。

共用のレンタルサーバーの場合、PHP本体を管理しているのはサーバー会社です。今回も、エックスサーバーやさくらインターネットなどが、自社のサーバーに修正を当てています。利用者がやることは、サーバー会社のお知らせで対応が完了したかを確かめることが中心になります。

VPSやクラウド、自社で管理しているサーバーの場合は、話が変わります。PHP本体を更新するのは、サーバーを管理している自社か、保守を任せている会社です。誰かが更新しない限り、古いままです。サーバー会社が何とかしてくれるだろうと思っていたら、実は誰も手を付けていなかった、ということが起こり得ます。

もう1つ、8.1以前の古いPHPを使っている場合は注意が必要です。PHPの公式は、8.1以前のバージョンには修正版を出していません。修正に必要な最小限のコードは公開されたものの、それを当てるかどうかはサーバー会社や管理者に委ねられています。エックスサーバーは公式のお知らせで、PHP 5.6から8.5までの各バージョンへの修正の適用を10月22日中に終えたと発表しました（5.5以下は作成・検証中）。ただ、私が確認した範囲では、7.4などの古いバージョンは修正が当たっても、表示されるバージョン番号は変わっていませんでした。番号だけを見て、修正済みかどうかは判断できないということです。

ちなみに、WordPressを使っていない静的なサイトでも、問い合わせフォームの送信などにPHPを使っていることは珍しくありません。WordPressじゃないから関係ない、とは言い切れないので、制作した会社に一度確かめておくと安心です。

制作する側は、この数日で何をしたか？

ニュース、SNS、サーバー会社からのお知らせと、情報は一気に押し寄せました。最初にしたのは、内容と影響の範囲を調べることです。どのバージョンが対象か、修正版はいつ出るか、納品したサイトのサーバーはどう対応するのか。ここを押さえないまま連絡しても、お客様の不安を増やすだけだと考えました。

次に、納品先ごとに控えてあるサーバーやPHPのバージョンの記録を見ながら、各サイトの現状を確かめました。

そのうえで、これまで納品したお客様に順番に連絡しました。先に連絡したのは、保守契約をいただいているお客様です。契約上すぐにサイトの中まで確認できる先から動くのが、一番早く安全を確かめられるからです。続けて、保守契約のないお客様にも緊急でご連絡しました。契約の有無に関係なく、何も知らないまま時間が過ぎる状態だけは避けたいと考えたからです。

お伝えした内容は、だいたい次の4つです。

• 今回の脆弱性の概要。何が起きていて、なぜ騒ぎになっているのか
• サイトの表示や、問い合わせフォームなどの機能を確認し、現時点で異常が見られないこと
• サーバー会社が対応中なので、サーバー会社からのお知らせに注意してほしいこと
• お知らせのどこを見ればいいか。対応の完了報告と、利用者に追加の対応を求める案内が出ていないか

ただ、表示や機能に異常が見られないことは、侵入されていないことの証明にはなりません。今回の脆弱性は、修正版が出る前から攻撃の試みが観測されていました。修正が当たったあとに、見覚えのない管理者アカウントや、最近書き換えられたファイルが無いかまで確かめておくと安心です。

問い合わせへの返事も、同じ考え方で行いました。「何をすればいい？」と聞かれても、答えはその方の環境しだいです。使っているサーバー、PHPのバージョン、保守の状況をお聞きし、分からないところはこちらで調べてからお返事しました。

古いPHPのまま動いているサイトを見つけたときは、その事実とリスクをそのままお伝えしています。それをきっかけに保守を任せていただくこともあれば、費用はかけたくない、これまで何もなかったからこのままで、というお返事をいただくこともあります。どちらを選ぶかは、お客様が決めることです。保守を断った後に実際に何が起きるかは、WordPressの保守は本当に必要？保守費用を断られた制作者が正直に線引きしますに書きました。

「これまで何もなかった」は、なぜ通用しなくなっているのか？

攻撃する側が、速く、巧妙になっているからです。

IPA（情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」の2026年版では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。同じ一覧の2位は「サプライチェーンや委託先を狙った攻撃」、4位は「システムの脆弱性を悪用した攻撃」です。今回のPHPの件は、この4位にそのまま当てはまります。

身近なところでは、詐欺メールの増え方が分かりやすい例です。フィッシング対策協議会によると、2025年のフィッシング報告件数は過去最多の245万4,297件で、前年の約1.43倍でした。同協議会のレポートは、生成AIを活用した巧妙な攻撃が増えていることにも触れています。

私の実感も、この数字と重なります。最近、「こんなメールが来たけど大丈夫かな？」という相談が増えました。見せていただくと、実際には詐欺メールであることがほとんどです。不安をあおる文面でリンクをクリックさせ、パスワードなどの大切な情報を入力させようとします。

今回のPHPの騒ぎにも、さっそく便乗の動きがあります。琉球銀行は10月22日、「PHPの脆弱性」や「セキュリティ対応」を理由にしたメールが送られるおそれがあるとして、注意を呼びかけました。同行は、脆弱性への対応を理由にIDやパスワード、口座情報などの入力を求めることはないと明記しています。

これまで何もなかったのは、たまたま狙われなかっただけかもしれません。生成AIを使った巧妙な手口が増えている今、何も起きていないことは、安全の証明になりにくくなっています。製造業がサイバー攻撃の標的になりやすい理由は、中小製造業こそ狙われる？他人事では済まないサイバー攻撃対策にまとめています。

今日からできる5つの確認

1. 使っているサーバー会社と、契約の名義を確かめる

サーバー会社からの請求メールや、制作時の契約書を探してみてください。会社名と、契約が自社名義か制作会社名義かが分かれば十分です。制作会社名義の場合、サーバー会社からのお知らせが届くのは制作会社で、自社には届かないことがほとんどです。

2. サーバー会社のお知らせを見る

サーバー会社の公式サイトには、お知らせや障害・メンテナンス情報のページがあります。今回の件なら、PHPの修正が完了したか、利用者に追加の対応を求める案内が出ていないかを確かめます。

3. PHPのバージョンを見る

WordPressなら、管理画面の「ツール」から「サイトヘルス」を開き、「情報」タブの「サーバー」の欄で確かめられます。サーバーの管理画面でも確認できます。8.1以前なら、制作会社に今後の対応を相談してください。8.2も、2026年12月31日でPHP公式のサポートが終わります。年内に8.3以上へ切り替える相談を始めておくと、慌てずに済みます。切り替えの進め方と費用の決まり方は、PHP 8.2のサポートが年末で終わる。バージョンアップの手間と費用は何で決まるのかに書きました。先ほど書いたとおり、古いバージョンは修正済みでも番号が変わらないことがあるので、番号は「どのバージョンを使っているか」を知るための情報として見てください。

4. 騒ぎに便乗したメールは、リンクから入らない

PHPの脆弱性への対応が必要です、セキュリティ確認のためログインしてください、といったメールが届いても、本文のリンクからログインしたり、情報を入力したりしないでください。本物かどうかは、ブックマークや公式アプリなど、普段使っている経路からサービスにアクセスして確かめます。迷ったら、制作会社にそのまま転送して聞いてもらって構いません。

5. 保守を誰に、何を任せているかを確かめる

保守契約があるなら、その中にPHPのバージョンの管理やサーバーの確認が含まれているかを見てください。あわせて、使っているサーバーやPHPのバージョンを、保守を任せている会社が控えているかも聞いておくと、今回のようなときの確認が早くなります。契約がないなら、今回のようなときに誰へ連絡するかだけでも決めておきます。

まとめ

• PHP本体の緊急の脆弱性は、WordPressの更新では直らない。PHP本体の修正が必要
• 「うちは大丈夫？」の答えは、サーバーの種類、PHPのバージョン、保守の担い手で決まる
• 共用のレンタルサーバーなら、サーバー会社が直す。お知らせで完了を確かめる。VPSや自社管理のサーバーなら、誰が直すのかを確かめる
• 8.1以前には公式の修正版が無く、8.2も年内でサポートが終わる。番号だけでは修正済みかを判断できない
• 便乗した詐欺メールは、リンクから入らず、普段の経路で確かめる

今回、問い合わせへの答えに時間がかかったのは、お客様の環境をお聞きするところから始める必要があったからです。保守で日頃から中を見ているサイトは、すぐに状況を確かめられました。自社のサイトがどのサーバーで、どのバージョンで動き、誰に任せているのか。この3つを手元にメモしておくだけでも、次に同じような騒ぎが起きたときの最初の一歩は、ずっと早くなります。

私は静岡県富士市でWeb制作とシステム開発をしています。うちのサイトがどのサーバーで動いているかも分からない、という段階からで構いません。環境の確認から一緒に始めます。お問い合わせからどうぞ。