【PHP脆弱性】自社HPは大丈夫？今すぐ確認すべき3つのこと

この記事でわかること

• 2026年10月に発覚した「php2shell」というPHP脆弱性の概要
• なぜ「保守契約がなくても対応不要」なケースが多いのか、その理由
• それでも自分で確認しておきたい3つのこと
• 保守契約がない場合、今後どうすればよいか

---

「うちのホームページ、大丈夫でしょうか？」

2026年10月、PHPの重大な脆弱性がニュースで大きく取り上げられた直後、何件ものお客様からこんなお問い合わせをいただきました。弊社が管理するホームページ・ECサイトには影響がなく、調査の結果、攻撃を受けた痕跡も確認されていません。それでも、経緯や今後の対応について、多くのお客様に簡単なご説明をお送りする対応に追われました。

今回は、このPHP脆弱性をきっかけに感じたこと、そして「ホームページ制作だけを依頼していて、保守契約は結んでいない」という方に向けて、確認しておきたいポイントをお伝えします。

---

1. PHP脆弱性とは？「php2shell」で何が起きたのか

PHPとは、世界中の多くのWebサイトで使われているプログラミング言語です。W3Techs（2026年10月22日時点）によると、サーバー側の言語が判明しているWebサイトのうち69.3%がPHPを使用しています。WordPressをはじめ、多くのホームページ・ECサイトの裏側で動いている、いわば縁の下の力持ちです。

2026年10月21日、このPHPに2件の重大な脆弱性が発覚されました。CVE-2026-109618とCVE-2026-109619、通称「php2shell」です。深刻度を示すCVSS v4.0のスコアは9.2（最高レベルに近いCritical）。ログインなどの認証を必要とせず、外部から不正なプログラムを実行されるおそれがあるとされています。

PHP開発チームは即日、修正版（PHP 8.5.12／8.4.27／8.3.36／8.2.35）を公開しました。一方で、サポートが終了しているPHP 8.1以前には、正式な修正版が提供されません。
The PHP Foundation「Today’s PHP Security Release, and How We’re Strengthening PHP Security」（2026年10月21日）

IPA・JPCERT/CCともに、発表時点では悪用は確認していないとしています。ただしJPCERT/CCは「攻撃の痕跡が見つからなくても、攻撃を受けていないとは断定できない」とも注意を促しています。
IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）
JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日）

---

2. 実際にあった、お客様からのお問い合わせ

ニュースで報じられた直後から、弊社にはこんなお問い合わせが相次ぎました。

• 「うちのHPは大丈夫か？」
• 「HP制作をお願いしただけで保守はお願いしていないが、何かしなければならないことはあるか？」

ホームページは「作って終わり」ではなく「動き続けるもの」です。普段は意識しなくても、こうしたニュースが出ると、不安に感じるのは当然だと思います。弊社では、影響の有無を確認した上で、経緯と結果を簡単にまとめてお客様にご連絡する対応を行いました。

---

3. なぜ「お客様側の対応は少ない」ケースが多いのか

結論から言うと、多くの場合、ホームページのサーバーを管理している会社が対応するため、お客様ご自身が何かをする必要は少ないです。ただし、これには条件があります。

(1) 共用のレンタルサーバーを使っている場合

多くの中小企業のホームページは、エックスサーバーやさくらインターネットのような共用のレンタルサーバー上で動いています。この場合、PHPのバージョン管理・修正パッチの適用は、基本的にサーバー会社側の責任です。

実際、さくらインターネットは公式発表で、同社コントロールパネルから選べる全PHPバージョン（サポート終了版を含む）への対応を完了したと発表しています。一方で、VPS（仮想専用サーバー）など、OSやソフトウェアを利用者自身が管理している契約では、PHPの更新は利用者自身の作業になると明記しています。
さくらインターネット「PHPの脆弱性に関する当社の対応状況について」（2026年10月22日）

(2) 自社でサーバーを管理している場合

反対に、VPSや専用サーバーを使い、PHPのバージョン管理を自社（またはHP制作会社）が担っている場合は、今回のような脆弱性情報が出るたびに、自分たちで更新作業をする必要があります。

まずは「自社のホームページが、どちらの形態で運用されているか」を確認することが出発点です。分からない場合は、契約しているサーバー会社やホームページ制作会社に聞くのが確実です。

---

4. それでも確認しておきたい3つのこと

保守契約がなくても、次の3つは確認しておくことをおすすめします。

確認①　PHPのバージョンを確認する

PHPバージョン確認は、意外と簡単にできます。多くのレンタルサーバーでは、管理画面（コントロールパネル）にログインすると、現在使用しているPHPのバージョンが表示されます。WordPressを使っている場合は、管理画面の「ツール」→「サイトヘルス」からも確認できます。

W3Techsの同じ調査では、PHPを使うサイトのうちPHP 7系が26.9%、PHP 5系が7.7%。古いバージョンを使い続けているサイトが、今も3割以上あるということです。該当する場合は、サーバー会社に相談しましょう。

確認②　サーバー管理会社の対応状況を確認する

契約しているレンタルサーバー会社の公式サイトやお知らせページで、今回の脆弱性への対応状況を確認してください。「対応完了」の案内が出ていれば、通常は安心して大丈夫です。案内が見当たらない場合は、問い合わせてみることをおすすめします。

確認③　バックアップを定期的に保存しておく

今回のような脆弱性対応に限らず、定期的なバックアップは、ホームページ運用の基本です。万が一のトラブルの際、バックアップがあれば復旧の選択肢が大きく広がります。サーバー会社の自動バックアップ機能が有効になっているか、この機会に確認しておくとよいでしょう。

---

5. 保守契約がない場合、どうすればいいか

「HP制作だけ依頼して、保守は契約していない」という方は、少なくないと思います。制作時点では必要性を感じにくいものですが、今回のようなニュースのたびに「自分で確認する」のは、負担に感じる方も多いのではないでしょうか。

専任のIT担当者がいない中小企業にとって、PHPのバージョンやサーバーの設定といった技術的な話は、正直なところハードルが高いものです。そうした場合は、HP制作会社やIT支援会社に、簡単な保守・点検について相談してみるのも一つの方法です。

---

よくある質問（FAQ）

Q1. 自社のホームページがPHPを使っているかどうかは、どう確認すればいいですか？

ホームページ制作を依頼した会社や、契約しているレンタルサーバー会社に確認するのが最も確実です。WordPressで作られたサイトであれば、ほぼ間違いなくPHPを使用しています。

Q2. 保守契約を結んでいれば、何もしなくて大丈夫ですか？

保守契約の内容によります。「サーバーの死活監視のみ」など、PHPのバージョン管理が契約範囲に含まれていないケースもあります。心配な場合は、契約内容を確認してみてください。

Q3. PHPのバージョンが古いままだと、具体的に何が起きるのですか？

サポートが終了したバージョンには、今回のような脆弱性が見つかっても修正版が提供されません。悪用されると、外部から不正なプログラムを実行され、情報漏洩やサイトの改ざんにつながるおそれがあります。

Q4. 今回のPHP脆弱性で、WordPress本体の更新は必要ですか？

WordPress.orgは、今回の2件はPHP本体の問題であり、WordPress本体の更新は不要と説明しています（本記事執筆時点の情報です）。ただし、サーバー側のPHPバージョンの確認は別途必要です。

---

まとめ

• 2026年10月、PHPに重大な脆弱性「php2shell」（CVE-2026-109618／CVE-2026-109619）が発覚
• 深刻度はCVSS v4.0で9.2。認証不要で不正なプログラムを実行されるおそれがある
• PHP脆弱性への対応は、共用レンタルサーバーなら基本的にサーバー会社側の仕事
• ただしVPSなど自社管理のサーバーでは、利用者自身の更新が必要
• 保守契約の有無にかかわらず、①PHPバージョン確認、②サーバー会社の対応状況確認、③定期的なバックアップ、の3つは押さえておきたい

---

関連記事

セキュリティ関連では、以下のコラムもあわせてご覧ください。

▶ 【Windows10サポート終了から半年】「まだ使えてるから大丈夫」が一番危ない理由
▶ 【フィッシングメール対策】実際に届いた偽メールの手口と見分け方

---

ホームページの保守・点検について、お気軽にご相談ください

「PHPのバージョンがどうなっているか分からない」「保守契約を結んでいないので、今回のようなニュースのたびに不安になる」。そんなときは、株式会社誠までお気軽にご相談ください。ホームページ制作だけでなく、簡単な保守・点検のご相談にも対応しています。