PHPの脆弱性。
2026年10月、Web制作に関わる人にとって、少し気になるニュースがありました。
PHP（ピーエイチピー）というプログラミング言語に、深刻な脆弱性が見つかったというニュースです。PHPと言われても、普段ホームページを管理している方や企業の経営者の方にとっては、あまり馴染みのない言葉かもしれません。でも実は、私たちが日常的に見ているホームページやWebサービスの多くで使われている技術なんです。WordPress（ワードプレス）もそのひとつです。
「PHPが危ないって聞いたけど、うちのホームページは大丈夫？」
「WordPressはもう使わない方がいいの？」
「これからホームページを作るなら、何を選べばいいの？」
そんな疑問を持たれた方もいるのではないでしょうか。
実際、今回のニュースを受けて、私自身も保守管理に関わっているWebサイトや過去作成をした会社様のサイト確認や改善対応を行いました。既存のお客様だけでなく、そのお客様からさらに別のお客様をご紹介いただくなど、思っていた以上に多くのご相談をいただきました。
気づけば約10日間、睡眠時間も少なめで対応する日々でした（笑）。
今回は、そもそもPHPとは何なのか、なぜこれほど普及してきたのか、今回の脆弱性で何が起きたのか、そして実際にどのような対応を行ったのか。さらに、AIが当たり前になりつつあるこれからの時代に、Webサイトをどう作り、どう守っていくべきなのか。できるだけ専門用語を使わず、制作現場の視点も交えながら書いてみたいと思います。
そもそもPHPって何？
そもそもPHPって何？なぜホームページに必要だったのか、まず、PHPとは何かというところから。ホームページを作る技術には、HTML、CSS、JavaScriptなどがあります。HTMLは文章や画像を配置するための骨組み、CSSは色やレイアウトなどの見た目、JavaScriptはボタンを押したときの動きなどを担当します。そしてPHPは、主にサーバー側で動き、情報を処理する役割を担っています。例えば、ホームページのお知らせを更新したり、お問い合わせフォームの情報を処理したり、会員ごとに違うページを表示したり。こうした仕組みを実現するために使われてきたのがPHPです。
少し分かりやすく例えるなら、PHPはホームページの裏側で働く料理人のような存在です。お客さんが料理を注文すると、料理人は冷蔵庫から材料を取り出して、注文に合わせた料理を作ります。Webサイトも似ています。閲覧者がページにアクセスすると、PHPが必要な情報をデータベースから取得し、表示するページを作ることができます。普段私たちが見ている完成されたホームページの裏側では、こうした処理が動いていることがあるんです。
もちろん、すべてのホームページにPHPが必要なわけではありません。HTMLやCSSを中心に作られたシンプルなサイトもありますし、PHP以外の言語や仕組みを使ったサイトもあります。では、なぜPHPはこれほど多くのWebサイトで使われてきたのでしょうか。
なぜPHPはここまで普及したのか？
PHPが広く使われるようになった理由はいくつかあります。まず、Webサイトを作ることに適した言語だったという点です。HTMLと組み合わせやすく、比較的手軽に動的なWebページを作ることができました。また、多くのレンタルサーバーがPHPに対応していたため、特別な環境を一から用意しなくても利用できることも大きなメリットでした。さらに、オープンソースで利用でき、開発に必要な情報やコミュニティも充実していたことも普及につながりました。
そして、PHPの普及を後押しした大きな存在のひとつが、WordPressです。
WordPressの普及がPHPを身近な技術にしたWordPressは、専門的なコードを書かなくても、ブログやお知らせ、画像などを管理画面から更新できるCMS（コンテンツ管理システム）です。企業のホームページはもちろん、店舗サイトやブログ、さまざまなWebメディアなどでも利用されています。このWordPressを支える主要なプログラミング言語がPHPです。つまり、WordPressでホームページを運用している場合、その裏側ではPHPが動いているということです。
以前は、ホームページの文字を少し変更するだけでも、制作会社に依頼したり、HTMLファイルを直接編集したりする必要がありました。WordPressが登場したことで、お客様自身が記事やお知らせを更新できるようになりました。これはホームページの運用を大きく変えた仕組みだったと思います。そして、テーマやプラグインを組み合わせることで、さまざまな機能を比較的低コストで追加できるようになりました。こうした利便性や導入のしやすさが、PHPとWordPressの普及につながっていったのです。ただ、便利な仕組みには、維持し続けるための管理も必要になります。
2026年10月。PHPに何がおきたのか？
2026年10月、PHPに深刻な脆弱性が見つかり、修正プログラムが公開されました。今回問題となったのは、CVE-2026-109618とCVE-2026-109619という2つの脆弱性です。この組み合わせは「PHP2shell」と呼ばれています。難しい名前ですが、簡単に言えば、一定の条件下で、外部の第三者がサーバー上で意図しないプログラムを実行できてしまう可能性がある問題です。
これを「リモートコード実行（RCE）」と呼びます。もし悪用されてしまうと、サイトの改ざんや情報の漏えい、サーバーを別の攻撃に利用されるといった被害につながるおそれがあります。今回の件では、米国のサイバーセキュリティ機関CISAが、実際に悪用が確認された脆弱性として登録しました。日本でもIPA（情報処理推進機構）が注意喚起を行い、対応を呼びかけています。高市総理も緊急で発言をされましたね。
ただし、ここで勘違いしてほしくないことがあります。「脆弱性がある」ということと、「すでに自分のサイトが攻撃された」ということは、まったく別の話です。
そもそも「脆弱性」って何？脆弱性とは、簡単に言うと、プログラムやシステムに存在するセキュリティ上の弱点のことです。例えば、自宅の玄関の鍵に欠陥が見つかったとします。その鍵を使い続けていると、第三者に開けられてしまう可能性があります。だからといって、すでに泥棒に入られたということではありません。
今回のPHPの問題も同じです。そして、鍵の欠陥を直すための修理や部品の交換に当たるのが、セキュリティパッチと呼ばれる修正プログラムです。つまり、脆弱性が見つかった場合には、必要な修正を適用することが重要になります。ただ、今回のように深刻な問題が発見された場合でも、すべてのサイトが同じ状態というわけではありません。利用しているPHPのバージョンやサーバー環境、サーバー会社側の対策状況などによって、必要な対応は異なります。重要なのは、必要以上に怖がることではなく、現在の環境を確認し、適切な対応をすることです。
古いPHPを使い続けることの何が問題なのか今回のニュースで改めて考えさせられたのは、PHPそのものの問題だけではありません。古いバージョンのまま、何年もホームページを運用しているケースがあるということです。PHPにはバージョンがあり、それぞれサポートされる期間が決まっています。サポート期間中は、問題が発見された場合に修正プログラムが提供されます。しかし、サポートが終了すると、原則としてPHP公式からのセキュリティ修正は提供されなくなります。例えば、PHP 7.4は2022年11月に公式サポートを終了しています。それでも、古いPHPのまま動いているWebサイトは存在します。
なぜなのでしょうか。理由のひとつは、今のところ問題なくホームページが表示されているからです。毎日問題なく表示されていて、お問い合わせも届いている。そうすると、あえて何かを変更する必要を感じないかもしれません。ただ、ホームページが正常に表示されていることと、安全な状態で運用できていることは別です。見た目では分からない部分で、古いプログラムや設定が残っている可能性があります。また、PHPのバージョンを変更すると、古いテーマやプラグインが正常に動かなくなるケースもあります。そのため、更新した方がいいと分かっていても、後回しになってしまうことがあるのです。このあたりは制作会社側にも考えるべき課題があると思います。作ったときは最新でも、数年後には古くなります。だからこそ、ホームページは制作して公開したら終わりではないんです。
今回のPHP脆弱性問題で、私が実際におこなった対応
ここからは、今回のニュースを受けて、私自身がどのような対応を行ったのかについても少し書いてみたいと思います。ニュースが出たあと、まず行ったのは、関わっているWebサイトの状況確認でした。
PHP公式サイトやIPAなどの情報を確認し、今回の脆弱性がどのようなものなのか、どのような対策が必要なのかを調べました。
そのうえで、管理に関わっているWebサイトのサーバー環境やPHPのバージョン、WordPressの利用状況などを確認していきました。
まずはWebサイトの状況を整理
確認した主な項目は次のような内容です。
どのレンタルサーバーを使用しているのか
PHPを使用しているのか、バージョンはいくつなのか
WordPressなどのCMSを利用しているのか
サーバー会社側でセキュリティ対策が実施されているのか
自分たちで対応しなければならない箇所はどこなのか
ここで重要なのが、サーバー会社によって対応方法が異なるということです。
例えば、一般的なレンタルサーバーでは、PHPのセキュリティ修正をサーバー会社が実施する場合があります。
一方で、VPSや独自に構築したサーバーなどでは、利用者側でPHPの更新や修正が必要になることもあります。
つまり、同じPHPを使っているサイトでも、必要な対応が必ずしも同じではないんです。
そのため、すべてのWebサイトに一律の変更を加えるのではなく、状況を確認したうえで必要な対応を判断していきました。
実際にPHP 7.4.30を使用しているサイトもありました
今回、確認したWebサイトの中には、PHP 7.4.30という古いバージョンを使用しているサイトもありました。
先ほども触れたように、PHP 7.4はすでに公式サポートが終了しています。
ホームページ自体は問題なく表示されていても、公式のセキュリティサポートが終了した環境を使い続けることにはリスクがあります。
もちろん、だからといってPHPだけをいきなり最新版にすればいいというわけではありません。
長年運用されているWebサイトでは、古いPHPを前提に作られたプログラムやプラグインが使用されている可能性があります。
PHPを更新した結果、ホームページが正常に表示されなくなったり、お問い合わせフォームが動かなくなってしまったりしては、お客様の事業にも影響してしまいます。
そこで今回は、必要な更新を進めるとともに、サイトとの互換性や動作状況なども確認しながら対応しました。
セキュリティを改善することはもちろんですが、お客様のホームページを問題なく使い続けられる状態にすることも同じくらい重要です。
PHP以外にも、改善が必要な部分がありました
今回の確認では、PHPのバージョン以外にも気になる部分が見つかりました。
それが、サーバーへファイルを送る際の通信方法です。
確認した環境では、暗号化されていないFTP通信が使用されていました。
FTPは、ホームページのデータをサーバーにアップロードするための仕組みですが、従来のFTPでは通信内容が暗号化されません。
例えるなら、誰かに大切な情報を送るときに、封筒に入れず、はがきのまま送っているようなものです。
必ず誰かに見られるというわけではありませんが、通信を盗み見られる環境では、IDやパスワードなどの情報が漏れる可能性があります。
そこで、暗号化された通信方式への切り替えなど、必要な改善も行いました。
ちなみに、ホームページに表示される「https」の鍵マークとは別の話です。
httpsは、主に閲覧者とWebサイトの間の通信を暗号化する仕組みです。
一方、SFTPなどは、制作者や管理者がサーバーへファイルを送る際の通信を保護します。
つまり、ホームページがhttpsに対応しているからといって、サーバー管理まで安全になっているとは限りません。
今回のニュースはPHPの脆弱性がきっかけでしたが、改めてWebサイト全体の管理環境を見直す機会にもなりました。
お客様から、その先のお客様へ
今回、特に印象に残っていることがあります。
それは、対応を進める中で、既存のお客様からさらに別のお客様をご紹介いただいたことです。
普段お付き合いのあるお客様だけではなく、そのお客様のお取引先やお知り合いなど、さらにその先の方々からもご相談をいただきました。
Webサイトのセキュリティというのは、何か問題が起きない限り、普段はあまり意識されない部分かもしれません。
だからこそ、今回のようなニュースを見て、
「うちのホームページは大丈夫なのかな？」
「そもそも、誰に相談したらいいんだろう？」
と不安に感じられた方も多かったのだと思います。
そうしたときに私たちのことを思い出していただけたこと。
そして、別の方にもご紹介いただけたこと。
これは本当にありがたいことでした。
気づけば、あっという間の10日間でした（笑）
ニュースが出てからの約10日間は、普段の制作業務と並行しながら、サイトの確認や改善対応を進める日々でした。
正直に言うと、睡眠時間もいつもより少なめでした（笑）。
ただ、今回の対応を通して改めて感じたのは、Web制作会社の仕事は、ホームページを作ることだけではないということです。
デザインを考えることも、コーディングすることも、もちろん大切です。
でも、何か問題が起きたときに状況を確認し、必要な対応を判断すること。
専門的な内容を分かりやすくお伝えすること。
そして、お客様が安心して事業を続けられるようにサポートすること。
そうした部分も、私たちの大切な役割なんだと思います。
今回ご相談いただいた方々、そしてご紹介いただいた皆様には、本当に感謝しています。
PHPのバージョンはいくつなら安全なのか？
では、現在使用しているPHPがどのバージョンならよいのでしょうか。
2026年10月に公表された脆弱性については、以下のバージョンで修正されています。
PHPの系列
今回の脆弱性が修正されたバージョン
PHP 8.2
8.2.35
PHP 8.3
8.3.36
PHP 8.4
8.4.27
PHP 8.5
8.5.12
※上記は2026年10月に公表された脆弱性に対する修正バージョンです。すべてのセキュリティ問題への安全性を保証するものではありません。
ここで注意したいのは、PHP 8.3だから安全、PHP 8.4だから大丈夫、というわけではないことです。
例えば同じPHP 8.3でも、8.3.1と8.3.36では修正状況が異なります。
バージョンは最後の数字まで確認することが重要です。
また、PHP 8.1以前は公式サポートが終了しています。
WordPress公式もPHP 8.3以上を推奨しています。
ただし、単純に最新のPHPへ変更すれば、それだけで安心というわけではありません。
WordPress本体やテーマ、プラグインとの互換性も考慮する必要があります。
自分のホームページは大丈夫？PHPのバージョンを確認する方法
では、自分のホームページがどのPHPを使っているのか、どうやって確認すればよいのでしょうか。
WordPressの場合は、管理画面から確認することができます。
WordPressの管理画面にログインする
「ツール」から「サイトヘルス」を選択する
「情報」タブを開く
「サーバー」の項目を確認する
PHPのバージョンを確認する
また、エックスサーバーなどのレンタルサーバーでは、サーバーの管理画面から確認できる場合もあります。
ただし、PHPのバージョンが分かったからといって、すぐに更新することはおすすめしません。
古いWordPressやプラグインが使われている場合、PHPを変更することで、ホームページが正常に表示されなくなったり、フォームが動かなくなったりする可能性があります。
安全に更新するためには、バックアップを取り、テスト環境で動作を確認し、問題がないことを確認してから本番環境に反映するのが基本です。
更新後は、トップページだけでなく、お問い合わせフォーム、管理画面、各種機能まで確認します。
サーバー会社が脆弱性への対策を実施している場合もありますので、まずは契約しているサーバー会社の案内や、管理を担当している制作会社に確認することが大切です。
PHPだけ更新すれば、セキュリティ対策は完了する？
残念ながら、そうではありません。
WordPressの場合、PHP以外にも管理する必要があるものがあります。
例えば、WordPress本体、テーマ、プラグインです。
これらも日々更新されており、古いバージョンには脆弱性が残っている可能性があります。
また、サーバーの設定や通信の暗号化、管理画面のパスワード、二段階認証、バックアップなども重要です。
例えば、どれだけPHPを新しくしていても、管理画面のパスワードが簡単に推測できるものであれば、別のリスクが残ります。
不要なプラグインを放置している場合も同様です。
さらに、バックアップがなければ、万が一トラブルが起きたときに元の状態へ戻すことが難しくなる可能性があります。
つまり、Webサイトのセキュリティは、何かひとつを更新すれば完成するものではないということです。
日々の管理や定期的な点検を含めて考えていく必要があります。
では、これからPHPやWordPressは使わない方がいいのか？
ここが今回、一番伝えたい部分かもしれません。
私は、PHPに脆弱性が見つかったからといって、PHPやWordPressを使うこと自体が悪いとは思っていません。
PHPは今でも開発が続けられている言語ですし、WordPressも多くのWebサイトで利用されている便利なCMSです。
問題は、どの技術を使うかだけではなく、その技術をどのように管理していくかということです。
ただし、これからホームページを制作するのであれば、すべての案件でWordPressを選ぶ必要もないと思っています。
例えば、会社案内やサービス紹介を中心とした、頻繁に内容を更新しないホームページ。
こうしたサイトであれば、HTMLやCSSを中心とした静的なWebサイトという選択肢もあります。
一方で、ブログやお知らせを頻繁に更新したい企業には、WordPressのようなCMSが便利です。
また、予約システムや会員機能、決済などが必要であれば、専用のシステムや外部サービスも含めて検討する必要があります。
最近では、STUDIOなどのWeb制作サービスや、ヘッドレスCMSと呼ばれる仕組みなど、選択肢も増えています。
もちろん、PHPを使わないからといってセキュリティのリスクがゼロになるわけではありません。
アカウントの乗っ取りや設定ミス、外部サービスの障害など、別のリスクは残ります。
だからこそ、制作方法を決める際には、デザインや費用だけでなく、公開後の運用や管理まで考えることが重要だと思います。
AIでWebサイトが作れる時代だからこそ、考えておきたいこと
最近はAIを使ったWeb制作も急速に進化しています。
私自身も、デザインやコーディング、システム開発など、日々の仕事でAIを活用しています。
少し前までは何時間もかかっていた作業が、驚くほど短時間でできるようになりました。
HTMLやCSSだけでなく、PHPやJavaScriptなどのプログラムもAIが生成できる時代です。
これからは、専門的な知識がそれほどなくても、見た目の整ったホームページや簡単なシステムを作れる場面がさらに増えていくと思います。
ただ、ここでひとつ気をつけたいことがあります。
AIがコードを書けることと、そのコードが安全に動くことは別の話です。
例えば、会員しか見ることができない情報が、URLを少し変更しただけで他人にも表示されてしまう。
お問い合わせフォームから入力された情報が適切に処理されていない。
パスワードやAPIキーなどの重要な情報が、誰でも閲覧できる場所に保存されている。
こうした問題は、画面の見た目だけでは分からないことがあります。
AIに「このコードは安全ですか？」と質問すれば、改善点を教えてくれることもあります。
でも、それだけですべての安全性が確認できたわけではありません。
実際の環境でテストし、問題がないか確認し、必要であれば専門家が検証することが大切です。
AIによって制作のハードルが下がることは、とてもいいことだと思います。
ただ、誰でも作れるようになるからこそ、何を使って作るのか、どう確認するのか、誰が公開後の責任を持つのか。
そうした部分の重要性は、これからさらに高まっていくのではないでしょうか。
これからのホームページ制作で大切にしたいこと
Web制作の技術は、これからも変わり続けていきます。
PHPやWordPressだけでなく、新しいフレームワークやAIを活用した開発環境など、さまざまな選択肢が登場しています。
その中で私が大切にしたいのは、流行している技術を何でも取り入れることではありません。
お客様がどんな目的でホームページを作るのか。
公開したあと、誰がどのように運用していくのか。
何年後も無理なく使い続けられるのか。
そうした部分まで考えて、適切な方法を提案することです。
そして、公開後も必要な更新や点検を行い、安心して活用できる状態を維持していくこと。
ホームページは作った瞬間が完成ではなく、そこから運用が始まります。
以前のコラムでも少し触れましたが、AIによって制作そのものが身近になっていくからこそ、これからは「作れること」だけではない価値が求められると思っています。
デザインを考えること。
集客や成果につなげること。
適切な技術を選ぶこと。
そして、安全に運用できる状態を維持すること。
そうした仕事を、これからも大切にしていきたいと思います。
最後に。まずは自社サイトの状態を知ることから
今回のPHPの脆弱性ニュースは、ホームページのセキュリティについて改めて考えるきっかけになりました。
私自身、約10日間にわたってさまざまなWebサイトの確認や改善対応を行い、普段の制作業務とはまた違った経験をすることができました。
そして何より、既存のお客様からさらに別のお客様をご紹介いただいたことは、本当にありがたい出来事でした。
Webサイトの制作は、デザインや機能を考える仕事でもありますが、その先でお客様の事業を支える仕事でもあると思っています。
決して「PHPは危険だから使ってはいけない」という話ではありません。
ただ、これまで問題なく動いていたからといって、今後も安全とは限らないということです。
特に、何年もPHPやWordPressを更新していない場合や、以前の制作会社と連絡が取れなくなっている場合は、一度確認しておくことをおすすめします。
まずは、自社のホームページがどのサーバーで動いているのか、PHPやWordPressはどのバージョンなのか、誰が保守管理を担当しているのか。
そこを知るだけでも、次に何をすればいいのかが見えてきます。
Makks Designでは、ホームページの制作だけでなく、既存サイトの保守管理や、サーバー環境の確認、改善に関するご相談にも対応しています。
「今のホームページが安全なのか分からない」
「WordPressやPHPの更新をどう進めたらいいか分からない」
「これから作るホームページは、どんな仕組みがいいのか相談したい」
そんな場合も、お気軽にご相談ください。
ホームページは、ただ作って終わりではありません。
作ったあとも安心して使い続けられること。そして、事業の成果につながっていくこと。
その両方を考えながら、これからもお客様と一緒に取り組んでいきたいと思います。
よくある質問（FAQ）
Q. PHPとは何ですか？
PHPは、主にWebサーバー側で動作するプログラミング言語です。WordPressなどに利用され、記事の表示やフォームの処理、データベースとの連携などを担当しています。
Q. PHPに脆弱性があると、WordPressも危険ですか？
WordPressはPHPを使用しているため、動作環境によって影響を受ける可能性があります。ただし、すべてのWordPressサイトに同じ危険があるわけではありません。PHPのバージョン、サーバー構成、対策状況などの確認が必要です。
Q. PHP 7.4は今でも使えますか？
環境によっては動作しますが、PHP 7.4は2022年11月に公式サポートを終了しています。安全な運用のため、現在サポートされているバージョンへの移行をおすすめします。
Q. WordPressは今後使わない方がいいのでしょうか？
その必要はありません。ブログやお知らせを自社で更新する場合など、WordPressが適しているケースは多くあります。ただし、WordPress本体、PHP、テーマ、プラグインの継続的な更新と保守が必要です。
Q. PHPを最新に更新すれば安全ですか？
PHPの更新は重要な対策ですが、それだけで安全性が保証されるわけではありません。WordPressやプラグインの更新、通信の暗号化、アクセス管理、バックアップなども必要です。
Q. PHPを使わないホームページの方が安全ですか？
静的なホームページでは、PHPを利用することによる攻撃リスクを減らせる場合があります。ただし、外部サービスやアカウント管理など、ほかのセキュリティリスクは残ります。サイトの目的や運用方法に合った構成を選ぶことが大切です。
参考情報
PHP公式サイト：https://www.php.net/
PHP公式サポート期間：https://www.php.net/supported-versions.php
IPA 情報セキュリティ：https://www.ipa.go.jp/security/
WordPress公式 動作要件：https://wordpress.org/about/requirements/
※本記事の脆弱性情報およびバージョンに関する記載は、2026年11月8日時点の情報をもとにしています。セキュリティ情報は随時更新されるため、最新の内容は公式情報をご確認ください。
