「ニュースでPHPが危ないって言ってたけど、うちのホームページ、今すぐ閉じたほうがいいの？」――2026年10月21日の夜から、こんなお電話やメールをいくつもいただいています。
テレビやネットで「重大な欠陥」「サイトの一時停止も」という言葉を見れば、不安になるのは当然です。銀行やネットショップが一部のサービスを止めたというニュースもあり、「うちも何かしなきゃ」とあせる気持ちもよく分かります。
でも、ここはひと呼吸。今回の件は「放っておいていい話」ではありませんが、「あわてて何かを壊す話」でもありません。この記事では、ホームページの持ち主がどの順番で、何を確かめればいいかを、できるだけやさしくまとめます。まずは4コマ漫画でどうぞ。
何が起きたの？ ニュースをやさしく整理します
PHP（ピー・エイチ・ピー）は、ホームページを動かすためのプログラムの言葉です。WordPressもPHPで動いているので、WordPressで作ったホームページの多くが関係します。
PHPの開発チームは2026年10月20日に「重大な問題を直す更新を出します」と予告し、翌21日（日本時間の21日23時ごろ）に修正版を公開しました。見つかった問題は2件で、条件がそろうと、ログインしていない外部の人が、サーバーの上で勝手にプログラムを動かせてしまうおそれがある、というものです。
| 項目 | 内容 |
|---|---|
| 脆弱性の番号 | CVE-2026-109618、CVE-2026-109619（通称「PHP2shell」） |
| 深刻度 | どちらもCVSS v4.0で9.2（10点満点の「緊急」クラス） |
| 修正されたバージョン | PHP 8.5.12／8.4.27／8.3.36／8.2.35 |
| PHP 8.1以前 | PHPの開発チームからの更新は終了。配布元やサーバー会社の対応を確認するか、新しいバージョンへの切り替えが必要 |
※PHP公式サイト（php.net）の2026年10月21日のお知らせをもとに、コムネットが要点を整理したものです。
日本でも、情報処理推進機構（IPA）が修正版の公開前から準備を呼びかけ、公開後には対策の実施を求める注意喚起を出しています。IPAは公開前の時点で、今回の脆弱性を悪用した攻撃は確認していないとしていました。
「あわてない」と「放っておく」はちがいます
今回いちばんお伝えしたいのは、ここです。深刻度が高いのは事実で、対策そのものは早いほうがいい。PHPの開発チームも、更新することだけが完全な対策だとはっきり書いています。
そのうえで「あわてない」とは、状況を確かめてから、正しい順番で動くということです。たとえるなら、地震のあとに家を飛び出す前に、まずガスの元栓と家族の無事を確かめるようなもの。ニュースの勢いのまま設定をいじったり、サイトを消したりすると、かえって困ったことになりかねません。
「閉鎖したほうがいいですか？」というご相談には、まず「どこのサーバーで、PHPはいくつですか？」とお聞きしています。答えによって、やることがまったくちがうんです。
まず確かめたい3つのこと
自分のホームページがどの状態にあるかで、やることが変わります。次の3つを、上から順に確かめてみてください。
| 確かめること | 確かめ方 |
|---|---|
| ① どこのサーバーで動いているか | 毎月・毎年の請求書やメールで、契約しているレンタルサーバーの会社名を確かめる。VPSや自社サーバーかどうかも見ておく |
| ② サーバー会社が何と言っているか | そのサーバー会社の公式サイトや「障害・メンテナンス情報」のページで、今回のPHPの件のお知らせを読む |
| ③ PHPのバージョンはいくつか | WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確かめられる。サーバーの管理画面に表示されることも多い |
①〜③が分からない、ログイン情報が見つからない、という方もご安心ください。それも大事な「現状が分かった」という一歩です。無料ホームページ診断で、一緒に確かめることもできます。
状況別・いまやること
3つを確かめたら、自分のサイトに近い行を見てください。
| あなたのサイトの状況 | いまやること |
|---|---|
| 一般的なレンタルサーバー（共用サーバー）で、PHPが8.2〜8.5 | PHPそのものの更新は、ふつうはサーバー会社が行います。お知らせで「対応完了」を確かめれば、まずはひと安心。管理画面が一時的に使えないのは、予防のための停止という場合もあります |
| レンタルサーバーだが、PHPが8.1以前 | サーバー会社のお知らせで、古いバージョンへの対応を確かめる。あわせて、PHP 8.3以上への切り替えを計画的に進める（下の章を参照） |
| VPS・自社サーバー・制作会社が管理するサーバー | PHPの更新は、サーバーを管理している人の仕事です。管理者や制作会社にすぐ連絡し、修正版への更新が済んだかを確かめる |
| 誰が管理しているか分からない／制作会社と連絡がつかない | まずは契約情報とログイン情報を探す。自分で判断がつかないときは、専門家に現状の確認を頼む |
※上の表は、PHP公式サイトの情報と各社の公表内容をもとにした、コムネットによる説明のための目安です。実際の対応は、ご契約のサーバー会社の案内を優先してください。
たとえば、さくらインターネットは2026年10月22日、同社のコントロールパネルで選べるすべてのPHPバージョンについて対応を終えたと案内しています。このように、レンタルサーバーでは事業者が先回りして動いていることが多いのです。
なお、政府からは「対応が難しい場合は、サイトを一時停止することもリスクを下げる方法の一つ」という呼びかけもありました。これは、更新する手段がない・誰も管理していないといった場合の選択肢です。サーバー会社が対応済みのサイトまで、あわてて閉じる必要はありません。迷ったら、閉じる前に一度ご相談ください。
あわてて「やりがちなNG」
ニュースが大きくなると、よかれと思った行動が裏目に出ることがあります。次のようなことは、ひと呼吸おいてからにしましょう。
- サイトやデータをいきなり削除する：あとで戻せなくなります。止めるにしても、まずバックアップを取ってから
- 管理画面でPHPのバージョンをいきなり切り替える：古いテーマやプラグインが新しいPHPに対応しておらず、画面が真っ白になることがあります
- 「緊急対応が必要です」というメールや電話に、すぐ答える：大きなニュースのあとは、それに便乗した連絡が届くこともあります。リンクを押す前に、契約先の公式サイトを自分で開いて確かめましょう
- 「うちは小さいサイトだから」と何もしない：攻撃は自動のプログラムで広く行われるため、サイトの大きさは関係ありません
WordPressの画面が真っ白になって「PHPの件でやられた！」とご連絡いただいたら、じつはバージョンを切り替えた直後だった……ということもあります。触る前にバックアップ、が合言葉です。
本当に気をつけたいのは「古いPHP」のまま動いているサイト
今回の件で見えてきたのは、PHPのバージョンが古いまま止まっているサイトの弱さです。PHP 8.1以前は、すでにPHPの開発チームからの更新が終わっています。今回のような問題が見つかっても、公式の修正版は出ません。
また、PHP 8.2も2026年12月31日でセキュリティ修正が終わる予定です。今回の更新で直ったとしても、年明け以降に同じような問題が見つかれば、直す手段がなくなります。8.2以前を使っている場合は、今回をきっかけに8.3以上への切り替えを計画しておくと安心です。
切り替えは、おおまかに次の順番で進めます。
- サイト全体（ファイルとデータベース）のバックアップを取る
- WordPress本体・テーマ・プラグインを新しくし、新しいPHPに対応しているか確かめる
- テスト環境や、表示の確認ができる状態で切り替えを試す
- 本番を切り替え、表示・お問い合わせフォーム・メールなどを一通り確かめる
ここで止まりがちなのが、何年も更新していないサイトです。テーマやプラグインが古すぎて、そのままでは新しいPHPで動かないこともあります。長く手を入れていないサイトの注意点は、ホームページを長い期間更新しないデメリットでもまとめています。
ニュースを「点検のきっかけ」に変えましょう
大きなニュースは、ふだん見ないホームページの裏側を見直すいい機会です。今回の件で、「サーバーがどこか分からなかった」「ログイン情報が見つからなかった」と気づいた方も多いのではないでしょうか。
それが分かっただけでも、次に何かあったときの動きはずっと速くなります。サーバーの契約先、ログイン情報、PHPのバージョン、最後に更新した日。この4つを一枚のメモにまとめておくだけで、立派な備えになります。
「直すべきところが多そうで、作り直したほうが早いのでは？」と感じた方は、ホームページは「作り直す」か「直す」か？も参考にしてください。多くの場合、今あるサイトを生かしたまま安全な状態に戻せます。気になる点があれば、無料ホームページ診断でお気軽にご相談ください。
ホームページ修理工房にできること
ホームページ修理工房では、ホームページを作り直さずに、気になるところだけを直すお手伝いをしています。今回の内容なら、たとえば次のような作業です。
- サーバーの契約先・PHPのバージョン・管理状況の確認
- サイト全体のバックアップの取得
- WordPress本体・テーマ・プラグインの更新と、新しいPHPへの対応確認
- PHPのバージョン切り替えと、切り替え後の表示・フォームの動作確認
- 管理者が分からないサイトの、ログイン情報や契約情報の整理
今のサイトのホームページ修正のほか、ホームページの新規作成も承ります。全国オンラインで対応しています。
※本記事の内容は、2026年10月22日時点で下記の出典に記載された情報にもとづいています。脆弱性の状況やサーバー各社の対応は、今後変わる可能性があります。最新の情報は各公式サイトでご確認ください。
出典
- PHP「Security advisory: Critical remote code execution vulnerabilities, update now」ほか（2026年10月20日・21日）https://www.php.net/archive/2026.php
- IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
- さくらインターネット「PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について」（2026年10月22日）https://help.sakura.ad.jp/notification/n-2700/
- PHP「Supported Versions」https://www.php.net/supported-versions.php
- 共同通信「プログラム言語PHPに重大欠陥 ウェブ7割で使用、攻撃の恐れ」（2026年10月21日、Yahoo!ニュース）https://news.yahoo.co.jp/articles/58d44be22eb9b20ce344a8e50791b0276153e5e5
