「PHPのニュース、夜中に大騒ぎだったんですね。……で、うちのサイトはどうなったんですか？」――翌朝、こんなお電話をいただきました。お客様の声は、とても落ち着いていました。それもそのはず、お客様がぐっすり眠っているあいだに、確認も応急処置も終わっていたからです。
2026年10月21日の夜、ホームページを動かすプログラム「PHP」の重大な脆弱性（ぜいじゃくせい＝セキュリティ上の弱点）を直す修正版が公開されました。ホームページ修理工房を運営するコムネットでは、その夜、管理をお預かりしているサイトの点検と対策を、明け方まで続けていました。いわゆる徹夜です。
この記事は、その一夜の「舞台裏」のお話です。何が起きて、なぜ夜のうちに動いたのか。そして、そこから見えてきた「保守」という仕事の本当の中身を、できるだけやさしくお伝えします。まずは4コマ漫画でどうぞ。
あの夜、何が起きていたのか
まずは、ニュースの流れをおさらいしておきましょう。今回見つかった弱点は2件で、条件がそろうと、ログインしていない外部の人が、サーバーの上で勝手にプログラムを動かせてしまうおそれがあるというものでした。深刻度はどちらも「CVSS v4.0で9.2」。10点満点でいえば、ほぼ最上級の「緊急」クラスです。
| 日付 | できごと |
|---|---|
| 10月20日 | PHPの開発チームが「重大な脆弱性2件を直す修正版を、21日に公開する」と予告 |
| 10月21日（日中） | 情報処理推進機構（IPA）が「公開後すぐに適用できるよう準備を」と、PHPを使っているものの棚卸しを呼びかけ |
| 10月21日（夜） | 修正版 PHP 8.5.12／8.4.27／8.3.36／8.2.35 が公開（予告では日本時間23時） |
| 10月22日 | IPAが、修正版の適用を求める注意喚起を公表 |
| 10月23日 | PHPの開発チームが、特定の設定で起こりうる別の問題（CVE-2026-115560）についても告知 |
※PHP公式、IPA、技術評論社（gihyo.jp）の公表内容をもとに、コムネットが要点を整理したものです。
なお、今回の件で「自分のサイトは何を確かめればいいの？」という方は、「PHPに重大な脆弱性」のニュース、まず深呼吸にまとめています。この記事は、その「裏側」編です。
なぜ「朝まで待つ」ではいけなかったのか
「夜中に出たなら、翌朝やればいいのでは？」と思われるかもしれません。ふだんの更新なら、それでも十分です。でも今回は、事情が少しちがいました。
ひとつは、修正版が出る前から、詳しい内容が外部に出回っていたと報じられていたこと。もうひとつは、攻撃の動きがとても速かったことです。海外のセキュリティ報道によると、通信の保護サービスを手がけるCloudflare社は、公開から45分で数万件、翌22日の早い時間には数百万件の攻撃の試みを観測したと伝えています。
攻撃は人が手作業で行うのではなく、自動のプログラムでネット中のサイトに次々と送られます。サイトの大きさや知名度は関係ありません。だからこそ、「朝になってから」では間に合わないかもしれない、と判断しました。
たとえるなら、台風が夜中に上陸すると分かっているのに「雨戸は明日の朝閉めよう」とは言わないのと同じです。
コムネットがその夜にやった3つのこと
では、実際に何をしていたのか。派手なことは何もありません。地味な確認を、1件ずつ積み重ねただけです。
| やったこと | 中身 | なぜ必要か |
|---|---|---|
| ① 保守先サイトの棚卸し | 管理をお預かりしているサイトについて、どのサーバーで動いているか、PHPのバージョンはいくつかを洗い出す | 「どこに、何があるか」が分からないと、守る順番が決められないため |
| ② サーバー会社の対応確認 | レンタルサーバーで動いているサイトは、各サーバー会社のお知らせで、今回の件への対応状況を確かめる | PHP本体の更新は、ふつうはサーバー会社の仕事。「誰が直すのか」を確定させるため |
| ③ PHPの更新と緩和策 | コムネットで管理するサーバーはPHPを修正版に更新。すぐに更新できないところは、開発チームが案内する設定（緩和策）で守りを固める | 自分たちで直せるところは、自分たちで直すしかないため |
ここで大事なのは③の「緩和策」の位置づけです。PHPの開発チームは、完全な回避策はなく、更新することだけが安全な選択だとはっきり書いています。緩和策は、あくまで本当の修理までのあいだの応急処置。包帯を巻いたら治療が終わり、ではありません。
夜中にいちばん時間がかかったのは、じつは「直す作業」より「確かめる作業」でした。どのサイトがどこにあって、PHPはいくつか。それが分かってしまえば、あとはやることが決まるんです。
「直すのはサーバー会社」でも、確かめる人は必要です
レンタルサーバーで動いているサイトなら、PHPそのものの更新はサーバー会社が行うのがふつうです。実際、今回も多くのサーバー会社が素早く対応していました。
では、サーバー会社に任せておけば何もしなくていいのかというと、そうとも言い切れません。サイトの持ち主側にも、次のような「確かめ役」の仕事が残ります。
| だれの仕事？ | 主な中身 |
|---|---|
| サーバー会社 | サーバーに入っているPHP本体の更新、サーバー全体の守り |
| サイトの持ち主（または保守担当） | 自分のサイトがどのサーバー・どのPHPで動いているかを把握する／お知らせを読んで「対応済み」かを確かめる／古いPHPを選んだままになっていないかを見る／WordPress・テーマ・プラグインを新しく保つ |
※一般的なレンタルサーバー（共用サーバー）の場合の目安です。契約の内容によって分担は変わります。
とくに注意したいのが、PHPのバージョンが古いまま止まっているサイトです。PHP 8.1以前は、すでに開発チームからの通常の修正が終わっています。PHP 8.2も、2026年12月31日でセキュリティ修正が終わる予定です。今回はしのげても、次に同じようなことが起きたとき、直す手段がなくなってしまいます。
「1回で終わり」ではありませんでした
明け方に作業を終え、ひと息ついた2日後。10月23日に、PHPの開発チームからもうひとつのお知らせが出ました。特定の、あまり一般的ではない設定の組み合わせで、プログラムを勝手に動かされるおそれがある、という内容です（CVE-2026-115560）。
開発チームは「実際には起こりにくい構成」として、緊急ではなく次回の定例の更新で直す方針を示し、それまでのあいだは、21日の件でも案内していた設定（アップロード進捗の機能を止める設定）を使うよう呼びかけています。
ここから分かるのは、セキュリティの話は、ニュースが静かになったあとも続くということです。大きな修正のあとには、追加の情報や、関連する別の問題が出てくることがよくあります。「ニュースを見たときだけ対応する」では、こうした続報を取りこぼしてしまいます。
保守とは「何も起きなかった朝」をつくる仕事
今回の一夜をふり返って、あらためて思うのは、保守の成果は目に見えにくいということです。
うまくいけば、お客様から見た翌朝は「いつもと同じ朝」です。サイトはふつうに表示され、お問い合わせフォームもいつもどおり動いている。何も起きていないように見える。でもそれは、何も起きないように、夜のうちに誰かが動いていたからです。
火災報知器が鳴らない毎日に、ふだん感謝する人はいません。夜間の当直医がいる病院も、何事もない夜は静かなものです。それでも、いざというときに「確かめる人」「動ける人」がいるかどうかで、結果は大きく変わります。
逆に、こんな状態のサイトは、いざというときに動き出すまでに時間がかかります。
- どこのサーバーで動いているか、だれも分からない
- サーバーやWordPressのログイン情報が見つからない
- 作った制作会社と連絡がつかない
- PHPやWordPressを何年も更新していない
どれか一つでも当てはまる方は、今回のニュースを「点検のきっかけ」にしてください。長く手を入れていないサイトのリスクは、ホームページを長い期間更新しないでいると生じるデメリットでもくわしくまとめています。
翌朝のお電話で「寝てただけなのに終わってたの？」と言われたときは、ちょっと誇らしかったです。ただ、正直に言うと、そのあと少しだけ昼寝をしました。
今日からできるセルフチェック
次の夜が来る前に、わが家（わが社）のサイトの「現在地」を確かめておきましょう。5分あればできます。
| チェック項目 | 確かめ方 | 安心の目安 |
|---|---|---|
| サーバーの会社名 | 請求書や契約メールを見る | 会社名と、管理画面へのログイン方法が分かる |
| PHPのバージョン | WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」 | 8.3以上（8.2は2026年末で修正が終わる予定） |
| お知らせの受け取り先 | サーバー会社に登録しているメールアドレスを確かめる | ふだん読んでいるアドレスに届く |
| 管理しているのはだれか | 社内・制作会社・保守会社のどこかを書き出す | 「この人に聞けば分かる」が決まっている |
| 最後に更新した日 | WordPressの「ダッシュボード」→「更新」 | 本体・テーマ・プラグインに長く放置した更新がない |
一つでも「分からない」があれば、それが今のサイトの弱点です。自分で確かめるのが難しいときは、無料ホームページ診断で一緒に確認することもできます。
ホームページ修理工房にできること
ホームページ修理工房では、ホームページを作り直さずに、気になるところだけを直すお手伝いをしています。今回のような「いざというとき」に備えて、たとえば次のような作業を承ります。
- サーバーの契約先・PHPのバージョン・管理状況の確認と整理
- サイト全体のバックアップの取得
- WordPress本体・テーマ・プラグインの更新と、新しいPHPへの対応確認
- PHPのバージョン切り替えと、切り替え後の表示・お問い合わせフォームの動作確認
- 制作会社と連絡がつかないサイトの、ログイン情報や契約情報の整理
「次の夜は、だれかに任せて眠りたい」という方は、ホームページ修正・保守のページをご覧ください。まずは今のサイトの状態を知るところから、無料ホームページ診断でお気軽にどうぞ。
※本記事の内容は、2026年10月25日時点で下記の出典に記載された情報にもとづいています。脆弱性の状況やサーバー各社の対応は、今後変わる可能性があります。最新の情報は各公式サイトでご確認ください。漫画と冒頭のお電話のやりとりは、説明のための例です。
出典
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
- PHP（php-src）「PHP 8.4.27」リリースノート（2026年10月21日）https://github.com/php/php-src/releases/tag/php-8.4.27
- 技術評論社 gihyo.jp「PHP、重大な脆弱性2件を修正 ――認証なしのリモートコード実行に対処」（2026年10月23日更新）https://gihyo.jp/article/2026/10/php-critical-security-release
- The Hacker News「PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches」（2026年10月23日）https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html
- Huntress「Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities」（2026年10月20日）https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities
- PHP「Supported Versions」https://www.php.net/supported-versions.php
