- 2026年10月21日に公表されたPHPの重大な脆弱性2件の概要と、政府の呼びかけ
- WordPressが最新でも関係ある理由と、「PHP 8.1以前」で特に注意すべき点
- 北関東の企業サイトを調べて分かった、PHPの使用状況と露出の実態
- 専門知識がなくても今日できる、確認の3ステップ
2026年10月21日、PHPの開発チームが重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正する緊急のセキュリティリリースを公開しました。深刻度はどちらもCVSS 9.2（緊急）。IPA（情報処理推進機構）や米CISAに加え、日本政府の国家サイバー統括室も、公式Xで速やかな対応を呼びかけました。
「PHPって何？ うちはWordPressだから関係ないのでは？」と思った方こそ、確認が必要です。
政府も異例の呼びかけ。サイトの一時停止も選択肢に
国家サイバー統括室は10月21日、公式Xで注意喚起を出しました。修正パッチをすぐに適用するのが難しい場合は、ウェブサイトなどを一時的に停止することも、リスクを下げる有効な策の一つだという内容です。報道によれば、高市総理も同趣旨の声明を出しています。
実際に、21日の夜には、国内のネットショップや保育施設向けサービス、動画・ゲーム系のサービスなどが、予防的な緊急メンテナンスや一時停止に入ったと報じられました。大手でも「まず止める」判断をしているのが、今回の特徴です。
何が起きているのか
PHPは、WordPressをはじめ、世の中の多くのWebサイトの裏側で動いているプログラム言語です。今回の脆弱性は、そのPHP本体にあります。報道や各セキュリティ企業の解説によると、次のような特徴があります。
認証が不要な状態で、外部からサーバー上でプログラムを実行される（リモートコード実行）可能性があると報告されています。
問題はPHP本体にあるため、WordPressやプラグインを最新にしていても、土台のPHPが古ければ影響を受けます。
修正版はPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35です。PHP 8.1以前には、PHP公式の修正版はありません。
公表時点では、実際の悪用は確認されていないとされていました。しかし10月26日、この2件は米CISAの「悪用が確認された脆弱性（KEV）カタログ」に追加されました（IPAも10月27日に更新）。IPAは、国内での攻撃被害の事例は把握していないとしていますが、詳細情報が公表前に流出したと伝えられていたこともあり、「まだ被害が出ていないから様子見」は危険な判断です。
一部で紹介されている設定変更（アップロード進捗機能の無効化など）は、あくまで部分的な緩和策で、根本的な解決にはなりません。本命の対策は、PHPを修正版へ更新することです。
うちのサイトは対象？ 3つのパターン
- PHPで動いていないサイト：静的なHTMLだけのサイトや、Wix・Studio・Jimdoなどのサービス型は、PHPをお客様側で管理していないため、基本的に対象外です。
- WordPressなどPHPで動くサイト：対象になり得ます。レンタルサーバーなら、PHPのバージョンは管理画面で確認・変更できます。
- 自社サーバー・VPSで運用しているサイト：自分でOSのPHPを更新する必要があります。Ubuntuなどのディストリビューションは、独自に修正を配布していることがあります。
北関東の企業サイトを調べて分かったこと
私たちは、群馬・茨城・埼玉・栃木・千葉北西部の企業サイトについて、公開情報の範囲（誰でも見られる範囲）で外周点検を重ねています。今回のニュースを受けて、そのデータを集計し直しました。
※工務店・士業・不動産・製造業の公開サイトを対象にした当社の自動点検（2026年8〜10月）。PHPのバージョンが見える割合は無作為抽出1,200社の標本調査で、母数は応答のあった984社です。バージョンを隠しているサイトの実際のバージョンは分からないため、「見えたサイトの割合」であり、全体の割合ではありません。個別企業名は公開していません。
バージョンが見えたサイトの内訳では、PHP 7.4が最多でした。PHP 7.4は2022年にサポートが終了しており、5.x系を動かしているサイトも一定数ありました。サポート切れのPHPは、今回に限らず、以前から新しい修正を受け取れない状態です。レンタルサーバーの設定で、数クリックで新しい版に切り替えられることも多いのですが、「動いているから触らない」ままの会社が相当数あるのが実情です。
なお、バージョンが外から見えないサイトが「安全」とは限りません。見えないだけで、中身は古いままという場合も多くあります。逆に、バージョンが見えているサイトは、攻撃者に「このサイトには、どの穴が効くか」を教えている状態です。
外から見えているPHPのバージョンを、今すぐ確認
ドメインを入れるだけで、PHPなどのバージョン情報が外から見えていないか、管理画面が露出していないかを、誰でも見られる情報の範囲で自動チェックします。
今日確認すべき3つのこと
- 自社サイトのPHPバージョンを確認する：レンタルサーバーの管理画面（「PHPバージョン設定」など）で見られます。分からなければ、制作会社かサーバー会社に「PHPのバージョンと、今回の脆弱性への対応状況」を問い合わせてください。
- 修正版、またはサポート中のバージョンへ更新する：8.2以降のサポート中の版へ。更新前にバックアップを取り、更新後に問い合わせフォームなどの動作を確認します。古いテーマやプラグインが新しいPHPで動かない場合は、先に制作会社へ相談してください。
- PHP 8.1以前の場合は、契約先に確認する：PHP公式は修正版を出していませんが、OSやサーバー事業者が独自に修正を提供している場合があります。「修正済みか」「いつ対応するか」を、必ず書面やメールで確認しましょう。すぐに対応できない場合は、国家サイバー統括室も挙げているとおり、サイトの一時停止（または問い合わせフォームなどの受付停止）も有効な選択肢です。
PHPを更新できたら、念のためサーバーのアクセスログに不審な形跡がないかも確認してください。ご自身で難しければ、サーバー会社や制作会社に依頼できます。身に覚えのないファイルが増えていたり、サイトの表示が不自然になっていたりしたら、すぐに専門家へ相談を。
よくある質問（FAQ）
WordPressを使っていなければ、関係ありませんか？
いいえ。WordPressに限らず、PHPで動くサイトやシステムはすべて対象になり得ます。静的なHTMLだけのサイトや、PHPを使わないサービスは対象外です。
WordPressやプラグインを最新にしていれば安全ですか？
いいえ。今回はPHP本体の問題のため、WordPressやプラグインが最新でも、土台のPHPが古ければ影響を受けます。PHP自体の更新が必要です。
PHP 8.1以前を使っています。もう直せないのですか？
PHP公式は8.1以前に修正版を出していません。ただしOSやレンタルサーバー事業者が独自に修正を提供する場合があります。契約先に確認するか、サポート中のバージョンへ移行してください。
自社のPHPのバージョンはどう調べればよいですか？
レンタルサーバーの管理画面（PHPバージョン設定）で確認できます。分からない場合は、制作会社やサーバー会社に問い合わせるのが確実です。
サイトを止めたほうがいいですか？
修正版への更新がすぐにできない場合は、一時停止も有効な策の一つだと国家サイバー統括室が示しています。更新できる場合は、更新が先です。停止の判断は、サイトが売上や予約に直結するかどうかで変わるため、迷うときは制作会社やサーバー会社に相談してください。
まとめ｜ニュースになった今が、点検のいい機会
今回の脆弱性は、「アプリを最新にしておけば大丈夫」という考え方では防げない種類のものです。サイトの土台であるPHPが、いつ誰に管理されているのか。この機会に、制作会社・サーバー会社・社内の担当者のあいだで「誰が、いつ、更新しているのか」を確認しておくことが、次の脆弱性への備えにもなります。
「うちのサイトは大丈夫か」を、
外部の視点で無料点検します。
公開情報の範囲で、PHPなどのバージョン露出・管理画面の露出・SSLの状態を点検し、優先度の高い対策から整理してお渡しします。押し売りはしません。
オンライン対応・押し売りなし参考：IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」、Impress Watch「国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策」（国家サイバー統括室のX投稿を引用）、CISA「Critical Vulnerabilities in PHP Require Immediate Patching」。状況は日々更新されます。最新情報は各機関の発表をご確認ください。