PHPの脆弱性対策、自社サイトは何を確認する？WordPressの更新だけで終わらない理由と、サーバー会社・保守担当への聞き方

2026年10月25日

「PHPに重大な脆弱性が見つかった」という知らせを受けて、自社のホームページは大丈夫なのか、誰に聞けばよいのかが分からない。サーバー会社からメールは届いたけれど、WordPressの更新ボタンを押せば終わりなのか判断がつかない。そんな状態の方へ向けて、確認の順番を整理しました。

先に答えを書きます。今回の問題はPHP（※WordPressや問い合わせフォームを動かす、サーバー側の土台）の不具合で、WordPress本体を更新しても直りません。直すのはサーバー側です。修正が入ったかどうかは、サーバー会社の案内と自社サイトの環境を照らして確かめます。

自社でできる対策は、サイトがどこで動いていて誰が管理しているかをつかみ、管理先へ3つの質問をし、更新のあとに表示とフォームを確かめることです。設定の変更や更新作業そのもの、侵入された形跡の調査は、管理担当や専門家の領域だと考えています。この記事の情報確認日は2026年10月25日です。

今回のPHPの脆弱性で起きたこと。WordPressの更新だけで終わらない理由

2026年10月21日、PHPの開発元が2件の重大な脆弱性（※プログラムの弱点。悪用されると不正な操作につながる穴）を公表し、同時に修正版を公開しました。2件はまとめて「PHP2shell」と呼ばれています。

IPAの注意喚起によると、悪用された場合、遠隔の第三者が任意のプログラムを実行できるおそれがあります。修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12の4つです。

PHP 8.1以前は開発元の通常の更新が終わっているため、公式の修正版は出ていません。開発元は7.4から8.1向けに最小限の修正コードを用意していますが、取り込むかどうかはサーバー会社などの提供元の判断です。古い系列を使っている場合の見方は、あとの章でまとめます。

ここで押さえたいのは、PHPとWordPressの関係です。WordPressはPHPという土台の上で動く仕組みで、今回の弱点は土台の側にあります。

WordPress.orgの告知でも、この問題のためにWordPressを更新する必要はなく、PHPを更新するよう案内しています。

表1：ホームページを動かす4つの層と、直す人

層	何をしていて、誰が直すか
WordPress本体	記事やページを管理する仕組み。管理画面の更新で直す。今回の対象ではない
プラグイン・テーマ	WordPressに機能や見た目を足す部品。管理画面の更新で直す。今回の対象ではないが、古いまま放置すると別の弱点になる
PHP	WordPressやフォームのプログラムを動かす土台。サーバー側で直す。今回の対象
サーバー	PHPやファイルが置かれている場所。レンタルサーバーなら提供元が、自社管理やVPSなら自社の管理者が直す

今回見るのは下の2つの層です。管理画面の更新欄が空でも、土台が直ったとは言えません。逆に、サーバー会社がPHPを直していれば、自社で何も操作していなくても対策が入っていることがあります。

そのため次の章では、サイトがどこで動いていて誰が管理しているかを先に整理します。

まず自社で整理する3つのこと

サーバー会社や制作会社へ聞く前に、手元でそろえておくと話が早い情報が3つあります。全部が分からなくても大丈夫です。分からない項目は、分からないまま次の章の質問に添えて聞けます。

手順1：サイトがどこで動いているか

レンタルサーバーの会社名とプラン名です。サーバー会社からの請求や更新の案内が自社に届いていれば、そこに書いてあります。制作会社がまとめて契約している場合は、制作会社に聞くのが近道です。

ドメイン（※ホームページの住所にあたる名前）とサーバーは別の契約のことが多いので、見るのはサーバーの契約先です。名義が自社か業者かも、この機会に確かめておくと安心でしょう。

名義の確かめ方は、ホームページの管理会社を変える前に確かめる名義と権利にまとめてあります。

手順2：誰が管理しているか

今回の対応には、役割の違う3者が関わります。PHPを提供して修正するサーバー会社、設定や更新の作業をする制作会社や保守会社、表示と機能を確かめる自社です。保守契約があるなら、契約書と直近の作業報告を手元に置きます。

レンタルサーバーでは、PHPの修正をサーバー会社が入れる形が一般的です。一方、VPSやクラウドのように自社でサーバーを管理する契約では、PHPの更新も自社の管理者の仕事です。どちらの契約かは、サーバー会社の案内に対象サービスとして書かれています。

手順3：PHPが動いているか

WordPressのサイトなら、PHPは動いています。HTMLだけで作ったサイトでも、問い合わせフォームの送信にPHPを使っているものが多くあります。さらに、PHPのファイルを置いていなくても、サーバー側でPHPを実行できる設定になっていれば、提供元の対応対象です。

うちはHTMLだけだから関係ない、と決める前に、サーバー会社の案内を読んでみてください。対象サービスに自社の契約が入っていれば、確認は必要です。

WordPressでのPHPバージョンの確認方法と、番号だけでは判断できない理由

WordPressでは、管理画面の「ツール」から「サイトヘルス」を開き、「情報」タブの「サーバー」で、いま使っているPHPのバージョンを見られます。WordPress.orgが案内している確認方法です。

ただし、ここで見える番号は判断の材料であって、対策済みかどうかの答えではありません。今回は、サーバー会社が古い系列のPHPへ修正を取り込む動きがあったためです。

2026年10月25日に確認した各社の告知を見ると、対応の形は提供元ごとに違います。番号を変えずに修正を入れた提供元があります。公式の修正がない古い系列にも、自社で修正を作って適用した提供元があります。管理画面の表示が更新前の番号のままになる場合があると注意している提供元もあります。

つまり、番号が古いから未対策とも、番号が新しいから対策済みとも言えません。見るのは、サーバー会社の告知で自社のプランと系列が適用済みとされているかどうかです。告知の多くは、系列ごと、プランごとに適用済み・提供予定・対象外を分けて書いています。

ここで、2つの問題を分けて考えます。1つは、今回の修正が自社の環境に入ったかどうか。もう1つは、開発元のサポートが終わった系列を使い続けるかどうかです。

IPAは、PHP 8.1以前がサポート終了であることを示しています。修正が提供されない版を使っている場合は、サポートが続く版への更新や移行の検討を促しています。PHP公式によると、PHP 8.2も2026年12月31日でサポートが終わります。

今回「対策済み」の案内が来ても、2つ目の問題は残ります。版を上げる計画は、慌てて一括で進めるより、控えと動作確認をそろえてから進めたほうが止まりにくいと思います。準備の中身は「更新する前と後に確かめること」の章に書きました。

サーバー会社・制作会社・保守担当へ聞くこと（文例つき）

聞くことは3つに絞れます。

自社のプランとPHPの系列で、今回の修正は適用済みか。適用日、または提供予定日
自社側で必要な作業があるか。PHPの版の切り替え、設定の変更、動作確認など
今回の修正とは別に、サポートが続く版へ移る手順と時期、誰が作業するか

3つ全部を一度に聞くのが大変なら、1だけ先に聞いて大丈夫です。返事が来たら、適用済み・提供予定・対象外のどれに当たるかを書き留めておきます。この一行が、あとの章の判断の土台です。

サーバー会社の問い合わせフォームに貼って使える文例を用意しました。

2026年10月21日に公表されたPHPの脆弱性（CVE-2026-109618・CVE-2026-109619）について確認したいことがあります。契約プラン：〇〇、ドメイン：〇〇、利用中のPHP：分かる範囲で〇.〇。 ①このプランとバージョンで、修正は適用済みでしょうか。適用日または予定日を教えてください。 ②当方で必要な作業（バージョンの変更や設定の変更）はありますか。 ③今回とは別に、サポートが続いているPHPへ移る手順を案内しているページがあれば教えてください。

制作会社や保守会社に聞く場合は、照らし合わせまでをお願いする形にします。

PHPの脆弱性について、当社サイト（URL）の状況を確認したくご連絡しました。 ①サーバー会社の案内と当社サイトのPHPの状況を照らして、修正が入っているか教えていただけますか。 ②当社側で確認や作業が必要なことがあれば、内容と時期をお知らせください。 ③今回の対応が保守契約の範囲に含まれるか、別に費用がかかる場合は見積もりをいただけますか。

返事に専門用語が多くて読み切れないときは、その返事をそのまま第三者に見せて構いません。聞き返すことは、失礼にはならないと思っています。

サーバー会社の返事をどう読めばよいか分からない、管理先がどこか分からない、という方は、サイトのURLと届いた案内の内容をお知らせください。状況と、弊社がお手伝いできる範囲を確認してお返事します。ログイン情報は書かずにお送りいただけます。

自社サイトの状況確認を相談する

更新する前と後に確かめること

サーバー会社の案内で、PHPの版の切り替えや設定の変更が必要と分かった場合の話です。作業そのものは管理担当に任せ、自社は前後の確認を持つ分け方が無理のない形だと思います。

更新の前にそろえるのは3つです。ファイルとデータベースの控え（※元に戻すための複製。バックアップ）の最新日付と、戻す手順と担当。PHPの版を上げる場合は、WordPress本体、プラグイン、テーマが新しい版に対応しているか。問題が出たときに前の版へ戻せるか、戻す操作を誰がするかです。

控えの日付があることと、いつでも戻せることは別です。戻す担当が決まっていない状態で版を上げると、表示が崩れたときに止まったままになります。版を上げたあとは表示とフォームを確かめ、動かなければ前の記述に戻すよう、サーバー会社の告知でも案内されています。

更新のあとの確認は、3つに分けて記録します。

表2：更新後の確認を3つに分ける

確認	見る場所と、ここまでで言えること
表示が正常	トップと主要ページを開き、崩れやエラーがない。見た目の確認であり、機能が動くとはまだ言えない
フォームを送れた	試しに送信して完了画面が出る。受信側に届いたとはまだ言えない
受信できた	指定の受信先にメールが届き、自動返信も届く。ここまでで、問い合わせの機能が動いたと言える

予約、決済、会員ログインなど、事業で使っている機能があれば、同じ順で試します。全部を試すのは大変に見えますが、確かめるのは自社の事業で止まると困る機能だけで十分です。

送れたことと受信できたことの差で起きる見落としは、問い合わせフォームの自動返信メールが届かないときの確認に分けて書きました。

すぐに更新できないとき。暫定対策・アクセス制限・一時停止を検討する条件

次のような場合は、修正をすぐ入れられません。使っている系列に公式の修正版がなく、サーバー会社が提供予定または対象外としている。古いプログラムが動いていて、版を上げると止まる。管理者と連絡がつかない。

PHPの開発元は、更新できない場合の設定変更をいくつか示しています。ただし、それらは一部の攻撃経路を減らすだけで、環境を安全にするものではないと明記しています。

設定の変更には、反映する場所や再起動の作業が伴います。管理担当の仕事なので、この記事では具体的な設定値を書きません。

管理担当の方は、PHP公式の告知と、2026年10月23日に出た追加の案内をあわせて読んでいただくのが確実です。

経営者やWeb担当者が持つのは、止めるかどうかの判断です。IPAは、更新や移行が終わるまで脆弱な状態で放置せず、暫定対策やアクセス制限を検討するよう案内しています。有効な暫定対策が難しいなら、被害や業務への影響を踏まえて、外部からのアクセス遮断やサービスの一時停止が必要かを判断する、という流れです。

判断の材料は3つで足ります。そのサイトが事業で果たしている役割、止めたときの代替手段、再開の条件です。問い合わせや予約がそのサイトにしかないなら、電話や別の窓口を先に用意してから止めます。修正が適用済みと確認できた環境なら、今回のために一律に止める必要はないでしょう。

修正の適用と、侵害の有無の確認は別の作業

修正が入ったことは、これから先に悪用されにくくなったことを意味します。公表の前後に悪用されていなかったかは、別に確かめる事柄です。サーバー会社の中には、脆弱性を狙ったとみられるアクセスの試みを確認したと公表しているところもあります。

異常のサインには、見覚えのないファイルや管理者アカウント、作っていないページ、検索結果に出る警告、サーバー会社からの通知などがあります。サーバー会社の告知でも、不審なファイルやアカウントがないか確かめるよう案内しているものがあります。

見つけたときは、消したり上書きしたりせず、そのまま残すのが先です。該当するファイルやログ（※サーバーに残るアクセスや操作の記録）を保全したうえで、サーバー会社と保守担当へ連絡します。被害の範囲や原因を調べる作業は、専門の調査会社の領域です。弊社も、そこは専門家と分担してご案内しています。

保守の担当や範囲が分からないとき、何を整理して相談するか

毎月の保守費用を払っているのに、今回の対応を誰がするのか分からない。そういう状態は珍しくありません。契約書の「保守」「管理」という言葉だけでは、中身は決まらないからです。

手元で見るのは3つです。契約書の作業項目、直近の請求の内訳、直近の作業報告。この3つに、PHPやサーバーの更新、バックアップ、不具合時の対応が入っているかを見ます。入っていなければ、今回の対応は別の依頼になります。

相談先に渡すメモは、次の6行で足ります。

サイトのURL
サーバー会社の名前（分からなければ「不明」で可）
サイトを管理している人、または会社
保守契約の有無と、分かる範囲の作業項目
サイトで止まると困る機能（問い合わせ、予約、採用、決済など）
届いた案内と、既にやったこと

ここで大事にしたいのは、守ることと、事業で使える状態を保つことを一緒に考える視点です。更新で問い合わせフォームが止まれば、売上の入口が止まります。安全の確認と機能の確認を同じ担当に持たせるか、別々なら連絡の順番を決めておくと迷いません。

平時の月1回の点検は、WordPressの保守は必要？自分でやる範囲と任せる範囲の線引きにまとめてあります。

毎月の費用に何が入っているかの読み方は、ホームページの管理費・保守費用の相場と請求の中身で整理しました。

弊社の対応について

弊社では、サーバーを管理するサイトと、制作・集客支援で関わるサイトの確認を進めています。当社管理の環境では、提供元の修正適用の案内と実際のPHPの実行環境を照らしました。PHP公式が追加で推奨した設定も反映し、稼働サイトの設定と主要ページの表示を確認しています。

他社がサーバーを管理するサイトは、管理担当者の対応状況と弊社の支援範囲を確認しながら、個別に対応しています。確認できた内容と残っている確認事項は、お客様ごとにお伝えします。

詳しくは、PHPの脆弱性「PHP2shell」への対応についてのお知らせをご覧ください。

弊社は、ホームページの保守と、お問い合わせにつながる機能や導線をあわせて考えています。今回の確認をきっかけに、更新で止まると困る機能と、その確認を誰が持つかを決めておくと、次に同じ知らせが来たときに迷いません。

ホームページの制作や改善の支援内容は、ホームページ制作・リニューアルのページにまとめてあります。

自社サイトの状況が分からない、誰に確認すればよいか分からない、という方は、次の情報を添えてお問い合わせください。
・サイトのURL
・サーバー会社の名前（分からなければ「不明」で可）
・困っていること、または届いた案内の内容
・既に行った対応
フォームの「現在の状況・相談したいこと」の欄に「PHPの脆弱性の件」と一言入れていただくと、すぐに内容が分かります。パスワードやログイン情報は書かずにお送りください。既にお付き合いのあるお客様は、普段の連絡窓口からで大丈夫です。
いただいた内容をもとに、状況と弊社でお手伝いできる範囲を確認し、必要な作業と見積もりを整理してご連絡します。作業は内容に合意いただいてから進める形です。初回のご相談と、公開情報から分かる範囲の事前確認に費用はかかりません。

自社サイトの状況確認を相談する

PHPの脆弱性についてよくある質問

WordPressを最新にすれば、今回の脆弱性は直りますか？

直りません。今回の弱点はWordPressではなく、その土台のPHPにあります。WordPress.orgも、この問題のためにWordPressを更新する必要はなく、PHPを更新するよう案内しています。直すのはサーバー側なので、見る先はサーバー会社の案内です。

サーバー会社から「対策済み」のメールが来ました。何もしなくてよいですか？

自社のプランと系列が適用済みの範囲に入っているかを、案内の本文で確かめてください。入っていれば、今回の修正については自社の作業がないことが多いです。ただし、サポートが終わった系列を使い続ける問題は別に残るので、版を上げる計画は立てておくと安心です。

WordPressを使っていない、HTMLだけのサイトも関係ありますか？

関係することがあります。HTMLだけのサイトでも、問い合わせフォームの送信にPHPを使っている場合が多いです。PHPのファイルがなくても、サーバー側でPHPが実行できる設定になっていれば提供元の対応対象です。サーバー会社の案内で、自社の契約が対象サービスに入っているかを見ると分かります。

PHPのバージョンが7.4や8.1と表示されています。危険ですか？

番号だけでは判断できません。今回、古い系列に番号を変えずに修正を入れたサーバー会社があります。まず、サーバー会社の告知で自社の系列が適用済みかを確かめてください。一方で、8.1以前は開発元のサポートが終わっており、今後の弱点には修正が出ない可能性があります。サポートが続く版への移行は、控えと動作確認をそろえて計画的に進めます。

今すぐPHPのバージョンを上げたほうがよいですか？

今回の修正が提供元で適用済みなら、慌てて版を上げる必要はありません。上げる場合は、控えの最新日付と戻す担当、WordPress本体・プラグイン・テーマの対応状況を確かめてからです。終わったら表示とフォームの受信まで確認します。古いプラグインが動かなくなることがあるためです。

被害があったかどうかは、どうすれば分かりますか？

修正が入ったことと、被害がなかったことは別です。見覚えのないファイルやアカウント、作っていないページ、検索結果の警告があれば、消さずに保全して、サーバー会社と保守担当へ連絡するのが先です。範囲や原因の調査は専門の調査会社の領域です。