PHPの重大な脆弱性、あなたのホームページは大丈夫？今日からできる対策を解説

2026年10月下旬、PHPに見つかった2つの深刻な脆弱性（CVE-2026-109618／CVE-2026-109619、通称「PHP2Shell」）が、IT系のニュースだけでなく一般の経営者の方の間でも話題になっています。

「うちのホームページは大丈夫なの？」「サーバー会社から何か通知が来ていたけれど、よく分からないまま放置している」。実際に、そんなご相談をいただく機会が増えました。

そこでこの記事では、専門用語をできるだけ使わずに、今回の件で何が起きているのか、ホームページを運営している会社・お店が何をすればいいのかを、順番に整理してお伝えします。少し長くなりますが、最後まで読んでいただければ、今日から何をすべきかが見えてくるはずです。

そもそも今回のPHPの脆弱性とは？

PHPは、WordPressをはじめ、世の中の非常に多くのホームページやネットショップの裏側で動いているプログラムです。普段ホームページを見ているだけでは意識することはありませんが、「ページを表示する」「お問い合わせフォームを動かす」といった処理を、サーバーの中で担当しています。

今回見つかった脆弱性は、ログインなどの認証をしていない外部の第三者が、インターネット経由でサーバーに不正な命令を実行できてしまう恐れがあるというものです。危険度を示すスコア（CVSS）は9.2と、「緊急」に分類される非常に高い水準です。

「脆弱性」と聞くと難しく感じますが、たとえるなら「建物の鍵に欠陥が見つかった」ような状態です。鍵メーカーが交換用の部品を配り始めたので、一刻も早く付け替える必要がある。そして、部品の交換を誰がやるのか（サーバー会社なのか、自分なのか）が、運営の形によって変わってきます。

一般的なホームページの場合：基本はサーバー会社の対応待ち

会社紹介やお店の案内を中心とした、一般的なホームページ（WordPressを含む）を、レンタルサーバーで運営している場合、PHP自体を更新するのはサーバー会社の役目です。ご自身でPHPを入れ替えているわけではないため、基本的にはサーバー会社が対応してくれるのを待つ形になります。

今回も、国内の主要なレンタルサーバー各社は、サーバー側のPHPへの修正適用を進め、あわせて、予防のために管理画面などを一時的に止める対応をとったところもありました。多くの方は、サーバー会社からの案内メールやお知らせでこの件を目にされたのではないでしょうか。

ただし、「何もしなくていい」わけではありません。次の3点だけは、ご自身で確認しておくことをおすすめします。

古いPHPを使っていると、修正の対象外になることも

ここが、今回もっとも見落とされやすいポイントです。サーバー会社が修正を適用してくれるのは、基本的にサポートが続いているバージョンが中心です。かなり古いPHPで動かしているサイトでは、「今回の修正は提供対象外なので、お客様側で対策を検討してください」と案内されるケースがありました。

つまり、「サーバー会社に任せているから安心」とは言い切れないのが現実です。ご自身のサイトがどのバージョンで動いているのかを、一度確認しておく価値は十分にあります。

ショッピングサイト・会員サイトは、より警戒が必要です

一方で、ネットショップや会員制サイト、予約システムのように、お客様の個人情報を預かっているサイトは、同じ脆弱性でも被害の大きさがまったく違ってきます。

万が一サーバーの中に侵入されると、氏名・住所・電話番号・メールアドレスといった顧客情報や、注文履歴、場合によっては決済に関わる情報にまで、被害が広がる可能性があります。「お客様に迷惑をかけた」「信用を失った」というダメージは、ホームページの会社案内が書き換えられる被害とは比べものになりません。

特に、VPSや専用サーバーなど、ご自身（または制作会社）でサーバーを管理している場合は、誰も代わりに更新してくれません。「契約したときに作ってもらってから、触っていない」という場合は、早めに管理を委託している会社や担当者へ確認してください。

ネットショップの運営者が見ておきたいポイント

• サーバーのPHPが修正版になっているか（サーバー会社への確認、または管理画面で確認）
• 管理画面のログイン履歴や、見覚えのない管理者アカウントが追加されていないか
• 身に覚えのないファイルや、サイトの表示の異常（リンク先が変わる、見慣れない広告など）がないか
• お客様のカード情報をサーバー内に保存していないか（決済代行会社を使い、カード情報を自社で持たない「非保持」の形が基本です）
• 不要になった顧客データや、過去の問い合わせデータが、サーバーに残り続けていないか

「不審な点があるかもしれない」と感じた場合は、自己判断で触る前に、サーバー会社やサイトを作った制作会社に相談してください。調査の前にデータを上書き・削除してしまうと、原因の特定が難しくなることがあります。

今後に向けてできること：ホームページは「作って終わり」ではありません

今回のような脆弱性は、残念ながら今後も繰り返し見つかります。大切なのは、ニュースが出てから慌てるのではなく、普段から「更新できる状態」「戻せる状態」にしておくことです。

バージョンアップは「PHP」だけではありません

ホームページの安全性は、いくつもの部品の積み重ねで成り立っています。どれか一つでも古いままだと、そこが弱点になります。

• PHP（サーバー側のプログラム）
• WordPress本体
• テーマ（デザインのテンプレート）
• プラグイン（追加機能）

特にプラグインやテーマは、開発が止まって更新されなくなったものが、そのまま使われ続けているケースがよくあります。使っていないプラグインやテーマは、停止するだけでなく削除しておくのが安全です。

日々のメンテナンスで、被害の確率は大きく下げられます

特別なことをしなくても、次のような基本を続けるだけで、リスクは大きく下がります。

• WordPress・プラグイン・テーマの更新通知を放置しない
• 管理画面のパスワードを使い回さず、可能なら二段階認証を設定する
• 管理者アカウントは必要な人数だけにし、退職・契約終了した人のアカウントは削除する
• サイト全体をSSL（https）化しておく
• セキュリティ対策のプラグインや、サーバー側のWAF（不正アクセスを遮断する仕組み）を有効にしておく
• 月に一度は、サイトの表示・お問い合わせフォーム・管理画面を実際に確認する

バックアップは「最後の命綱」です

どれだけ気をつけていても、被害をゼロにはできません。そのときに、被害の前の状態へ戻せるかどうかが、復旧の早さとダメージの大きさを決めます。

サーバー会社が自動でバックアップを取ってくれているケースも多いですが、保存期間が短かったり、復元に手数料がかかったりすることもあります。「何日分が、どこに、どうやって戻せるのか」を、一度確認しておいてください。

最近よく聞く「情報漏洩」。ホームページを公開している会社ができること

ここ最近、企業の情報漏洩のニュースを目にする機会が増えました。大企業の話だと思われがちですが、実際には地域の中小企業のホームページが、踏み台にされたり、改ざんされたりするケースも珍しくありません。「うちは狙われるほどの会社ではない」という考え方が、いちばん危険です。攻撃の多くは、会社の規模を選ばず、機械的に「穴のあるサイト」を探して行われます。

ホームページを公開している会社として、次のような取り組みが現実的で効果的です。

1. 公開しているものを、まず洗い出す

意外と多いのが、「存在を忘れていたサイト」が狙われるケースです。以前の制作会社が作ったテストサイト、使っていないキャンペーン用のページ、古いドメインなど、更新されないまま公開され続けているものはありませんか。使っていないものは、閉じる・削除することが、最も確実な対策です。

2. 預かる情報を減らす

漏れる情報がなければ、漏れようがありません。お問い合わせフォームの内容をサーバーに溜め込み続けていないか、不要になった会員情報や応募者情報が残っていないか、見直してみてください。「必要な期間だけ持つ、必要がなくなったら消す」が基本です。

3. 入口を守る

管理画面のログインは、侵入の主要な入口です。パスワードの強化、二段階認証、ログインできる場所やIPアドレスの制限、ログイン試行の回数制限などを組み合わせることで、被害の確率は大きく下がります。

4. 「もしも」のときの連絡先と手順を決めておく

異常に気づいたとき、誰に連絡し、どう動くのか。サーバー会社の緊急連絡先、制作・保守を依頼している会社の連絡先、社内の担当者を、あらかじめ一枚の紙にまとめておくだけでも、初動の早さが変わります。

また、個人情報が漏れてしまった場合には、状況によって、国（個人情報保護委員会）への報告や、お客様への連絡が必要になることがあります。万が一のときに慌てないよう、「どこまでが自社で判断できて、どこから専門家に相談するのか」を考えておくと安心です。

古いバージョンのまま運用しているサイトの方へ

今回の件を受けて、私たちのところにも、「PHPのバージョンがかなり古いままのサイトを運営している」という方からのお問い合わせが届いています。内容はさまざまですが、よくいただくご不安は次のようなものです。

こうしたお気持ちは、とてもよく分かります。ただ、率直にお伝えすると、古いバージョンのまま使い続けることは、時間が経つほどリスクも費用も大きくなっていきます。サポートが終了したバージョンは、今回のような脆弱性が見つかっても、修正が提供されないことがあるからです。

さらに、古い状態を放置すると、バージョンの差が大きくなり、いざ更新しようとしたときに、テーマやプラグインが動かなくなったり、作り直しに近い作業が必要になったりすることもあります。「いつかやろう」と先送りした分だけ、後の負担が重くなるのが現実です。

理想の進め方は、こうです

古いバージョンからの更新は、「いきなり本番のサイトで更新ボタンを押す」のではなく、順序を踏んで進めるのが理想です。

1. 現状を把握するPHP・WordPress・テーマ・プラグインのバージョンと、サーバーの契約状況を確認します。
2. バックアップを取るサイトのデータとデータベースを、サーバーとは別の場所に保存します。
3. テスト環境で動作を確認する本番とは別の環境で、新しいPHPに切り替えても表示・フォーム・ショップ機能などが問題なく動くかを事前に検証します。
4. 問題のある部分を直す新しいPHPに対応していないプラグインや、古いテーマの記述を、更新・置き換え・修正します。
5. 本番環境へ切り替え、動作を確認するアクセスの少ない時間帯に切り替え、表示・お問い合わせ・決済などの重要な機能を一通り確認します。
6. その後も定期的に点検する一度きりで終わらせず、月に一度の点検と、更新のルールづくりまで含めて、運用に落とし込みます。

目安としては、サポート期間が十分に残っている新しめのPHPバージョン（現在であれば8.3以降が一つの目安です。8.2は2026年末でセキュリティサポートが終了する予定です）へ移行し、WordPress本体・テーマ・プラグインも最新の状態に保つことが理想です。

また、サイトの状態によっては、「更新して延命する」よりも「作り直す」ほうが、結果的に安全で、費用も抑えられる場合もあります。デザインや機能が時代に合っていない、更新が止まったプラグインに依存している、といった場合は、リニューアルも含めて検討するのがおすすめです。どちらが適しているかは、サイトの中身を見てみないと判断できません。

まとめ：「うちは大丈夫かな？」と思った今が、見直しのタイミングです

今回のPHPの脆弱性は、一般的なホームページの場合、多くはサーバー会社の対応によって守られる部分が大きいものです。しかし、古いバージョンのまま使っている場合や、ショッピングサイト・会員サイトのようにお客様の情報を預かっている場合、そしてご自身でサーバーを管理している場合は、他人事ではありません。

そして、今回の件をきっかけに見えてくるのは、ホームページが「作ったら終わり」ではなく、「持ち続けるための手入れが必要なもの」だということです。バージョンアップ、日々のメンテナンス、バックアップ。この3つが揃っているサイトは、今回のようなニュースが出ても、慌てずに済みます。

※本記事は2026年11月2日時点の情報をもとに作成しています。脆弱性への対応状況や、各社の案内は日々更新されますので、最新の情報は、PHP公式、JPCERT/CC、ご利用のサーバー会社の発表をご確認ください。