WEBサイト「PHPに重大な脆弱性」――2026年10月22日放送の日本テレビ『news zero』でもこう報じられ、身近なサービスが次々と緊急メンテナンスで停止する事態になりました。ニュースを見て「うちのホームページは大丈夫だろうか」と不安になった方も多いのではないでしょうか。
実は、WordPressで作られたホームページの多くは、このPHP（ピーエイチピー）で動いています。この記事では、数年前に作ったまま更新していないホームページをお持ちの方に向けて、何が起きたのか、自分のサイトは危ないのか、何をすればよいのかを専門用語をなるべく使わずに解説します。
この記事の対象：数年前にWordPressでホームページを作り、その後は更新・保守をしていない中小企業・個人事業主・士業事務所・クリニックの経営者さま、ご担当者さま。
何が起きた？「PHP2Shell」と呼ばれる重大な脆弱性
PHPは「ホームページのエンジン」
WordPressのホームページは、見た目のデザインや文章の裏で、PHPというプログラムが動いて表示を組み立てています。車にたとえるなら、WordPressが車体、PHPはエンジンです。日本テレビの報道では、PHPは世界中のウェブサイトのおよそ7割で使われているとされています。
2026年10月21日に緊急の修正版が公開
PHPの開発元（The PHP Group）は2026年10月21日（日本時間では22日未明）、2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正した版を公開しました。2つを組み合わせた攻撃は「PHP2Shell」と呼ばれています。深刻度は10点満点中9.2の「緊急（Critical）」です。
問題なのは、ログインもパスワードも不要で、外部から勝手にプログラムを実行されるおそれがある点です。つまり、悪意のある第三者がサーバーを乗っ取り、ホームページの書き換えや情報の盗み出しをできてしまう可能性があります。開発元は特に、レンタルサーバーなどで広く使われてきた構成（Apacheのmod_php）を最もリスクが高いとしています。
国内でも、JPCERT/CC（日本のセキュリティ対応機関）とIPA（情報処理推進機構）が10月22日に相次いで注意喚起を出し、速やかな更新を呼びかけています。
影響を受けるバージョン
- PHP 8.5.12より前の8.5系
- PHP 8.4.27より前の8.4系
- PHP 8.3.36より前の8.3系
- PHP 8.2.35より前の8.2系
- PHP 8.1以前：すでにサポート終了のため、公式の更新版は提供されません
IPAによると、調査に関わったセキュリティ企業は「PHP 5.4以降のほぼすべてのバージョンが、少なくともどちらか一方の影響を受ける」としています。古いサイトほど、他人事ではありません。
古いPHPのままのサイトが特に危ない理由
PHPには「サポート期限」があります。公式サイトによると、PHP 8.1は2025年12月31日でサポートが終了し、PHP 8.2も2026年12月31日で終了します。7.4以前はさらに前に終了しています。
サポートが終わったバージョンには、今回のような重大な問題が見つかっても正式な修理（更新版）が届きません。開発元は事態の深刻さから、PHP 7.4〜8.1向けに最小限の修正も例外的に用意しましたが、これは技術者が自分で組み込むことを前提にしたものです。一般の事業者さまにとっては、サポート中のバージョンへ移ることが現実的な対策になります。
番組に出演した日本ハッカー協会の杉浦隆幸代表理事も、「更新作業自体は10分ほどでも、古いシステムだと最新まで更新しないと修正できない。エンジニアがいないと時間がかかる」と指摘しています。さらに「攻撃された後に直しても、裏口（バックドア）を作られていれば侵入されたままになる」とも述べています。だからこそ、被害を受ける前の対応が重要なのです。
【セルフチェック】あなたのサイトは大丈夫？
次の項目のうち、当てはまるものを数えてみてください。
- ホームページを作ってから3年以上、制作会社とやり取りしていない
- WordPressの管理画面に「更新があります」という表示が出たままになっている
- 管理画面の「サイトヘルス」で、PHPのバージョンが8.2以下になっている
- 今回のニュースの後、サーバー会社からのお知らせメールを確認していない
- サーバーやWordPressのログイン情報を誰が管理しているかはっきりしない
- お問い合わせフォームから実際にメールが届くか、最近確認していない
- サイトのバックアップがどこにあるか知らない
1つでも当てはまれば、一度点検することをおすすめします。3つ以上なら、早めの対応が必要なサインです。
PHPのバージョンを確かめる方法
WordPressにログインし、「ツール」→「サイトヘルス」→「情報」→「サーバー」と進むと、PHPのバージョンが表示されます。ログイン方法がわからない場合も、ご安心ください。それも含めて確認できます。
放置するとどうなる？起こりうる被害
- サイトの改ざん：怪しい広告や偽サイトへの誘導を勝手に仕込まれる
- 情報の流出：お問い合わせフォームに入力されたお客さまの氏名・連絡先などが漏れる
- 迷惑メールの踏み台：サーバーが悪用され、自社のメールまで届かなくなることも
- 検索結果での警告：「危険なサイト」と表示され、集客が止まる
攻撃の多くは、機械が自動でネット上の弱いサイトを探して行われます。「小さな事務所だから狙われない」ということはありません。特に士業やクリニックは、「情報を預かる立場」としての信頼そのものが事業の土台です。
さらに番組では、AIの進化によって攻撃する側の能力も大きく高まっていると指摘されていました。弱点が公表されてから実際に狙われるまでの時間は、以前よりずっと短くなっていると考えたほうがよいでしょう。「そのうち対応しよう」ではなく、ニュースになっている今こそが点検のタイミングです。
今すぐできる対応の3ステップ
ステップ1：現状を確認する
PHPのバージョン、WordPress本体・テーマ・プラグインのバージョン、サーバー会社からのお知らせを確認します。多くのサーバー会社が今回の件で案内を出しているので、管理画面やメールをチェックしましょう。
ステップ2：バックアップを取って、PHPを更新する
PHPを修正済みのバージョン（8.3.36や8.4.27など）へ更新します。ただし、古いサイトでいきなり切り替えると、画面が真っ白になる・フォームが動かないといった不具合が起きることがあります。必ずバックアップを取ってから作業しましょう。WordPress公式も、現在はPHP 8.3以上を推奨しています。
ステップ3：動作確認と、怪しい痕跡のチェック
更新後は、各ページの表示とお問い合わせフォームの送受信を確認します。JPCERT/CCは、すでに攻撃を受けていないかの調査も推奨しています。見覚えのないファイルや管理者ユーザーが増えていないかなど、専門家に確認してもらうと安心です。
よくあるご質問
Q. サーバー会社が対応してくれるのでは？
サーバー会社がPHPの修正版を用意してくれることは多いですが、どのバージョンを使うかの切り替えは、利用者側の設定になっている場合があります。また、切り替え後にお客さまのサイトが正しく動くかまでは確認してくれません。
Q. すでに攻撃されたかどうか、自分でわかりますか？
残念ながら、見た目だけで判断するのは難しいのが実情です。JPCERT/CCも、攻撃の痕跡がログに残らない場合があり、痕跡が見つからなくても「攻撃されていない」とは断定できないとしています。サイトの表示が普段どおりでも安心はできません。更新とあわせて、サーバーのログや不審なファイルの有無を専門家に確認してもらうことをおすすめします。
Q. 作り直さないといけませんか？
多くの場合、更新と部分的な修正で対応できます。実際にWEBeffectでも、保守をお手伝いしている士業事務所さまのサイトで、PHP 8.3への更新とWordPressの更新、フォームの動作確認をまとめて行い、作り直しをせずに安全な状態へ戻しました。ただし改造が多い古いサイトでは、リニューアルのほうが結果的に安く済むこともあります。
まとめ：ニュースを「きっかけ」に点検を
- 2026年10月21日、PHPの重大な脆弱性（PHP2Shell）の修正版が公開された
- ログイン不要で外部からサーバーを乗っ取られるおそれがある
- PHP 8.1以前は公式の更新が届かず、8.2も年末でサポート終了
- 「確認→バックアップ→更新→動作確認」の順で、早めの対応を
PHP・WordPressの無料更新診断を承ります
WEBeffectでは、「うちのサイトは今回の脆弱性の影響を受けるのか見てほしい」というご相談を承っています。PHP・WordPressのバージョンやプラグインの状況を確認し、必要な対応と費用を事前にわかりやすくご案内します。
他社で制作されたサイトでも対応可能です。初回のご相談・概算のお見積りは無料です。「うちのサイト、古いかも」と思ったら、まずはお気軽にご連絡ください。