五年前に知人の紹介で作ってもらった自社のホームページ。客室の写真や料金の差し替えは、女将さんがご自分でされています。そんな旅館に、2026年10月、取引先から「PHPに重大な脆弱性が見つかったそうですが、御社は大丈夫ですか」という連絡が入りました。PHPが何なのかも、誰に聞けばいいのかも分かりません。
結論から申し上げます。今回の件は、多くの場合レンタルサーバーの会社が直してくれました。ただしそれは、たまたま契約の範囲に入っていたからです。 ホームページには「誰かがやらないと、誰もやらない」部分があります。それが誰なのかを一度だけ確かめておくことが、いちばん安い対策になります。
2026年10月、PHPに何が起きたのか
PHPとは、ホームページを「動かしている」裏側の仕組みです
PHP（ピーエイチピー）は、Webサイトを動かすためのプログラミング言語です。お客様が予約フォームに入力した内容を受け取る、ブログの記事一覧を組み立てて表示する——そうした「動き」の部分を担っています。
国内の中小企業のサイトで広く使われているWordPress（ワードプレス）も、このPHPで作られています。経営者の方がPHPを直接触ることはまずありませんが、ホームページが動いている以上、必ずその下で動いています。
何が危ないのか
2026年10月21日、PHPの開発チームが重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）と、その修正版を公表しました。脆弱性とは、プログラムの欠陥のうち、悪用されると被害につながるもののことです。
危険度が高いとされたのは、悪用されると外部からサーバー上で好きなプログラムを動かされるおそれがあるためです。平たく言えば、サイトを乗っ取られるということです。
JPCERTコーディネーションセンター（国内のセキュリティ情報を扱う公的性格の組織）は10月22日に注意喚起を出し、26日の更新で「悪用できると主張する実証コードが多数公開され、悪用を試みる通信を観測したという報告も相次いでいる」としています。公表から数日で、実際に狙われる段階に入ったということです。
WordPressを最新にしていても防げません
ここが今回の最も大事な点です。
多くの経営者の方は「WordPressの更新ボタンは押している」「プラグイン（機能を追加する部品）も最新にしている」とお考えだと思います。それ自体は正しい習慣です。ただ今回の問題はWordPressではなくPHPそのもの、つまりもう一段下の層にあります。
修正されたのは、PHPのバージョン8.5.12、8.4.27、8.3.36、8.2.35です。これらはサーバーに入っているPHPを入れ替えないと直りません。 WordPressの管理画面をいくら更新しても解決しないのです。
なお、PHP 8.1以前のバージョンには公式の修正版が提供されていません。古いまま使い続けている場合は、より注意が必要です。
今回、守ってくれたのは誰だったか
多くのレンタルサーバーでは、サーバー会社が直しました
ここで安心していただきたいのですが、共用のレンタルサーバーを使っている場合、多くは利用者の操作なしで対応が完了しています。
国内大手のエックスサーバーは、公式のお知らせで次のように案内しています。レンタルサーバー（エックスサーバー、XServerビジネス、XServer for WordPress）については同社が修正を適用し、利用者が急いでPHPのバージョンを変更する必要はない。対応は2026年10月26日6時20分までに全対象サーバーで完了した、という内容です。
他社でも同様に「サーバー側で修正済み、利用者の操作は不要」とした事業者が多く見られました。
守ってもらえなかったのは、どこか
一方で、同じエックスサーバーでもVPS（XServer VPSなど）は対象外とされています。理由は明確で、「OSやPHPはお客様ご自身で管理する必要があるため」です。
つまり、守ってもらえたかどうかは契約の中身で決まっていたわけです。自社でサーバーを借りて自由に構成できる形態を選んでいれば、その自由の裏返しとして、更新の責任も自社にあります。これは契約上あたりまえのことなのですが、「作ってもらったときにそういう契約になっていた」ことを覚えている経営者は多くありません。
バージョンが古いまま表示されても、未対応とは限りません
もうひとつ、誤解しやすい点があります。
エックスサーバーは、PHP 8.2〜8.5については同じ系列の修正版に更新した一方、PHP 5.1〜8.1については「バージョンを変えずに修正パッチを適用」しています。他社にも同じ方式をとったところがあります。
これはつまり、管理画面に表示されるバージョン番号が古いままでも、修正は済んでいる場合があるということです。番号だけを見て「うちは危ない」と慌てる必要はありませんし、逆に言えば、番号では判断できません。確実なのは、契約しているサーバー会社のお知らせを読むことです。
ホームページの「守る人」を確認する4つの質問
ここからが本題です。当事務所でも、今回の件を受けて自社サイトを確認しました。
契約しているのはConoHa WINGで、サーバー会社の案内から修正パッチの適用が済んでいることを確認しています。
確認そのものは10分ほどで終わりました。
以下の4つに答えられるかどうか、確かめてみてください。
① サーバーはどこと契約していますか
まず、自社のホームページがどこのサーバーで動いているかです。
請求書やクレジットカードの明細に、サーバー会社の名前が出ていないでしょうか。
共用のレンタルサーバーなのか、VPSや専用サーバーなのかで、今回のように「会社が直してくれる範囲」が変わります。
契約プラン名まで分かれば十分です。
② PHPのバージョンはどこで見られますか
WordPressをお使いなら、管理画面の「ツール」から「サイトヘルス」を開き、「情報」タブの「サーバー」の項目でPHPのバージョンが確認できます。
サーバー会社の管理画面にも、PHPのバージョンを設定する画面があります。
先ほどお伝えしたとおり、番号だけでは対応済みかどうかは判断できません。
ここで見るのは「自社が今どの系列を使っているか」です。
これが後の④とサポート期限の話につながります。
③ 保守契約はありますか。あるなら、どこまでが範囲ですか
ここでつまずく方が最も多いところです。
「月5,000円払っている」けれど、何をしてもらっているかは知らない——美容室のオーナーさんから、実際にそういうご相談を受けます。
請求書の明細には「サイト保守」としか書かれていません。
確認していただきたいのは、次の範囲です。
| 項目 | 誰がやることになっているか |
|---|---|
| WordPress本体の更新 | |
| プラグイン・テーマの更新 | |
| サーバーのPHPの更新 | |
| バックアップの取得と保管 | |
| 改ざんされたときの復旧 | |
| 不具合が出たときの連絡先 |
このうち「サーバーのPHPの更新」が抜けている契約は珍しくありません。
保守費用の相場を調べても、PHPの更新が含まれるかどうかまで書いてある情報はほとんど見当たりませんでした。
金額の多寡より、何が含まれているかを確かめてください。
④ 作ってくれた人と、今も連絡が取れますか
意外に重いのがこの質問です。
個人の制作者に頼んだ、知人の紹介だった、担当者が退職した、制作会社が廃業した。
こうしたケースでは、サーバーの契約名義やログイン情報そのものが分からないことがあります。
いざ何かあったときに動けないのは、技術の問題ではなく連絡先の問題です。
今は何も起きていないうちに、一度連絡を取ってみてください。
それだけで、備えとしてはかなり前進します。
契約書を見ても範囲がよく分からない、という場合もあると思います。
何をどう確認すればよいか一緒に整理しますので、お気軽にお問い合わせください。
次の締切は2026年12月31日です
PHP 8.2のセキュリティサポートが終わります
今回の件が落ち着いても、カレンダーにはもう次の期限が入っています。
| PHPのバージョン | セキュリティサポート終了日 |
|---|---|
| 8.2 | 2026年12月31日 |
| 8.3 | 2027年12月31日 |
| 8.4 | 2028年12月31日 |
| 8.5 | 2029年12月31日 |
サポートが終わるというのは、次に新しい欠陥が見つかっても、公式の修正版が出ないということです。
今回は修正版が出たから各社が適用できました。
8.2のまま年を越すと、次は同じようにはいきません。
②で確認したバージョンが8.2だった場合は、年内に手を打つ対象だとお考えください。
系列を上げると、サイトの表示が崩れることがあります
ただし「じゃあ今すぐ上げよう」と自分で切り替えるのは、おすすめしません。
PHPの系列を上げると、古いプラグインやテーマが対応しておらず、サイトの一部が表示されなくなったり、管理画面に入れなくなったりすることがあります。
予約フォームが止まれば、その間の予約は失われます。
だからこそ、バックアップを取ってから作業できる人に頼む意味があります。
保守契約がある会社にとっては、まさにこれを依頼する場面です。
「誰もやっていない」と分かったら
責める必要はありません
4つの質問に答えてみて、「誰もやっていなかった」という結論になった方もいらっしゃると思います。
申し上げたいのは、それは珍しいことではないということです。
ホームページは作るときに費用と労力をかけるぶん、「完成した」ところで気持ちが一区切りついてしまいます。
更新の話は、たいてい誰からも切り出されないまま時間が過ぎます。
IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織向けの脅威の第4位に「システムの脆弱性を悪用した攻撃」が挙げられています。
多くの組織が同じ課題を抱えている、ということでもあります。
今日からできる3つのこと
大がかりな投資は要りません。
順番に、小さく始めてください。
- 契約しているサーバー会社のお知らせを読む。 今回の件も、各社が公式サイトで案内しています。メールマガジンが迷惑メールに振り分けられていないかも、あわせて確認を
- バックアップが取れているか確かめる。 取れていても、戻せるかどうかは別の話です。復元の手順を一度確認しておいてください
- 連絡先をA4一枚にまとめる。 サーバー会社、制作会社、保守業者。深夜に何かあったとき、探さずに済む形にしておきます
社内の守りもついでに点検する
せっかくなので、サイトだけでなく社内側も見直しておくと効率的です。
IPAは「中小企業の情報セキュリティ対策ガイドライン」のなかで「情報セキュリティ6か条」を示しています。
2026年3月に公表された第4.0版で、従来の5か条に「バックアップを取ろう」が加わって6か条になりました。
この6か条には「OS・ソフトウェアを最新の状態にする」も含まれています。
サーバーのPHPもここでいう「ソフトウェア」です。
6か条に取り組むことを自ら宣言する「SECURITY ACTION」という仕組みもあります。
宣言するとロゴマークを無料で使えるほか、補助金の申請要件になっていることもあります。
認定を受ける制度ではなく自己宣言なので、小規模な事業者でも取り組みやすい仕組みです。
まとめ
2026年10月のPHPの脆弱性から、経営者が持ち帰るべきことは3つです。
- 今回守ってくれたのはサーバー会社だった。それは契約の範囲に入っていたからで、入っていない部分は誰もやらない
- 保守契約の中身を確認する。特に「サーバーのPHPの更新」が範囲に入っているか
- 次の期限は2026年12月31日。PHP 8.2を使っているなら年内に相談を
ホームページは、作って終わりの買い物ではありません。
建物に定期点検があるのと同じで、動かし続けるには誰かが面倒を見る必要があります。
その「誰か」を決めておくことが、結局いちばん安く済みます。
なお、脆弱性の情報は日々更新され、サポート期限や各社の対応も時期によって変更されることがあります。
本記事は2026年10月27日時点の情報をもとにしています。
最新の状況は、必ずご契約のサーバー会社とIPA・JPCERT/CCの公式発表でご確認ください。
自社のホームページについて何を確認すればよいか分からない、保守の体制をどう組めばよいか相談したい、という場合はお気軽にどうぞ。初回相談は無料です。
