2026年10月、ホームページの多くで使われている「PHP」に重大な弱点が見つかりました。何が起きたのか、自社のサイトは大丈夫か、何をすればよいのかを、専門用語をできるだけ使わずに整理します。
2026年10月21日、プログラミング言語「PHP」の開発元が、重大な脆弱性（ぜいじゃくせい＝セキュリティ上の弱点）2件を公表し、修正版を公開しました。国内でも大きく報道され、首相がXで対応を呼びかけたことも報じられています。
エックスサーバーやロリポップ！など、レンタルサーバー各社は対応を進めています。ただし、サイトの作り方や契約によっては、ご自身で確かめて手を打つ必要があります。PHPの開発元は「更新することが唯一の完全な対策」としています。この記事では、その見分け方と対処の順番をまとめました。
この記事の要点
PHPは、ホームページの裏側で動く仕組みのひとつです。WordPressで作ったサイト、ネットショップ、予約や問い合わせのフォームなど、多くのサイトがPHPで動いています。
今回見つかった弱点は2件です（識別番号 CVE-2026-109618 と CVE-2026-109619）。2つを組み合わせた攻撃は「PHP2Shell」と呼ばれています。PHPの開発元は、ログインなしで外から勝手にプログラムを実行される恐れがあると説明し、すべての利用者にすぐ更新するよう強く求めています。
| 日付 | 出来事 |
|---|---|
| 10月21日 | PHPの開発元が脆弱性2件と修正版を公表（日本時間では同日の夜）。IPA（情報処理推進機構）は公表前に事前準備を呼びかけ |
| 10月21日 | 国家サイバー統括室がXで注意喚起し、首相もXで対応を呼びかけたと報じられた（修正版の公開前に、同日深夜に出る修正プログラムを適用する準備を求める内容） |
| 10月21〜22日 | ロリポップ！など一部のレンタルサーバーで、予防のための一時停止や緊急メンテナンスが行われた |
| 10月22日 | IPAとJPCERT/CC（国内のセキュリティ対応機関）が注意喚起を公表 |
| 10月26日 | 米国の政府機関CISAが「実際に悪用された脆弱性」の一覧に掲載（IPAの更新情報より） |
※日付は各機関の公表日です。詳しくは末尾の参考リンクをご覧ください。
「外から勝手にプログラムを実行される」とは、サイトの持ち主でない人が、サーバーの上で好きな操作をできてしまう状態です。放っておくと、たとえば次のようなことにつながる恐れがあります。
RISK 01
サイトの改ざん
ページを書き換えられ、偽のサイトや不審なページへ誘導される恐れがあります。
RISK 02
情報の持ち出し
問い合わせ内容や会員・注文の情報など、サーバーにあるデータを抜き取られる恐れがあります。
RISK 03
攻撃の「踏み台」
乗っ取ったサーバーから迷惑メールを送ったり、他社を攻撃したりする中継点に使われる恐れがあります。
JPCERT/CCは、この弱点を悪用できるとする実験用のプログラムが多数公開され、攻撃を試みる通信も相次いで報告されているとしています。10月29日の更新では、ある通信機器（ファイアウォール製品）で侵入に成功したことを示す痕跡が見つかったという報告にも触れています。
IPAは、11月4日に確認した時点で「国内での攻撃被害の事例は把握していない」としています。ただし、これは安全が確認されたという意味ではありません。「様子を見る」ではなく「確かめて手を打つ」段階です。
「うちはただのホームページだから」と思っていても、フォームの部分だけPHPを使っていることはよくあります。分からない場合は、サイトを作った会社に聞くのが確実です。
ツール → サイトヘルス → 情報 タブ → サーバー を開くと、PHPのバージョンが表示されます。
たとえばエックスサーバーでは「サーバーパネル」の PHP Ver.切替、ロリポップ！では「ユーザー専用ページ」の サーバーの管理・設定 → PHP設定 で、ドメインごとに確認できます。
| 表示された版 | 読み方 |
|---|---|
| 8.2.35／8.3.36／8.4.27／8.5.12 以上 | 修正済み 今回の2件は直っている版です。なお、特定の設定でだけ起きる別の脆弱性（CVE-2026-115560）が10月23日に公表され、次の定期更新で修正される予定です。今後も更新は続けてください。 |
| 8.2〜8.5 でそれより前の数字 | 要対応 修正前の版です。サーバー会社の告知を確認し、更新してください。 |
| 8.1 以前（7.x、5.x など） | 要確認 開発元の更新はありません。サーバー会社が独自に修正を当てている場合があり、数字だけでは判断できません。サーバー会社の告知を必ず確認してください。 |
たとえばエックスサーバーは、PHP 5.1〜8.5のすべての対象サーバーへの対応を10月26日朝までに終えたと告知しています。PHP 8.1以前については、版の数字を変えずに修正を当てたと説明しています。ロリポップ！も、古い版を含むすべての版に修正を適用したと報告しています。まずはご契約のサーバー会社の告知を見るのが近道です。
共用のレンタルサーバーなら、サーバー会社が修正を当てていることが多いです。一方、VPSや自社管理のサーバーは、利用者が自分で更新する必要があります（エックスサーバーもVPSは利用者側の対応としています）。
サイトのファイルとデータベースを保存しておきます。何かあっても元に戻せるようにするためです。
自分で管理しているサーバーは、修正版（8.2.35／8.3.36／8.4.27／8.5.12）に更新します。8.1以前は開発元からの通常の更新がないため、使っている場合はサポートが続いている版への切り替えを計画してください。切り替えると画面が崩れることもあるので、表示やフォームの動きを確かめながら進めます。
PHPの版を上げる前後に、WordPress本体と、追加機能（プラグイン）やデザイン（テーマ）も更新します。長く更新が止まっているプラグインは、新しい弱点の原因になりやすいので見直しの候補です。
IPAは、有効な暫定策が難しい場合、外部からのアクセスを遮断したりサービスを一時停止したりすることも検討するよう求めています。サーバー側でパスワードをかけて一時的に非公開にするなどの方法があります（有効かどうかは環境によります。方法はサーバー会社や制作会社にご確認ください）。止めると問い合わせなども受けられなくなるので、業務への影響と合わせて判断してください。
見覚えのないページやファイル、勝手に増えた管理者アカウントがないかを確認します。JPCERT/CCは、修正とあわせて「攻撃を受けていないか」の調査も勧めています。サーバーのアクセス記録（ログ）は保存期間が限られることがあるので、早めに保存しておくと安心です。
攻撃の痕跡が見つからなくても、「被害がない」と言い切ることはできないとされています。改ざんや不審なファイルに気づいたら、記録を残したうえで、サーバー会社やサイトの制作・保守の担当者に早めに相談してください。
今回の件で、多くの会社で「自社のサイトが何で動いていて、誰が面倒を見ているのか」を確かめる機会になりました。次に備えて、次の3つを整えておくと安心です。
01
サポート期限を知っておく
PHP 8.2の修正提供は2026年12月31日で終わる予定です。WordPressは8.3以上を推奨しています。期限の前に切り替えを計画しましょう。
02
定期的に更新する
WordPressやプラグイン、PHPの更新を月に1回など決まった周期で行うと、急な対応に追われにくくなります。
03
窓口と体制を決める
サーバーの契約者、管理画面に入れる人、相談先を一覧にしておきます。保守契約で外部に任せるのもひとつの方法です。
IPAも、長く更新していないシステムは、担当者の不在や保守契約の終了で対策が難しくなる場合があるとし、経営層も含めて人員・予算・保守体制を検討するよう呼びかけています。サイトは「作って終わり」ではなく、手入れを続けるものだという前提で考えておくことが大切です。
b.mode株式会社では、サイトの保守管理をお任せいただいているお客様には、必要な対応のご案内を進めています。
保守契約のないサイトのご相談もお受けしています。たとえば次のようなことです。
「何から確かめればいいか分からない」という段階でも大丈夫です。状況をうかがったうえで、必要なことだけをご提案します。
サイトの保守、PHPのバージョンアップ、セキュリティ対策のご相談は、下記のフォームから承ります。問い合わせ種類は「案件のご依頼・相談などの問い合わせ」をお選びください。
参考リンク（2026年11月4日に内容を確認）
本記事は2026年11月4日時点の公開情報にもとづいています。各機関・各社の告知は更新されることがありますので、最新の内容は参考リンク先でご確認ください。首相および国家サイバー統括室の呼びかけは、複数の報道によります（一次情報は各機関・本人のX投稿）。
本記事は一般的な情報提供であり、個別のサイトやサーバーの安全性を保証するものではありません。実際の対応は、ご契約のサーバー会社や制作・保守の担当者にご確認ください。