PHPの深刻な脆弱性（2026年10月）で自社サイトに確認すること — 対象の見分け方と3つの点検手順

2026年10月21日の夜、人気ゲームや投稿サイトなどで、緊急メンテナンスの告知が相次ぎました。 原因は、多くのWebサイトの裏側で動いているプログラム言語「PHP」に見つかった、深刻な脆弱性（セキュリティ上の欠陥）です。 海外では「PHP2Shell」と呼ばれ、識別番号は CVE-2026-109618 と CVE-2026-109619 です。 WordPressもPHPで動いているため、会社のホームページやお問い合わせフォームも対象になりえます。

この記事では、Web制作とサイトの保守を手がけるCoconutWorksが、何が起きたのか、何が問題なのか、 自社のサイトで何を確認すればよいかを、専門知識がなくても判断できるように整理します。 内容は2026年10月23日時点の公開情報にもとづいています。状況は変わる可能性があるため、 実際の対応ではサーバー事業者や制作会社の最新の案内もあわせて確認してください。

結論: まず確認するのは3つ

サイトの管理を制作会社や保守会社に任せている場合は、自分で管理画面を開くより、「今回のPHPの件で、うちのサイトは対応済みですか」と一言聞くのが確実です。 聞くときの確認事項は、後半の「制作会社に任せている場合の聞き方」にまとめています。

何が起きたのか

ふつう、深刻な脆弱性は修正版の準備が整うまで公表されず、修正版と同時に知らされます。 今回は修正版を出す前に情報が漏れてしまい、開発元は公開を1日早めました。 それでも、修正版が出る前から攻撃の試みが観測されていた点が、今回の大きな特徴です。

何が問題なのか

PHPは、Webサイトの裏側で、閲覧のたびにページを組み立てる仕組みです。 WordPressで作られたサイトでは、記事を表示するときも、お問い合わせフォームを送信するときも、サーバー上でPHPが動いています。

今回の脆弱性を突かれると、外部の第三者が、ログインなしで、サーバー上で好きなプログラムを動かせるおそれがあります。 深刻度を表す国際的な指標（CVSS v4.0）では、10段階で9.2と評価されており、最も危険度の高い「緊急」に当たります。 サイトが書き換えられる、偽のページを置かれる、保存されている問い合わせ内容が読まれる、といった被害につながりうる種類の問題です。

対象は、Webからのアクセスを処理しているPHPのほぼすべてです。 サーバーでの動かし方（PHP-FPM、Apacheのmod_php、php-cgiなど）を問いません。 一方、サーバーの中で決まった処理を動かすだけの使い方（コマンドとして実行するだけのPHP）は、外から直接狙われる経路にはなりにくいとされています。

自社のサイトが対象かを見分ける

• WordPressで作ったサイト — PHPで動いているので対象です。レンタルサーバーで動いているか、自社や制作会社が用意したサーバーで動いているかで、確認する相手が変わります。
• レンタルサーバーに置いた独自のサイト・フォーム — お問い合わせフォームや予約フォームがPHPで作られていることがよくあります。見た目が静的なページでも、フォームだけPHPという構成は珍しくありません。
• 自社や制作会社が管理するサーバー（VPS・クラウド） — PHPの入れ替えはサーバーを管理している側の作業です。事業者が自動で直してくれるわけではありません。
• ホームページ作成サービス（サイトの仕組みごと提供されるもの） — サーバーやプログラムはサービス提供元が管理しています。利用者側で行う作業は基本的にありませんが、提供元のお知らせは確認しておくと安心です。

どれに当たるか分からない場合は、毎月・毎年の請求を見ると手がかりになります。 レンタルサーバー事業者からの請求があればレンタルサーバー、クラウド事業者からであればVPS・クラウド、 制作会社に保守費を払っていれば、まずは制作会社に聞くのが近道です。

確認と対策の手順

① サイトのPHPのバージョンを見る — レンタルサーバーの管理画面には、ドメインごとにPHPのバージョンを選ぶ設定があることが一般的です。 8.2より古い版が選ばれていれば、8.2以上（できれば8.3以上）への切り替えを検討します。 切り替えると古いプラグインが動かなくなることがあるため、事前にバックアップを取り、切り替え後に主要なページとフォームの送信を確かめてください。

② サーバー事業者のお知らせを確認する — レンタルサーバー事業者は、修正版の導入やメンテナンスの予定を、お知らせやメンテナンス情報のページで案内しているのが一般的です。 導入済みと案内されていれば、選んでいる版が8.2以上である限り、サーバー側の対応は済んでいると考えてよいでしょう。

③ 使っていないサイトを止める — 昔のキャンペーンページ、試しに立てたWordPress、移転前の旧サイトなど、更新されないまま公開され続けているものは、 今回のような問題が起きたときに真っ先に狙われやすい入口です。 当社でも今月、使っていなかった古いWordPressを2つ撤去しました。置いてあるだけのサイトも、管理の対象だと考えてください。

④ 何がどこで動いているかを一覧にしておく — 当社でも修正版の公開の翌朝に、自社で管理しているサーバー・クラウド・社内のパソコンまで、PHPとその周辺がどこで動いているかを洗い出しました。 いちばん時間がかかったのは修正そのものではなく、この「どこで何が動いているか」を調べる作業でした。 ドメイン、サーバー、使っている仕組み、管理している人を一枚の表にしておくだけで、次に同じことが起きたときの初動が大きく変わります。

制作会社に任せている場合の聞き方

サイトの管理を外部に任せている場合は、次の4点を聞けば状況が分かります。 保守契約の範囲に入っているかどうかもあわせて確認しておくと、今後の同じような場面で迷いません。

• 当社のサイト（とお問い合わせフォーム）は、PHPで動いていますか
• 動いている場合、今回の修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以上）になっていますか
• なっていない場合、いつまでに、誰が切り替えますか
• こうした緊急の更新は、保守契約の範囲に含まれていますか

保守契約で何を決めておくべきかはシステムの保守契約で確認すべきことで、契約前に確認したい保守範囲はホームページ制作の契約前に確認することで整理しています。

「修正が出たら当てる」だけでは間に合わない場面が増えている

これまでのサイト運用は、修正版が出たら更新する、という流れで回ってきました。 しかし今回は、発見にAIを活用した調査が関わり、情報の流出から攻撃の試みまでが短い時間で進みました。 脆弱性が見つかる速さも、それを悪用する手口が作られる速さも、上がってきています。

小さな会社が専任の担当者を置かずに備えるには、次の2つが現実的です。

• 普段から一覧を持っておく — 何がどこで動いていて、誰が直すのかが分かっていれば、修正版が出た当日に動けます。
• 狙われる場所そのものを減らす — 使っていないサイトを止める。更新の少ないサイトは、閲覧のたびにプログラムを動かさない構成に移す。

これからのホームページの持ち方

お知らせやブログの更新が月に数回程度であれば、ページを前もって書き出しておく静的なサイトと、 記事を書くためのサービス（ヘッドレスCMS）を組み合わせる構成も選べます。 閲覧のたびにサーバー上でPHPを動かさないため、今回のような問題の影響を受けにくくなります。 ただし、フォームや更新の仕組みを別のサービスに任せることになるため、管理するものがなくなるわけではありません。

WordPressを使い続けることが悪いわけではありません。多くの人が更新でき、プラグインで機能を足せるのは大きな利点です。 大切なのは、誰が、いつ、PHPや本体・プラグインを更新するのかが決まっていることです。 それが決まっていないまま公開を続けているなら、更新の担当を決めるか、構成を見直すかのどちらかを検討する時期です。 見直しの判断はホームページをリニューアルすべきかも参考にしてください。

よくある質問

まとめ

2026年10月に公開されたPHPの深刻な脆弱性は、WordPressを含め、Webで動くPHPのほぼすべてが対象です。 まずは、サイトのPHPのバージョン、サーバー事業者の対応状況、使っていないサイトの3つを確認してください。 外部に管理を任せている場合は、対応済みかどうかと、緊急の更新が保守の範囲に入っているかを聞いておくと安心です。 そのうえで、何がどこで動いているかを一覧にしておくことが、次に同じことが起きたときのいちばんの備えになります。

「自社のサイトがPHPで動いているか分からない」「確認や切り替えを頼みたい」という場合は、お問い合わせからお気軽にご相談ください。サイトの見直しや静的なサイトへの移行はWeb制作サービスのページでも紹介しています。相談・お見積もりは無料です。