もしかしてウチのサイトも…?
Webサイトのセキュリティにここまで注目が集まることは今までなかったのではないでしょうか。
2026年10月20日、Webサイトの動作に広く使われているプログラム「PHP」の開発チームが、重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）の修正版を翌日に公開すると予告し、修正版が翌日23時に公開されました。
予告に前後して、レンタルサーバー各社や大手サービスが、予防としてサイトや管理画面を一時停止しました。
長くwebサイト管理を行なっていますが、ここまでの対応は今まで記憶にありません。
首相がSNSで注意を呼びかけ、一般のニュースでも大きく扱われることでより危機意識が高まっていきました。
欠陥は、サイトを動かす基盤「PHP」の中にあった
PHPは、WordPressなど多くのサイトを動かしている基盤のプログラムです。
サイト管理システム「WordPress」をはじめ、世界中の7割以上のwebサイトがこのPHPで動いている、と言われています。
そのプログラム内で、第三者がログインなしで、サーバー上で任意のプログラムを動かせる恐れが見つかりました。
もとより、こうした脆弱性は日々発見されており、影響の大小に関わらず修正対応が行われていました。
特に、「発見」から「修正」までの期間が短いこと、そして悪意を持つ輩に知られる前に対応することが大事ですが、そのプロセスも想定ではなかったと伝え聞きます。
そしてPHP開発元からの修正版が無事配布され、夜間の突貫対応で多くのサーバーで修正が行われました。
修正版は8.5.12、8.4.27、8.3.36、8.2.35です。
サポートが終了した古い版には、PHPの開発元からの修正版が出ません。
最も、こうしたサポートが含まれているレンタルサーバーを使っている場合は対応が少ないですが、自社管理サーバー(AWS, VPSなど)を使っている場合は、自分でPHP修正版の適用や検証調整等が必要です。
PHP脆弱性問題に対する対応
保守契約のお客様には、21日のうちに状況を整理したお知らせを行いました。
実際にこの21日は、どのような影響が及ぶのか、そしてサーバー会社はどのような対応を行うのかは時間の進展と更新を注視する必要がありました。
夕刻以降、各サーバー会社の主な対応が発表され、弊社でも基本方針が定めていくことができました。
23:00の修正版の配布に合わせ、各サーバー会社が深夜からそして翌22日に修正版の適用を順次行なっていくというものです。
事前にできることとしては、
- 現在のサイトやサーバーの状況を正確に把握しておくこと
- 事前のバックアップを行うこと
- PHP開発元、また各サーバー会社の対応をフォローすること
などとなります。
そして、22日のうちに、各サイトの表示動作確認点検を行い、ご報告を行うことができました。
今回異例であったのは、本来サポートがされないPHPバージョンについても、サーバー会社によっては修正版の作成と適用が行われたことです。
そのため、バージョン7のシリーズ、8.0, 8.1についての修正版を受けられたサイトもありました。
保守契約を結んだお客様以外からも、この問題に関連し多くのお問い合わせを受け取っています：
- ニュースを見て、自社サイトが対象か知りたい
- 古いPHP（7系）の切り替えの可否、費用、日程を知りたい
- サーバーの管理情報が手元になく、誰が作業するのか分からない
- 切り替え中にサイトが見られなくなるか、表示が崩れないか
- 複数のサイトをまとめて対応してほしい
- 決裁のために、正式な見積書がほしい
サイトや環境についてまず調査・ヒアリングを行う必要がございますが、ご要望に応じ適宜しっかりと対応させていただきます。
PHPは古いバージョンのままでも良いのか
お問い合わせの中に「古いバージョンのPHPのままでも良いのか」というものが多く寄せられていました。「今回サーバー会社が古い版にも対策しているので、PHPはそのままでよい」というお考えのお客様もいらっしゃいました。
今回の脆弱性に限れば、その見方は誤りではありません。
エックスサーバーは、PHP 5.6から8.5までに修正を適用したと発表しています。8.1以前は、開発元の修正版がないため、同社独自の修正です。
さくらのレンタルサーバやmixhostなども、サポートが終了した版を対象にしています。
新しいバージョンへ対応させると、
- セキュリティ面、機能面でより安定した状態を維持できる
- 不具合や脆弱性へのサポート対応を得られる
- サイトによっては、プラグインやサイトの修正が発生する
という効果があります。
対して古いバージョンを維持する功罪は、
- プラグインやシステム(WordPress)の更新を受けられなくなる)WordPress公式は、推奨を「PHP 8.3以上」とし、7.4などの古い版は「脆弱性にさらされる恐れがある」と案内しています)
- 脆弱性や不具合への対応を相対的に受けられなくなる
- アップデート費用を免がれるが、運用コストが高まる可能性あり
と言ったものが挙げられます。
サイトの保守メンテナンスの一環として、同じサイトを使い続ける場合は、４年に一度は新バージョンへアップデートし、サイトの機能も更新する、という運用方法が現実的かもしれません。
ちなみにPHPは、8.3は2027年末、8.4は2028年末、8.5は2029年末まで、公式のセキュリティ修正が提供されます。
参考：IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」
PHP公式「Supported Versions」（php.net）、WordPress公式の動作要件（wordpress.org）
参考：つづきの技術室「サポート切れのPHPを放置すると何が起きるか」、さくらのレンタルサーバ「PHPの提供ポリシー」、Zenlogic「EOLを迎えたPHPバージョンのサポート終了について」、Zend「EOL PHP」
事例の出典：cubrick「PHPが古いとどうなる」、Fivenine Design「PHPのバージョンが古いと何が起きるのか？」、WordPress公式（PHP 7.2・7.3のサポート終了）
「PHPをやめれば安全」と言い切れない理由
「PHPを使うのが悪い」「AIで別の言語に書き換えればよい」という意見も見られました。
弊社は、そう単純ではないと考えます。
PHPの本体はC言語で書かれていますが、他の主要な言語の本体も同じ種類の欠陥を抱えており、新しい技術でも重大な脆弱性は繰り返し起きています。
書き換えで減るのは、プログラムを書く手間だけです。
表示、フォーム、検索順位、過去の記事、計測の確認は残ります。
被害を大きくするのは、言語よりも、古い版の放置と、更新を素早く行えない体制です。
サポート中の版を使い、更新し続ける体制があれば、運用の実績が多いPHPとWordPressには、今も利点があります。
長期的に言語を見直すのは、サイトの作り直しの際に検討すれば足ります。
この点について、Web制作の現場から、次の指摘もありました（たにぐち まこと氏の投稿、2026年10月23日）。
WordPressは、安全性が高いからではなく、使いやすさ、拡張しやすさ、保守しやすさから選ばれてきた、という指摘です。
過去に、WordPress以外の方法でサイトを運用して困った例として、次の3点が挙げられています。
- 静的なHTMLだけで運用すると、ページ数が増えるほど、1か所の修正でも、全ページの作り直しと反映に時間がかかる。
- 自作のCMSは、使いにくさ、不具合、データの取り出しにくさから、結局WordPressに作り替える例が多い。
- ブログサービスなどのSaaSは、10年以上維持される例が少なく、旧サービスからの移行手段が用意されないまま、取り残されることがある。
WordPressには、対応できる制作会社、移転先のサーバー、データの書き出し手段が多く、将来ほかの形に移りたくなったときの出口が広い、という利点もあります。
一方で、同氏も、PHPの古さやWordPressの設計に課題があることは認めており、WordPress以外への移行を検討すること自体は否定していません。
弊社も同じ考えで、大切なのは、乗り換えるかどうかよりも、今の環境を安全に保てているか、将来の出口が確保されているかだと考えます。
PHPの対応でお困りの方、ご不安な方へ
「自社サイトのPHPの版が分からない」「サポートが切れた版のままで大丈夫か不安」「切り替えを任せたい」。
そのような場合は、一度ご相談ください。
弊社は、WordPressサイトの保守運用を行っており、PHPの診断から切り替え、切り替え後の確認までを承っています。
- PHPとWordPressの版、サポート終了日の確認（診断）
- バックアップ、検証環境での事前確認、PHPの切り替え、切り替え後の表示とフォームの確認
- サーバー会社の対応状況の確認と、ご報告
- 保守契約のないサイトのご相談も承っています
現状の確認だけでも構いません。
まずは、お問い合わせフォームからご連絡ください。