はじめに（この記事は約7分で読めます）
「ニュースでPHPの脆弱性のことを見たが、自社のホームページは大丈夫なのか」というご相談が増えています。2026年10月21日夜に公表されたPHPの重大な脆弱性「PHP2Shell」は、高市総理が自身のXで緊急の呼びかけを行うほどの出来事でした。結論から述べますと、自社サイトのPHPバージョンが修正版より古い場合は、早めの確認が必要と考えます。ただし経営者様自身が難しい技術知識を持つ必要はなく、「誰に・何を聞けばいいか」を知っておくだけで、対応の優先順位は大きく変わるのではないでしょうか。本記事では、自社サイトが今回の脆弱性の影響を受けるかどうかを確認する具体的な手順を整理しました。
目次：まず何を確認すればいいか
- 結論：経営者様がまず行うこと
- PHP2Shellとは何か
- 自社サイトが対象かどうかを確認する方法
- 制作会社・保守会社に聞くべき3つの質問
- パッチをすぐに当てられない場合の対応
- 同じ日に起きたNode.jsの件について
1. 結論：経営者様がまず行うこと
結論から述べますと、まず行うべきことは2つです。自社サイトの運用体制を確認することと、保守を依頼している相手に一本連絡を入れることです。自社でホームページのPHPバージョンを直接確認できなくても、「誰が保守しているか」「最後に更新したのはいつか」が分かれば、次の一歩が見えてきます。たとえば八王子の小売店様であれば、ホームページを作った制作会社に「PHP2Shellの対象になっていないか教えてください」と一言連絡するだけで、多くの場合は状況を把握できると考えます。
2. PHP2Shellとは何か
PHP2Shellは、2026年10月21日に公表されたPHPの脆弱性2件（CVE-2026-109618・CVE-2026-109619）の通称です。両方とも深刻度の指標であるCVSS v4.0で9.2と評価され、認証なしで遠隔からサイトを操作できる可能性があるとされています。原因はメモリの扱いに起因する不具合で、PHP-FPM・mod_php・php-cgiなどPHPでWebページを処理するほぼすべての方式に影響し、WordPressやDrupalなど主要なCMSの土台そのものに関わる範囲の広さが特徴です。PHPは世界の多くのホームページを支える基盤的な技術であり、「自社サイトには関係ない」とは言いきれない規模の出来事と考えます。技術的な背景は、以前の記事「ホームページのPHP・Node.js・AIセキュリティ」でも整理していますので、合わせてご確認ください。
修正版は、お使いのPHPの系列（8.2系・8.3系・8.4系・8.5系）ごとに別々の基準で提供されており、8.2系は8.2.35、8.3系は8.3.36、8.4系は8.4.27、8.5系は8.5.12が修正済みのバージョンとなります。ここで注意したいのは、この基準は系列をまたいで単純に数字の大小だけでは比較できないという点です。たとえば「8.3.35」は数字としては「8.2.35」より大きく見えますが、8.3系としては基準の8.3.36に達していないため、修正されていない状態のままです。「バージョン番号が大きいから安全」とは言いきれないため、自己判断で済ませず、必ずホームページの制作会社やサーバー会社に「自社のPHP系列と、その系列の基準値を満たしているか」を確認することをおすすめします。目安としては、できるだけ新しい系列（8.3系以上など）を使っておくと安心につながりやすいものの、系列ごとの基準を満たしているかどうかは別の確認が必要です。一方、PHP 8.1以前は公式のサポートがすでに終了しており、修正パッチそのものが提供されない点にも注意が必要と考えます。
3. 自社サイトが対象かどうかを確認する方法
自社サイトが今回の影響を受けるかどうかは、以下の順番で確認すると分かりやすいと考えます。
- ホームページが何で作られているか（WordPressか、独自システムか）を確認する
- サーバーの管理画面やマニュアルに「PHP」のバージョン表示がないか探す
- 最後にホームページを更新・保守してもらった時期を思い出す
- 保守契約や月額のサポートプランに加入しているかを確認する
- 自社で管理画面にログインできるか、ログイン情報が手元にあるかを確認する
これらが分からない場合でも、落ち込む必要はありません。多くの中小企業様が「保守は制作会社に任せきり」という状態であり、それ自体は自然なことではないでしょうか。大切なのは、分からないことを放置せず、次の章の質問を使って確認を進めることと考えます。
4. 制作会社・保守会社に聞くべき3つの質問
連絡する際は、以下の3つを聞くだけで十分と考えます。
- 「当社のサイトはPHP2Shell（CVE-2026-109618・CVE-2026-109619）の対象になっていますか」
- 「対象だった場合、いつまでに自社の系列に対応した修正版（8.2系は8.2.35、8.3系は8.3.36、8.4系は8.4.27、8.5系は8.5.12）へ更新できますか」
- 「更新ができない場合、一時的にサイトを停止するなどの代替手段はありますか」
なお、修正版の基準は系列ごとに異なり、数字の大小だけでは判定できないため、最終的な判断は必ず制作会社やサーバー会社に確認することをおすすめします。国家サイバー統括室も「修正をすぐに適用できない場合は、サイトの一時停止が有効な対策の一つ」と案内しています。実際、ニコニコ・pixivなど大手サービスもメンテナンスに入ったと報じられており、一時停止という判断は決して珍しいものではないと考えます。
5. パッチをすぐに当てられない場合の対応
保守会社から「すぐには対応できない」という回答があった場合も、慌てる必要はないと考えます。考えられる選択肢は主に2つです。
- 修正版が適用されるまで、該当サイトを一時的に非公開・停止する
- アクセス制限やセキュリティ設定の強化など、応急的な対策を講じたうえで監視を強める
どちらを選ぶかは、サイトの役割によって変わります。たとえば会社案内中心でお問い合わせフォームしか機能がない八王子の工務店様であれば、一時停止による影響は比較的限定的ではないでしょうか。一方、ネット予約やECの機能を持つサイトでは、停止による売上への影響も考慮したうえで、保守会社と相談しながら判断する必要があると考えます。
6. 同じ日に起きたNode.jsの件について
PHP2Shellと同じ2026年10月21日、Node.jsでも10件の脆弱性（うち4件が重大度「高」）に対する緊急の修正が配信されたと報じられています。Node.jsはPHPとは別の技術ですが、予約システムやチャット機能など、サイトの裏側の仕組みに使われていることが少なくありません。「PHPは確認したから終わり」ではなく、自社サイトを構成している技術をひとつずつ洗い出しておくことをおすすめします。
まとめ
今回のPHP2Shellは、総理が緊急の呼びかけを行うほどの大きな出来事でした。要点を振り返りますと、まず自社サイトの運用体制を把握すること、保守会社に3つの質問を投げかけること、そして修正が間に合わない場合の代替手段を知っておくことの3点が重要と考えます。セキュリティ対策は一度で終わるものではなく、日頃の小さな点検の積み重ねが被害を防ぐことにつながるのではないでしょうか。まずは、ホームページを作った制作会社やサーバー会社に一本連絡を入れるところから始めてみてはいかがでしょうか。
よくある質問
Q. PHP2Shellとは何ですか。 A. 2026年10月21日に公表されたPHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）の通称です。認証なしで遠隔からサイトを操作できる可能性があるとされ、深刻度はCVSS v4.0で9.2と評価されています。
Q. 自分のサイトがWordPressかどうか分からない場合は、どうすればいいですか。 A. サイトの管理画面のURL（多くは「/wp-admin」で終わります）を確認するか、制作を依頼した会社に「WordPressで作られていますか」と聞くのが確実と考えます。分からないまま放置するより、まず一本連絡することをおすすめします。
Q. 保守契約をしていない場合はどうすればいいですか。 A. 保守契約がない場合も、ホームページを作った制作会社やサーバー会社に連絡することで、現状の確認や見積りを依頼できるケースが多いようです。相談先が分からない場合は、テラデザインにご相談いただくことも可能です。
Q. サイトを一時停止すると、検索順位などに悪影響はありますか。 A. 短期間の一時停止であれば、大きな悪影響は限定的と考えられています。ただし長期間の停止は検索エンジンからの評価に影響する可能性があるため、停止期間の見通しを保守会社と相談しながら進めることをおすすめします。
テラデザインでは、お店のミカタホームページでの保守対応をはじめ、PHP2Shellを含むホームページのセキュリティ点検や、制作会社への確認の進め方についてもご相談に対応しています。「自社サイトが対象かどうか分からない」「保守会社への聞き方に迷っている」という場合は、まずはLINEでお気軽にご相談ください。
LINE登録・無料相談はこちら https://lin.ee/x0ur9MD
※本記事は一般的な情報提供を目的としたものです。個別の脆弱性対応・設定変更・侵害の疑いがある場合は、契約中のサーバー会社・制作会社・セキュリティ専門家にご相談ください。
著者プロフィール
小宮山 泉（株式会社テラデザイン代表。中小企業・店舗のWeb制作とAI活用を支援しています。業種ごとの現場感を踏まえ、無理のない範囲での導入提案を心がけています。）