PHPの脆弱性、自社のサイトは直った？確かめ方と聞き方

PHPの脆弱性で、自社のホームページは大丈夫？

10月21日に公表されたPHPの脆弱性は、外部の第三者にサーバー上でプログラムを動かされるおそれがある重大なものです。多くのレンタルサーバーではサーバー会社が修正しますが、契約の形によっては自動では直りません。確実なのは「誰が・何で確かめたか」を制作会社に聞くことです。

PHP（ピーエイチピー）は、ホームページを動かすためのプログラムの言語です。WordPressをはじめ、お問い合わせフォームや予約・会員の仕組みなど、多くのホームページの「土台」として使われています。見た目のデザインではなく、その裏側でページを組み立てている部分です。

2026年10月21日、PHPの開発元が2つの脆弱性（弱点）と、それを直した新しい版を公表しました。2つを組み合わせた攻撃は「PHP2shell」と呼ばれています。翌22日にはJPCERT/CC（JPCERTコーディネーションセンター）とIPA（情報処理推進機構）が注意喚起を出し、速やかに対策するよう呼びかけました。

JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日公開）

IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日公開）

悪用されると、遠くにいる第三者が、サーバーの上で好きなプログラムを動かせる可能性があります。ホームページの書き換えや、サーバーに置いてある情報の持ち出しにつながりかねない種類の弱点です。修正版は、PHP 8.5.12・8.4.27・8.3.36・8.2.35 です。

WordPressで作ったホームページなら、ほぼすべてが当てはまると考えてください。 気になるのは「自分のサイトは、もう直っているのか」だと思います。ここからは、私たちがこの数日、保守を担当するサイトを1件ずつ確かめるなかで分かったことをお伝えします。

直すのは誰か：サーバーの契約で変わります

修正するのは、多くの場合サーバー会社です。ただし、どんな契約でサーバーを借りているかで、待っていれば直るのか、誰かが手を動かす必要があるのかが変わります。

PHPはホームページの中ではなく、サーバーに入っているものです。そのため、直す役目はサーバーを管理している人にあります。契約の形ごとに整理すると、次のとおりです。

当社の場合（2026年10月）

共用のレンタルサーバーで預かっているサイトは、サーバー会社が公表の翌朝までに修正版へ切り替えていました。版によっては、サーバー会社が独自に用意した修正が、その日のうちに順に当てられていきました。

一方、専用サーバーで動いている1件は、そうはいきませんでした。サーバーの管理会社が修正入りのPHPに更新し、サーバーを再起動するまで、直らないままでした。直ったのは公表の2日後です。それまでの間は、管理会社への確認と、お客さまへの経過のご報告を続けました。

同じ「レンタルサーバー」でも、契約の形が違えば、直るまでの道のりはまったく違います。

今日やること: 自社のホームページが、どの形の契約で動いているかを確かめてください。分からなければ、制作会社に「うちのサーバーは共用ですか、専用ですか」と聞けば十分です。

管理画面の番号を見ても、直ったかは分かりません

PHPのバージョンの番号は、管理画面などで見られることがあります。ただ、その番号だけで「直った」とは判断できません。実際に動いている場所で、修正が入ったかを確かめる必要があります。

今回、私たちが確かめたなかには、バージョンの番号が変わらないまま、修正だけが入ったサイトがありました。サーバーの中で、PHPが更新された記録と修正の日付を見て、ようやく直ったと分かったものです。番号だけを見ていたら「まだ直っていない」と誤解するところでした。

逆のこともあります。あるサイトでは、当社のサーバーにファイルが残っていましたが、実際にそのホームページを表示していたのは別のサーバーでした。手元のサーバーをいくら確かめても、そのサイトが直ったかどうかは分かりません。

• ×「管理画面にバージョン○○と表示されているから大丈夫」
• ○「実際に動いているサーバーで、修正が入った日を確かめた」

今日やること: 番号の見方を覚える必要はありません。「確かめた人」に、どこで何を見て確かめたかを聞くほうが、早くて確実です。

制作会社・サーバー会社への聞き方

聞くことは3つだけです。「直りましたか」だけでは、確かめずに「大丈夫です」と返ってくることがあります。誰が何で確かめたかまで聞いてください。

そのままメールに貼り付けて使えます。

いつもお世話になっております。
PHPの脆弱性（PHP2shell・2026年10月公表）について、3点教えてください。

1. 当社のホームページは、今回の脆弱性の対象でしたか。
2. 修正は済んでいますか。誰が、何で確かめましたか。
3. まだの場合、いつごろ・どなたが対応する予定ですか。

お手数をおかけしますが、よろしくお願いいたします。

返事の読み方の目安です。

• 「サーバー会社が対応済みです」とだけ返ってきた → サーバー会社のお知らせを見ただけかもしれません。「御社で確かめましたか」と聞き返して構いません
• 「確認中です」と返ってきた → いつまでに結果が分かるかを聞いてください。急かす必要はありませんが、期限が分かると安心です
• 「どこのサーバーか分からない」と返ってきた → 契約や管理者があいまいになっているサインです。今回を機に、サーバーの契約者と管理者をはっきりさせておきましょう

なお、不正アクセスのニュース全般に対する点検の仕方は、不正アクセス相次ぐ今、ホームページで点検すべき4つのことにまとめています。今回の記事は、1つのニュースについて「直ったか」を確かめる流れに絞った内容です。

保守契約がある場合・ない場合

保守契約がある場合、今回のような件は本来、制作会社から連絡が来る内容です。来ていなければ、遠慮なく聞いてください。保守契約がない場合は、サーバー会社のお知らせやサポート窓口で確かめます。

保守契約がある場合

当社では、当社が管理しているサーバーのサイトを1件ずつ確かめ、修正を確認できたところから順に、お客さまへご報告しました。直したのはサーバー会社で、当社の役目は「本当に直ったかを確かめ、お伝えすること」でした。確認に時間がかかったサイトには、経過のご報告を続けました。

このとき困ったのが、連絡先が古くなっていたケースです。数件、ご登録のアドレスあてのメールが戻ってきてしまい、代表のアドレスなどを探して送り直しました。いざというときに連絡が届くよう、担当者が変わったら制作会社にも伝えておくと安心です。

保守契約がない場合

サーバー会社のお知らせページを見るか、サポート窓口に問い合わせます。ただし、サーバー会社が答えてくれるのは、基本的にサーバー（PHP）までです。WordPressや追加機能（プラグイン）など、ホームページの中身までは見てくれないことがほとんどです。

今日やること: 「何かあったら連絡が来る」状態になっているかを、何もない今のうちに確かめておきましょう。誰が連絡をくれるのか、連絡先は今の担当者になっているか、の2点です。

ホームページの土台やサーバーのことで、今の状態が分からない・誰に聞けばよいか分からない、という方は、まずは無料のセキュリティチェックをお試しください。URLを入れるだけで、公開されている情報の範囲から状態を確認できます。保守のご相談は、お気軽にお問い合わせください。福岡を拠点に、ホームページの制作から保守・運用までをお手伝いしています。

よくある質問