基礎知識2026年10月22日
PHPの重大な脆弱性とは？作りっぱなしのホームページをAIと一緒に保守する「緊急」の脆弱性をQ&Aで整理し、自分たちでできる点検の手順をまとめました【2026年10月】
2026年10月、ホームページを動かすプログラム言語「PHP」に、深刻度が最も高い「緊急」レベルの脆弱性が2件見つかり、ニュースでも大きく取り上げられました。「うちのホームページは大丈夫？」「そもそもPHPって何？」という声を多くいただいています。この記事では、今回の脆弱性をQ&Aで分かりやすく整理したうえで、作ったきり何年も手を入れていないホームページを、AIを相棒にして自分たちで保守する方法を紹介します。
何が起きたか
- PHPに「緊急」の脆弱性が2件
- 外から攻撃され、サイトを乗っ取られる恐れ
- 修正版は10月21日に公開済み
まず確認すること
- 自社サイトがPHPで動いているか
- PHPのバージョンはいくつか
- サーバー会社の対応状況
これからの備え
- 作りっぱなしのサイトを点検
- AIに聞きながら月1回の保守
- 難しい作業は専門家に任せる
今回の脆弱性をQ&Aで整理
Q.PHPとは何ですか？
A.ホームページの裏側で動くプログラム言語です。お問い合わせフォームの送信や、WordPress（ワードプレス）でのページ表示などに使われています。サーバー側の言語が分かっているWebサイトのうち、約7割がPHPを使っているといわれます。中小企業のホームページの多くも、PHPで動いています。
Q.今回、何が見つかったのですか？
A.PHPの開発チームが2026年10月20日（協定世界時）に、深刻な脆弱性2件（CVE-2026-109618、CVE-2026-109619。通称「php2shell」）の修正を予告し、日本時間10月21日23時に修正版を公開しました。深刻度は10段階で9.2の「緊急」です。ログインなしで外部から攻撃でき、条件によってはサーバー上で勝手にプログラムを動かされる（サイトの改ざんや情報の抜き取りにつながる）恐れがあるとされています。
Q.もう攻撃は始まっているのですか？
A.修正版の公開前に情報の一部が外部に漏れ、公開直後から、海外のセキュリティ会社が攻撃の試みを観測したと報告しています。国内でも、IPA（情報処理推進機構）や国家サイバー統括室が、PHPを使うサイトの確認と速やかな更新を呼びかけています。
Q.どのバージョンが危ないのですか？
A.PHP 5.4以降の広い範囲が影響を受けるとされています。修正済みのバージョンは、8.5.12、8.4.27、8.3.36、8.2.35です。7.4〜8.1は公式の修正版が出ておらず、7.3以前はサポートが終わっているため修正はありません。古いバージョンのままのサイトは、新しいバージョンへの移行が必要です。
Q.レンタルサーバーを使っていれば、何もしなくて大丈夫ですか？
A.多くのレンタルサーバー会社は、サーバー側でPHPの修正を順次適用しています。ただし、サイトが古いPHPのバージョンを選んだままになっていると、修正の対象外になることがあります。契約しているサーバー会社のお知らせを確認し、管理画面で自社サイトのPHPのバージョンを確かめてください。VPSや自社サーバーで動かしている場合は、自分で更新する必要があります。
Q.WordPressのサイトは関係ありますか？
A.WordPressはPHPで動いているので、関係があります。今回の問題はWordPressそのものではなくPHPの側にありますが、PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。バックアップを取ってから切り替え、表示を確認するのが安全です。
2026年10月22日時点で公開されている情報（PHP開発チームの発表、IPA、セキュリティ各社の報告）をもとに当社がまとめたものです。状況は更新されることがあるため、最新の情報はPHPの公式サイトや契約しているサーバー会社のお知らせをご確認ください。
作りっぱなしのホームページが危ない理由
今回のような脆弱性は、更新さえすれば防げるものがほとんどです。問題になるのは、「何年も前に作ってもらって、それきり誰も触っていない」ホームページです。中小企業では、次のような状態のサイトが少なくありません。
中身が分からないどのサーバーで、どのPHPで、何のソフトで動いているか誰も知らない
頼める人がいない作った制作会社と連絡が取れない。社内の担当者も異動した
後回しになる表示されているから大丈夫だと思い、気づけば何年も更新していない
ホームページが改ざんされると、訪れたお客様をだますページに飛ばされたり、お問い合わせフォームから入力された情報が抜き取られたりする恐れがあります。会社の信用に直結するため、「表示されているから大丈夫」ではなく、定期的に中身を点検することが大切です。
AIを相棒に、自分たちでできる保守（5ステップ）
ホームページの保守は、専門知識が必要に見えます。しかし、管理画面に書かれていることの意味を調べたり、作業手順を確認したりする部分は、AIに聞きながら進めれば、社内の担当者でもかなりの部分ができます。
現状を書き出すサーバー・PHP・ソフト
AIに聞く意味と危険度を確認
バックアップ作業の前に必ず
更新する手順をAIと確認
表示を確認フォームまで試す
これまで誰も中身が分からないまま、何年も放置。ニュースを見て不安になる。
AI導入後AIに聞きながら月1回点検。分からないことはその場で確認できる。
まずは、ホームページが「何で」動いているかを書き出すところから始めます。サーバー会社の管理画面には、PHPのバージョンやドメイン・SSL（https）の期限が表示されています。WordPressなら、管理画面の「ダッシュボード」→「サイトヘルス」で、使っているPHPやプラグインの状態を確認できます。
ホームページは、サーバー・PHP・WordPressなどのソフト・プラグインの層で動いている。どの層も更新が必要
AIへの頼み方の例
書き出した内容をAIに渡して、危険度とやることを整理してもらいます。パスワードやサーバーのIDは、AIには入れないでください。
AIへの頼み方（例）
当社のホームページの現状は次のとおりです。専門家ではない総務の担当者が保守をしています。
・サーバー：〇〇（共用のレンタルサーバー）
・PHPのバージョン：7.4
・WordPressのバージョン：6.1、プラグイン12個（うち5個に更新あり）
・最後に更新したのは3年前
お願い
1. 今いちばん危ない点を、理由と一緒に3つまで教えてください
2. やるべきことを、作業の順番に並べてください
3. 自分たちでできる作業と、専門家に頼んだほうがよい作業を分けてください
4. 作業の前にやっておくべきこと（バックアップなど）も教えてください
管理画面で見慣れない表示やエラーが出たときも、画面の文章をそのままAIに貼り付けて「これはどういう意味？ 何をすればいい？」と聞けば、意味と次の一手を説明してくれます。画面の写真を見せて質問することもできます。
ここがポイント
AIは、手順を説明したり、エラーの意味を教えたりするのが得意です。ただし、AIはあなたのサーバーの中を直接見ているわけではありません。実際の画面と違う説明が出たら、その画面を見せて聞き直す。この往復で、正確な手順にたどり着けます。
自分でやること・専門家に任せること
AIがあれば何でも自分でできる、というわけではありません。失敗したときの影響が大きい作業は、専門家に任せるのが安全です。
ニュースを見て、バックアップを取らずにPHPのバージョンだけ上げる
先にバックアップを取り、切り替え後に全ページとフォームを確認する
使っていないプラグインを、無効のまま何年も残しておく
使っていないものは削除する。残すなら更新を続ける
サーバーやWordPressのパスワードをAIに入力する
AIには画面の文章やバージョンだけを渡し、パスワードは入れない
月1回の点検チェックリスト
次の項目を、毎月決まった日に確認するだけでも、ホームページの安全性は大きく変わります。当社の無料診断では、この点検を一緒に行い、御社のサイトに合った保守の手順書をAIで作るところまでお手伝いします。
- PHPのバージョンが、サポート中のもの（8.2以上）になっている
- WordPress本体・テーマ・プラグインの更新がたまっていない
- 使っていないプラグインやテーマを削除した
- バックアップが自動で取られていて、戻し方を知っている
- お問い合わせフォームからテスト送信し、メールが届いた
- ドメインとSSL（https）の期限が切れていない
- サーバー会社からの重要なお知らせを確認した
- 管理画面のパスワードを使い回しておらず、二段階認証を設定している
この記事は一般的な保守の考え方をまとめたものです。サイトの作り方やサーバーの種類によって必要な作業は異なります。改ざんや情報漏えいの疑いがある場合は、すぐに専門家とサーバー会社に相談してください。
よくある質問
自社のサイトがPHPで動いているか、どうやって分かりますか？
サーバー会社の管理画面にPHPのバージョン設定があれば、PHPで動いている可能性が高いです。WordPressで作ったサイトや、お問い合わせフォームがあるサイトの多くはPHPを使っています。分からない場合は、サーバー会社に問い合わせるか、無料診断でご相談ください。
作った制作会社と連絡が取れません。どうすればよいですか？
まず、サーバーとドメインの契約者が自社になっているか、管理画面に入れるかを確認してください。入れれば、この記事の手順で点検を始められます。契約者が制作会社のままの場合は、名義の変更が必要になることがあるので、早めに専門家へ相談しましょう。
保守をすべてAIに任せることはできますか？
AIは手順の説明やエラーの意味の解説が得意ですが、サーバーを直接操作するわけではありません。実際の作業と最終的な確認は人が行い、改ざんの疑いなど影響の大きい場面では専門家に任せるのが安全です。
御社のホームページ、一緒に点検しませんか
無料診断では、サーバーやPHPのバージョン、WordPressの状態を一緒に確認し、AIを使って社内で続けられる保守の手順書をお渡しします。全国対応、対面でもオンラインでも。
3分で削減時間を試算する（無料）
あわせて読みたい