「うちのホームページ、PHPって使っているのかな？」「制作会社に任せきりで、誰に聞けばいいか分からない」
2026年10月21日、Webサイトの開発に広く使われているプログラミング言語「PHP」で、深刻な脆弱性が2件公表されました。修正版はすでに公開されていますが、PHPを使っているサイトでは、サーバー側のPHPを更新する必要があります。
広島の企業でも、ホームページや予約システム、通販サイト、社内システムなどにPHPが使われているケースは少なくありません。ただ、自社のサイトが対象かどうかは、担当者でないと分かりにくいのが実情です。
この記事では、今回の脆弱性の要点、自社サイトが対象かを確認する手順、誰に何を確認すればよいか、更新するときの注意点までを、専門知識がなくても判断できるように整理しました。
※本記事は2026年10月22日時点の情報にもとづいています。状況は変わる可能性があるため、最新の情報は、PHP公式サイトや、IPA・JPCERT/CCなどの公的機関、ご利用のサーバー会社の案内でご確認ください。
【まず結論】広島の企業が今日やるべき3つのこと
詳しい説明の前に、結論を先にお伝えします。
- 自社のホームページや業務システムが、PHPで動いているかを確認する
- PHPで動いている場合は、そのバージョンと、修正が済んでいるかを確認する
- 管理を任せている会社（制作会社・サーバー会社など）に、対応状況を問い合わせる
なお、WordPressやプラグインを最新にしても、今回の脆弱性は解消しません。PHPはサーバー側で動くプログラムのため、サーバー側の更新が必要です。
今回の脆弱性の要点｜何が起きたのか
まず、公式の情報をもとに、今回の件の要点を整理します。
1. 2件の脆弱性が公表された
PHPの開発元が公表したのは、CVE-2026-109618とCVE-2026-109619の2件です。どちらも、CVSS v4.0という評価基準で9.2と、最も高い区分の「緊急（Critical）」とされています。
どちらも、ログインしていない外部の第三者が、サーバー上でプログラムを実行できてしまう（リモートコード実行）おそれがある、という内容です。
2. 修正版はすでに公開されている
PHP公式の告知によると、修正版は次の4つです。
- PHP 8.5系：8.5.12
- PHP 8.4系：8.4.27
- PHP 8.3系：8.3.36
- PHP 8.2系：8.2.35
公式は、更新が唯一の完全な対策だと説明しています。設定変更による回避策は、攻撃の経路を減らす程度で、安全になるわけではないとされています。
3. 影響を受けるのは、Webリクエストを処理するPHP環境
PHP公式によると、影響を受けるのは、Webからのリクエストを処理するすべてのPHP環境です。Apacheのmod_phpや、PHP-FPMなどが含まれます。
サポートが終了したPHP 8.1以前のバージョンには、通常の更新が提供されません。この古いバージョンについては、サーバー会社や保守会社が独自に修正を提供している場合があるため、ご利用中の会社に確認が必要です。
4. 公開前から、悪用の試みが報告されている
今回は、修正版の公開前に情報が外部に流出し、検証用のコードも出回ったと報じられています。複数のセキュリティ企業から、悪用を試みる動きが観測されたという報告もあります。
私たちが確認した範囲では、特定のサーバーへの侵入に成功した事例が確認された、という報道は見当たりませんでした。ただし、状況は日々変わるため、油断はできません。
5. 政府も異例の呼びかけを行った
報道によると、高市首相は10月21日の夜、Xで「今夜に対応して頂きたい大至急のお願い」として、修正パッチを速やかに適用できる準備をするよう呼びかけました。すぐに適用できない場合は、ウェブサイトなどの一時停止も、リスクを減らす手段として有効だとしています。国家サイバー統括室も、Xで同様の呼びかけを行ったと報じられています。
また、IPAやJPCERT/CCも、注意喚起を公表しています。国内でも、複数のサービスで緊急メンテナンスが行われたと報じられています。
なぜ「今日」の対応が呼びかけられたのか
今回、国のトップや担当部署が、異例ともいえる早さで呼びかけを行った背景には、次のような事情があります。
- ログインしていない第三者が、外部から攻撃を試せるとされていること
- 修正版の公開前に情報が流出し、公開前後から悪用の試みが観測されたと報告されていること
- 広く使われているPHPが対象で、影響を受けるサイトが多いと考えられること
- 設定の変更では完全に防げず、更新が唯一の完全な対策とされていること
このように、時間的な余裕が少ない状況です。業務への影響を心配して、対応が後回しになりがちですが、経営者や管理職の方が、状況を把握して、判断を後押しすることが、対応の速さにつながります。
PHPとは？広島の中小企業にも関係する理由
PHPは、Webサイトを動かすためのプログラミング言語の1つです。画面に見える部分ではなく、サーバーの中で、お問い合わせフォームの処理や、記事の表示などを担っています。
PHPは、次のようなシステムで広く使われています。
- WordPressで作られたホームページやブログ
- お問い合わせ・予約・会員登録などのフォームを備えたサイト
- ECサイト（ネットショップ）
- 社内向けの業務システムや管理画面
広島の企業では、制作会社に作ってもらったWordPressのサイトを、レンタルサーバーで運用しているケースが多く見られます。そのため、次のような状況が起こりがちです。
- サイトを作った会社と、サーバーの契約先が別々になっている
- 担当者が異動・退職して、サーバーの管理者が分からなくなっている
- 公開後は一度も、PHPのバージョンを確認していない
今回のように、サーバー側の更新が必要になる脆弱性では、こうした「誰が管理しているのか分からない」状態が、対応の遅れにつながりやすくなります。
【まず確認】自社サイトは対象か？3ステップで判断する
専門知識がなくても、次の3ステップで、自社サイトの状況を整理できます。
ステップ1：サイトがPHPで動いているかを確認する
次のいずれかに当てはまる場合は、PHPで動いている可能性が高いです。
- WordPressで作られている（管理画面にログインして、記事や固定ページを更新できる）
- お問い合わせフォームや予約フォームがある
- ネットショップの機能（カートや決済）がある
- 制作会社から「PHPで作っています」と聞いたことがある
HTMLだけで作られた、更新機能のないサイトは、PHPを使っていない場合があります。ただし、同じサーバーで、別のシステムが動いている場合もあるため、判断に迷うときは、制作会社やサーバー会社に確認しましょう。
ステップ2：PHPのバージョンを調べる
WordPressをお使いの場合は、管理画面から確認できます。「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」の項目に、PHPのバージョンが表示されます。
WordPress以外のシステムや、管理画面にログインできない場合は、制作会社・保守会社・サーバー会社に、バージョンを問い合わせてください。
ステップ3：修正版かどうかを確認する
確認したバージョンを、次の基準と照らし合わせます。
- 8.5系で8.5.12以降、8.4系で8.4.27以降、8.3系で8.3.36以降、8.2系で8.2.35以降：修正版になっています
- 8.2〜8.5系で、上記より前のバージョン：更新が必要です
- 8.1以前（7.4、8.0など）：サポートが終了しています。サーバー会社などが独自に修正を提供しているか、サポート対象のバージョンへの移行が必要です
- バージョンが分からない、または判断できない：管理者に確認してください
ここで注意したいのが、表示されているバージョン番号だけでは、判断できない場合があることです。Linuxのサーバーでは、バージョン番号を変えずに、修正だけを取り込む運用がされていることがあります。また、サーバー会社が、自動で更新している場合もあります。
そのため、バージョン番号に加えて、サーバー会社や保守会社の公式な案内も、あわせて確認することが大切です。
誰に何を確認する？管理体制のパターン別の動き方
PHPの更新は、誰がサーバーを管理しているかによって、動き方が変わります。自社の状況に近いものを確認してください。
① レンタルサーバーを契約している場合
多くの企業は、このパターンです。サーバー会社によって、対応の状況は異なります。
例えば、さくらインターネットは、2026年10月22日付の告知で、レンタルサーバーで提供しているPHPのバージョンに、修正を適用したと案内しています。サポート対象のバージョンを使うことが推奨されています。同じ告知では、同社のVPSについて、PHPを利用者自身で動かしている場合は、利用者側での更新が必要だと案内されています。
このように、サーバー会社が対応する範囲と、利用者が対応する範囲は、サービスや契約の内容によって違います。サーバー会社の公式サイトのお知らせや、管理画面の通知を、まず確認しましょう。事業者によっては、利用者が管理画面でPHPのバージョンを切り替える必要がある場合もあります。
② 制作会社・保守会社に任せている場合
契約している会社に、今日中に連絡しましょう。問い合わせの文面の例を、次に示します。
- 貴社が管理している当社のサイト（URL）は、PHPで動いていますか
- 現在のPHPのバージョンを教えてください
- 2026年10月21日に公表されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応は、完了していますか
- 未対応の場合、対応の予定日と、作業中にサイトが止まる可能性を教えてください
- 更新後の動作確認は、どのように行いますか
保守契約がない場合や、連絡がつかない場合は、次の③④も参考にしてください。
③ 自社でサーバーを管理している場合
自社でVPSやクラウドのサーバーを管理している場合は、担当者が、使っているPHPを修正版に更新します。更新後は、PHPを動かしているプロセスの再起動も必要です。更新だけでは、修正が反映されないことがあります。
OSの標準パッケージを使っている場合は、OSの提供元が出した、修正済みのパッケージを確認してください。
④ 誰が管理しているのか分からない場合
次の書類や情報から、管理者を探してみましょう。
- サーバーの利用料金の請求書や、クレジットカードの利用明細
- ドメインの管理会社からの更新通知メール
- サイトを制作したときの見積書・契約書・納品書
- サイトのフッターや、過去のやりとりに残っている制作会社の名前
どうしても分からない場合は、サイトの管理や保守を行っている専門会社に相談する方法もあります。
PHPを更新するときの注意点｜WordPressサイトを例に
PHPを新しいバージョンに更新すると、古い仕組みで作られたテーマやプラグインが、動かなくなる場合があります。今回のような緊急の更新ほど、慌てて作業して、サイトが表示されなくなるリスクがあります。次の点に注意しましょう。
1. 作業前にバックアップを取る
サイトのデータ（ファイルとデータベース）の、バックアップを取ってから作業します。うまくいかなかった場合は、PHPのバージョンを元に戻したうえで、バックアップから復元します。
2. テーマ・プラグインの互換性を確認する
WordPress公式は、PHPを更新する前に、WordPress本体・テーマ・プラグインを最新にして、互換性を確認するよう案内しています。更新が止まっているテーマやプラグインを使っている場合は、開発元への確認や、代わりのものへの置き換えを検討してください。
3. できれば、テスト環境で先に確認する
本番のサイトを更新する前に、テスト用の環境で、表示や動作を確認できると安心です。
4. 更新後は、サイトの主な機能を確認する
更新が終わったら、次の点を確認します。
- トップページや主要なページが、正しく表示されるか
- お問い合わせフォームから、メールが届くか
- 予約・会員登録・ネットショップの決済が、正常に動くか
- 管理画面にログインして、記事を更新できるか
なお、WordPress公式は、PHP 8.3以上を推奨しています。更新するバージョンは、サイトとの相性や、サポート期限を考えて選ぶことが大切です。例えば、PHP 8.2は、2026年12月31日にサポートが終了する予定です。
すぐに更新できないときの考え方
テーマやプラグインの互換性などの事情で、すぐに更新できない場合もあります。その場合は、リスクを減らすための手段を、あわせて検討しましょう。
- 一時的に、サイトの公開を止める（首相も、リスクを減らす手段として有効だとの考えを示しています）
- 特に影響の大きい機能（ログイン、予約、決済など）だけでも、一時的に止める
- WAF（Webサイトを守る仕組み）などの保護を、サーバー会社や管理会社に確認する
ただし、これらは更新までの、時間をかせぐための手段です。PHP公式も、設定の変更による回避策は、攻撃の経路を減らすだけで、安全になるわけではないと説明しています。更新を、できるだけ早く進めてください。
影響を受けた場合に、事業で起こりうること
万が一、脆弱性を悪用された場合は、サイトの種類によって、次のような影響が考えられます。
- サイトの内容が書き換えられる、または不正なページが設置される
- サーバー内のデータが、第三者に見られる、または持ち出される
- お問い合わせフォームや会員登録で預かっている、お客様の個人情報が漏えいする
- サイトが一時的に止まり、予約や注文の機会を失う
- 「安全でない」と判断され、検索結果などで、信頼を損なう
報告によると、今回の脆弱性では、コードを実行されなくても、サーバーのメモリ上の情報が読み取られる可能性があるとも指摘されています。個人情報を預かっている場合は、特に注意が必要です。
なお、個人情報が漏えいした場合は、法律にもとづく報告や、本人への通知が必要になる場合があります。万が一の際は、慌てずに、専門家や公的機関の案内を確認しながら進めましょう。
侵害の可能性を確認するポイント
修正版の公開前から、悪用の試みが報告されているため、すでに影響を受けていないかの確認も大切です。次のような兆候がないか、保守担当者や管理会社に、確認してもらいましょう。
- 見覚えのないファイルが、サーバー上に追加・変更されている
- 身に覚えのない管理者アカウントが、追加されている
- 見覚えのない定期実行の設定（cron）が、追加されている
- サーバーのログに、不審なアクセスや、エラーの多発が残っている
- サイトの表示が、突然おかしくなった
疑わしい兆候が見つかった場合は、自分で調べたり、ファイルを消したりする前に、ログや設定のコピーを残しておきましょう。そのうえで、専門家やIPAなどの公的機関の相談窓口に、ご相談ください。
よくある3つの誤解
① 「WordPressを最新にしているから大丈夫」
WordPress本体やプラグインの更新では、今回のPHPの脆弱性は解消しません。PHPは、サーバー側で動くプログラムです。WordPressとは別に、サーバー側のPHPを更新する必要があります。
② 「うちは小さい会社だから、狙われない」
今回の脆弱性は、ログインしていない第三者が、外部から攻撃を試せるとされています。公開前後から、悪用の試みが観測されたという報告もあり、会社の規模が小さいから対象外、とは言い切れません。規模にかかわらず、確認しておくことが大切です。
③ 「サーバー会社が、全部やってくれるはず」
サーバー会社が対応する範囲は、サービスや契約の内容で異なります。利用者側で、PHPのバージョンの切り替えや、確認が必要になる場合もあります。お使いのサーバー会社の案内を、必ず確認しましょう。
PHP脆弱性に関するよくある質問
Q. PHPのバージョンが分かりません。どうすればよいですか？
WordPressの場合は、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。管理画面に入れない場合や、WordPress以外の場合は、制作会社・保守会社・サーバー会社に、バージョンを問い合わせてください。
Q. HTMLだけのシンプルなホームページは、対象になりますか？
PHPを使っていないサイトであれば、今回の脆弱性の対象外となる可能性が高いです。ただし、同じサーバーでほかのシステムが動いている場合は、そちらが対象になることがあります。念のため、管理している会社に確認しましょう。
Q. PHPを更新したら、サイトの表示が崩れたり、エラーが出たりしたら？
慌てずに、PHPのバージョンを、元に戻せるか確認してください。そのうえで、バックアップから復元する方法もあります。原因が、テーマやプラグインとの相性にある場合は、開発元への確認や、置き換えが必要です。ただし、元のバージョンに戻すと、脆弱性が残ったままになるため、できるだけ早く、対策を立てることが大切です。
Q. 今使っているPHP 8.2のままで、問題ないですか？
8.2系の場合は、8.2.35以降に更新されていれば、今回の修正は含まれています。ただし、PHP 8.2は、2026年12月31日にサポートが終了する予定です。今回の更新とあわせて、新しいバージョンへの移行計画も、早めに立てておくと安心です。
Q. 保守契約をしていない場合は、どこに相談すればよいですか？
サイトを制作した会社や、サーバー会社に、まず相談してみてください。それが難しい場合は、WordPressやサーバーの保守に対応している専門会社に、ご相談いただく方法もあります。
広島の企業がやりがちな3つの失敗パターン
① 担当者が不在のまま、対応が止まってしまう
「誰が管理しているのか分からない」まま、時間だけが過ぎてしまうケースです。まず、管理者の特定を最優先にしましょう。契約書や請求書をたどるだけで、分かる場合も少なくありません。
② 古いバージョンのまま、使い続けてしまう
PHP 7.4など、サポートが終了した古いバージョンを使い続けると、今回のような脆弱性が見つかっても、通常の更新が提供されません。「動いているから」と放置せず、サポート対象のバージョンへの移行を、計画的に進めましょう。
③ 更新したあとの、動作確認を怠る
更新が終わったことに安心して、お問い合わせフォームの動作確認を忘れると、メールが届かない状態が続き、問い合わせの機会を逃すことがあります。更新後は、主要な機能を必ず確認してください。
《今回の対応で押さえたい基本ルール》
- 情報は、PHP公式サイトや、IPA・JPCERT/CCなどの公的機関、ご利用のサーバー会社の案内など、信頼できるところで確認する。SNSの断片的な情報だけで判断しない
- 作業の前に、必ずバックアップを取る
- 誰が・いつ・何を更新したかを、記録に残しておく
- 疑わしい兆候があるときは、自分で消したり直したりする前に、ログや設定のコピーを残す
- 更新後は、主要な機能が正常に動くかを、必ず確認する
まとめ｜広島の企業が、優先順位をつけて進めるために
今回のPHPの脆弱性は、PHPを使っているサイトや業務システムに、広く関わる問題です。ただし、すべてを一度に解決する必要はありません。優先順位をつけて、順番に進めましょう。
今回の件は、PHPの更新だけの話ではありません。ホームページや業務システムを「作って終わり」にせず、誰が、どの頻度で点検するのかを決めておく、よい機会でもあります。サーバーの契約先、制作会社、保守の担当者、更新の手順を一覧にまとめておくだけでも、次に同じようなことが起きたとき、対応のスピードは大きく変わります。
今日やること
- 自社のサイトや業務システムが、PHPで動いているかを確認する
- 管理している会社を特定して、対応状況を問い合わせる
- PHPのバージョンが、修正版かどうかを確認する
今週中にやること
- 更新が必要な場合は、バックアップを取ったうえで、PHPを更新する
- 更新後に、フォームや決済など、主要な機能の動作を確認する
- すぐに更新できない場合は、一時停止や保護の手段を検討する
今月中にやること
- PHP 8.1以前など、サポートが終了したバージョンを使っている場合は、移行計画を立てる
- PHP 8.2をお使いの場合は、2026年12月31日のサポート終了に向けて、移行を検討する
- 今後も、PHPやWordPressの更新を、誰が・いつ行うのかを決めておく
相談先を選ぶときに確認したい3つのポイント
自社だけでの対応が難しい場合は、外部の専門会社に相談する方法もあります。依頼する前に、次の3点を確認しておくと安心です。
- 作業の前に、サイトの現状（PHPのバージョン、使っているテーマやプラグイン）を調べてもらえるか
- 作業の前にバックアップを取り、うまくいかなかった場合に、元に戻せる体制があるか
- 更新後に、フォームや決済などの動作確認を行い、結果を報告してもらえるか
あわせて、作業の内容と費用、対応にかかる期間も、事前に確認しておきましょう。緊急の対応であっても、「何を、どこまで行うのか」が分かる形で、依頼することが大切です。
PHPのバージョン確認や更新でお困りの広島の企業様へ
マザーハンズ株式会社は、広島で、ホームページの制作やWordPressの運用・保守、集客のご支援をしています。
「PHPのバージョンが分からない」「管理会社に連絡がつかない」「更新してサイトが動くか不安」といった場合は、まずはご相談ください。
サイトの現状の確認から、更新作業を進めるうえでの注意点まで、貴社の状況に合わせてご案内します。
参考情報
- PHP公式｜セキュリティ告知（2026年10月21日）
- JVNVU#99905564｜PHPにおける複数の任意のコードが実行可能な脆弱性
- IPA｜PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619）
- JPCERT/CC｜PHPにおける複数の脆弱性に関する注意喚起
- さくらインターネット｜PHPの脆弱性に関する当社の対応状況について
- WordPress日本語サイト｜PHPを更新する
