「ニュースでPHPの脆弱性を見たけれど、うちのホームページは大丈夫なのか」。そう感じた経営者や担当者の方は多いはずです。2026年10月に公表された「PHP2Shell」は、ログインなしでサーバー上のプログラムを動かされるおそれがある深刻な問題でした。ホームページの持ち主がすぐ確認すべきことは、PHPの版数と、更新の担当者です。この記事では、問題の内容、当社の対応、そこから見直した今後のホームページ制作の考え方をお伝えします。
※この記事のイラスト（アイキャッチを含む）は、AIで生成したイメージ画像です。
PHPの脆弱性「PHP2Shell」とは何か
PHPは、WordPressをはじめ多くのホームページやシステムを動かしているプログラム言語です。2026年10月21日、PHPの開発チームは2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正した版を公開しました。深刻度はどちらもCVSS v4.0で9.2です。この2件を組み合わせた攻撃は「PHP2Shell」と呼ばれています。
情報処理推進機構（IPA）も2026年10月22日に注意喚起を出しました。遠隔の第三者によって任意のコードを実行される可能性があるとされ、米国CISAの悪用確認済み脆弱性の一覧にも10月26日に掲載されています。なお、IPAの最終更新日（10月27日）の時点で、国内の攻撃被害の事例は把握されていないとのことです。
WordPressを更新しても、この問題は直らない
原因はWordPress本体ではなく、その土台のPHPにあります。そのため、WordPressやプラグインを最新にしても解決しません。PHP開発チームの公式の告知でも、完全な回避策はなく、修正版への更新が唯一の安全な選択だと説明されています。
| 使っているPHP | 今回の修正版 | 対応の目安 |
|---|---|---|
| 8.5系 | 8.5.12 | 修正版が適用されているか確認 |
| 8.4系 | 8.4.27 | 修正版が適用されているか確認 |
| 8.3系 | 8.3.36 | 修正版が適用されているか確認 |
| 8.2系 | 8.2.35 | 2026年12月31日にサポート終了。8.3以降へ移行を計画 |
| 8.1以前 | PHP開発チームからの提供なし | サーバー会社の対応を確認し、早めに8.3以降へ移行 |
各版のサポート期限はPHPの公式サイトで確認できます。レンタルサーバーでは、PHP本体の更新はサーバー会社が行います。ただし、サイトごとに使うPHPの版を選ぶ設定は、利用者側に残っていることがほとんどです。サーバー会社が修正版を入れていても、古い版を選んだままのサイトは守られません。
当社が管理するサイトでの対応
当社では公表の直後から、管理しているサイトの点検と必要な対応を行いました。安全のため、対応の具体的な内容は公開していません。今回の点検で、日ごろの更新が緊急時の作業量を左右すると改めて実感しました。
今回の問題から見直した、今後のホームページ制作の考え方
絶対に安全なホームページはありません。だからこそ、攻撃される場所を減らし、問題が起きたときにすぐ直せる形で作ることが大切です。当社は今後の制作で、次の5つを基本にします。
1. 作る前に、WordPressが本当に必要かを決める
お知らせやブログを自社で更新するなら、WordPressは今も便利な選択肢です。一方で、内容をほとんど変えないサイトなら、HTMLだけで作る静的サイトという方法もあります。ページの表示にPHPを使わないため、今回のようなPHPの問題の影響を受ける場所を大きく減らせます。
| 作り方 | 向いているサイト | 気をつける点 |
|---|---|---|
| 静的サイト（HTML） | 更新が少ない会社案内・採用・キャンペーンのページ | 文章の修正は制作会社に依頼。フォームは別の仕組みが必要 |
| WordPress | お知らせ・ブログ・施工事例などを自社で増やすサイト | PHP・本体・プラグインの更新を続ける体制が必須 |
| 専用システム | 予約や会員など、個人情報や業務の流れを扱うもの | 費用と保守の体制を初めに確認する |
2. プラグインは少なく、更新が続いているものだけを使う
プラグインは便利な反面、増えるほど確認する範囲も増えます。短いコードで済む機能は、プラグインを使わず作ります。採用するときは、更新が続いているかを先に確かめます。配布が止まったプラグインは、問題が見つかっても修正版が届きません。
3. 公開後の更新まで含めて設計する
ホームページは公開がゴールではありません。PHP 8.2は2026年12月31日にサポートが終わるように、土台の期限は必ず来ます。制作の段階で、誰がいつ更新するかを決めておきます。WordPressの保守・メンテナンスでやるべきことやホームページの保守・運用費用の考え方も、あわせてご覧ください。
4. 公開前の設定を標準にする
アカウント名を外部に見せない設定、ログインの保護、サーバーとは別の場所へのバックアップは、後から足すのではなく最初から組み込みます。
5. 個人情報を扱うものは、ホームページと分ける
予約や問診など大切な情報を扱う機能は、ホームページと同じ場所に置かない構成を検討します。当社のLINE公式アカウントで使える予約システム「予約魔人」も、WordPressを使わず、専用のサーバーで動かしています。
今のホームページで確認してほしい4つのこと
当社で作ったサイトかどうかに関わらず、次の4点を確認してください。分からない項目があれば、それ自体が見直しのきっかけになります。
- PHPの版数：サーバーの管理画面で、8.3以降を選べているか。
- 更新の担当者：PHP・WordPress本体・プラグインを、誰がいつ更新しているか。
- プラグインの状態：長く更新されていないものや、使っていないものが残っていないか。
- バックアップ：サーバーとは別の場所に保管し、戻せることを確かめているか。
古いPHPから上げるときは、テーマやプラグインが動かなくなることがあります。本番でいきなり切り替えず、複製した環境で確かめてから進めると安全です。サイトごと作り直す場合は、WordPressサイトのリニューアルで失敗しない移行手順も参考になります。
まとめ：更新を続けられる形でホームページを作る
PHP2Shellで分かったのは、見た目がきれいなホームページでも、土台が古ければ危険にさらされるということです。作り方を選ぶ段階から、更新を続けられるかを考える必要があります。「うちのPHPは何番か分からない」「更新を誰が見ているのか不明」という段階でも構いません。今のサイトの確認や今後の作り方のご相談は、ロジカルデザインのお問い合わせフォームからお寄せください。
