はじめに（この記事は約8分で読めます）
2026年10月21日の夜、ホームページの裏側で広く使われているプログラミング言語「PHP」に、重大な脆弱性が2件公表されました。通称「PHP2Shell」と呼ばれており、高市総理が自身のXで緊急の呼びかけを行うほどの出来事だったと考えます。「うちは八王子の小さな店舗だから関係ない」と感じた経営者様も多いのではないでしょうか。結論から述べますと、規模の大小に関わらず、ホームページでPHPを使っている以上は確認が必要な話です。この記事では、何が起きたのかの整理と、今すぐできる3つの対策を順番にまとめます。
目次：3つの対策とその進め方
- 2026年10月21日の夜に起きたこと
- 放置した場合に考えられる被害
- 対策①：修正プログラムの適用
- 対策②：WAFや暫定の防御策
- 対策③：継続的な保守管理体制
- 小さく始めるなら、何から確認すればいいか
1. 2026年10月21日の夜に起きたこと
2026年10月21日、PHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）が公表されました。深刻度を表すCVSS v4.0のスコアはいずれも9.2で、認証なしに遠隔から操作できてしまう可能性があるという、きわめて深刻な評価です。原因はメモリの扱いに起因する不具合とされており、技術的な詳細は専門的なものですが、要点は「悪用されると外部から第三者にサイトを操作されかねない」という点にあると考えます。
影響範囲は、PHP-FPM・mod_php・php-cgiなど、PHPでWebページを処理するほぼすべての方式に及びます。WordPressやDrupalといった主要なCMS（ホームページ管理の仕組み）も、この土台の上に成り立っているため、無関係ではありません。同じ日には、PHPとは別の技術であるNode.jsでも10件の脆弱性（うち4件が重大度「高」）に対する緊急の修正が配信されたと報じられており、同日に2つの出来事が重なった点も記憶しておきたいところです。ニコニコ・pixivといった大手サービスもメンテナンスに入ったと報じられており、規模の大きなサービスほど素早く対応に動いたこともうかがえます。関連する技術の背景は、以前の記事「PHP・Node.js・AIのセキュリティ対策」でも整理していますので、あわせてご確認いただければと思います。
2. 放置した場合に考えられる被害
対応を後回しにした場合、ホームページの書き換えによる偽サイトへの誘導や、問い合わせフォームに入力された情報の漏えい、管理画面の乗っ取りなど、経営に直結する被害につながる可能性があります。復旧作業や取引先への説明に時間がかかれば、信用そのものを落とすことにもなりかねません。被害の具体的なパターンについては、姉妹記事「八王子のホームページ制作会社が解説｜PHP放置で起きる5つの被害」で詳しく整理していますので、あわせてご確認いただければと思います。
3. 対策①：修正プログラムの適用
最も確実な対策は、サーバーやホームページで使われているPHPのバージョンを確認し、公式の修正版へ更新することです。今回の修正版はPHP 8.2.35／8.3.36／8.4.27／8.5.12として提供されています。多くのレンタルサーバーでは、管理画面からPHPのバージョンを確認・変更できる場合が多いようです。
ここで見落とされやすいのが、PHP 8.1以前はすでに公式のサポートが終了している点です。サポート切れのバージョンを使い続けている場合、修正プログラムそのものが提供されないため、まずバージョンを引き上げる作業が必要になると考えます。ワードプレスで運用している場合は、本体・テーマ・プラグインとの組み合わせによって、更新後に表示が崩れることもあります。自分でバージョンを切り替える前に、必ずバックアップを取得してから作業することをおすすめします。たとえば八王子の工務店であれば、見積依頼を受け付けるフォームが主な窓口という場合もあるかと思います。そのフォームの裏側にPHPが使われているかどうか、まずは確認してみることをおすすめします。自社での判断が難しい場合は、制作会社や保守担当者に「PHPのバージョンと対応状況を確認してほしい」と一言伝えるだけでも、最初の一歩になります。
4. 対策②：WAFや暫定の防御策
修正プログラムをすぐに適用できない事情がある場合は、WAF（Web Application Firewall／不審な通信を手前でブロックする仕組み）の導入や設定強化が、一時しのぎの対策として役立つと考えられます。レンタルサーバー側でWAFの機能をオン・オフ切り替えられる場合もあり、設定を見直すだけで防御のレベルが上がることもあります。
どの程度の防御策が必要かは、サイトの性質によっても変わってくると考えます。問い合わせフォームが中心の会社案内サイトと、会員機能やオンライン決済を備えたサイトでは、想定すべき被害の大きさが異なるためです。不審なアクセス元の地域を制限する設定や、管理画面へのアクセスを限られたIPアドレスだけに絞る方法も、暫定的な防御策として検討する価値があると考えます。それでも対応が難しい場合、国家サイバー統括室が案内したように、ホームページを一時的に停止するという判断も、情報漏えいや乗っ取りを避けるための現実的な選択肢になり得ます。「止める」という判断は経営的に勇気が要りますが、被害が出てからの復旧コストと比べれば、一時停止のほうが小さな損失で済むケースも少なくないと考えます。
5. 対策③：継続的な保守管理体制
今回のような緊急対応は、都度その場で動くだけでは限界があります。ホームページは公開して終わりではなく、お店の設備のように継続的な点検が必要な資産だと考えます。まず決めておきたいのは、誰が、どのくらいの頻度で、何を確認するかという役割分担です。
- PHP・WordPress本体・プラグインの更新状況を定期的に確認しているか
- 更新のたびに表示崩れや動作不良がないかを確認する習慣があるか
- 管理者アカウントに退職者・取引終了した外注先が残っていないか
- バックアップから実際に復旧できる状態になっているか
- 異常が起きたときにすぐ連絡できる相手が決まっているか
これらを自社だけで確認し続けるのは、専任の担当者がいない会社様にとって負担が大きいと考えます。月に一度の確認だけでも仕組みにできれば、次に同様の発表があった際の初動は大きく変わってくるはずです。自社での対応が難しい場合は、保守契約という形で制作会社や保守担当者に任せるという選択肢も検討してみてはいかがでしょうか。
6. 小さく始めるなら、何から確認すればいいか
すべてを一度に整えるのは現実的ではありません。まずは「自社のホームページがPHPを使っているか」「現在のバージョンは何か」の2点だけでも確認してみてはいかがでしょうか。制作会社に問い合わせるだけで分かることも多く、ここから保守の必要性を判断していく流れが無理のない進め方だと考えます。
まとめ
「PHP2Shell」と呼ばれる今回の脆弱性は、認証なしで遠隔操作されかねないきわめて深刻な評価であり、PHPを使うほぼすべてのホームページが対象になり得る出来事でした。対策は大きく3つ、①修正プログラムの適用、②WAFや暫定の防御策、③継続的な保守管理体制の3本柱で考えると進めやすいと考えます。まずは自社サイトのPHPバージョンを確認するところから、小さく始めてみてはいかがでしょうか。
よくある質問
Q. PHPを使っているかどうか、自分で確認する方法はありますか。 A. サーバーの管理画面でバージョンが表示される場合が多いですが、ワードプレスなどCMSを利用している場合は判断が難しいこともあります。制作会社や保守担当者に確認を依頼するのが確実な方法と考えます。
Q. ホームページを一時停止すると、検索順位やお客様への印象に影響しませんか。 A. 停止期間が短く、停止中の案内を分かりやすく表示していれば、過度な心配は不要なケースが多いと考えます。むしろ乗っ取られたまま放置するほうが、信用への影響は大きくなる可能性があります。
Q. 修正プログラムを適用したら、それで終わりですか。 A. 今回の対応だけでは終わりではないと考えます。ソフトウェアの脆弱性は今後も見つかり続けるため、継続的な保守管理体制を整えておくことが、次の出来事への備えになります。
Q. ワードプレス以外に乗り換えたほうが安全ですか。 A. 一律に乗り換えるべきとはいえません。更新頻度や運用体制によって最適な選択肢は変わるため、現状の仕組みを安全に運用する方法と合わせて検討することをおすすめします。
まずは無料でご相談ください
※本記事の内容は2026年10月時点の情報です。バージョン表記や制度は変わることがありますので、最新の内容は公式サイトでご確認ください。 今回のPHP脆弱性のような出来事は、八王子の店舗・会社様にとって、ホームページの保守体制を見直す一つのきっかけになるのではないでしょうか。テラデザインでは、PHP・WordPress・Node.jsのバージョン確認から、継続的な保守管理体制の整備まで、お店のミカタホームページのサービスを通じてサポートしています。何から始めればよいか分からない場合も、まずはお気軽にご相談ください。
著者プロフィール
小宮山 泉（株式会社テラデザイン代表。中小企業・店舗のWeb制作とAI活用を支援しています。業種ごとの現場感を踏まえ、無理のない範囲での導入提案を心がけています。）