「PHPの脆弱性って、うちのホームページも関係あるの？」
10月の終わりごろ、ニュースやSNSでこんな話題を目にして、
なんとなく不安になった方も多いのではないでしょうか。
レンタルサーバーの会社が一斉にメンテナンスをしたり、
「今すぐ確認を」という記事がたくさん出てきたり。
でも、そもそもPHPが何なのか、自分のサイトで使っているのかすら分からない。
ホームページ制作をしている私のところにも、そんな声がいくつか届きました。
先に結論をお伝えします
一般的なレンタルサーバーでホームページを運営している方の多くは、サーバー会社がすでに対策を済ませています。
ただし、「何もしなくていい」で終わりではありません。
使っているPHPのバージョンが古い方や、サーバーを自分で管理している方は、対応が必要です。
- 今回の脆弱性で何が起きたのか
- 自分のサイトがWordPressかどうかの見分け方
- PHPバージョンの確認方法（実際の画面つき）
- 今やるべきこと、やっておくと安心なこと
専門知識がない方にも分かるように、順番にお伝えしますね。
2026年10月のPHP脆弱性「PHP2shell」とは
まずは、今回何が起きたのかを整理しておきましょう。
ここを押さえておくと、「自分は何をすればいいか」が判断しやすくなります。
そもそもPHPとは？
PHPは、ホームページを動かすためのプログラミング言語のひとつです。
たとえば、お問い合わせフォームの送信や、ブログ記事の表示、
管理画面からの更新といった「動く部分」を裏側で処理しています。
世界中のホームページで広く使われていて、WordPressもPHPで動いています。
ふだん意識することはほとんどありませんが、
ホームページにとっては、いわば「エンジン」のような存在です。
何が起きたのか
2026年10月21日（日本時間23時ごろ）、PHPの開発元が
重大な脆弱性2件を修正したバージョンを公開しました。
脆弱性とは、プログラムの「弱点」や「すき間」のことです。今回見つかったのは、次の2つです。
| 番号 | 内容 |
|---|---|
| CVE-2026-109618 | メモリ不足のときのエラー処理にまつわるもの |
| CVE-2026-109619 | リクエスト処理にまつわるもの |
組み合わせて悪用されると、
ログインしなくても、外部の第三者がサーバー上で好きなプログラムを動かせてしまうおそれがあるものでした。
この組み合わせは「PHP2shell」と呼ばれています。
なぜここまで騒がれたのか
理由は大きく3つあります。
1つ目は、影響範囲がとても広いこと。
PHPはWordPressに限らず、ネットショップのシステムや、VPN機器などの管理画面にも使われています。
2つ目は、実際に悪用が確認されたこと。
10月26日には、アメリカの政府機関CISAが「悪用が確認された脆弱性」の一覧に登録しました。
3つ目は、サーバー会社が一斉に動いたこと。
たとえばエックスサーバーは、修正版の公開に先立って、自社のサービスサイトや管理画面を一時的に止めて対応しました。
（このときも、お客さまのホームページの表示やメールには影響がなかったと発表されています）
「いろんなサイトが急にメンテナンスに入った」という印象を持った方は、
このあたりの動きを見ていたのだと思います。
まずは確認：あなたのサイトはWordPress？
今回の件で最初に確かめたいのは、
自分のホームページがPHPで動いているかどうかです。
その一番の目安になるのが「WordPressを使っているか」。
制作会社に作ってもらった方は、意外とご存じないことも多いので、ここで一緒に確認してみましょう。
方法1：URLの後ろに「/wp-admin/」をつけてみる
いちばん手軽な方法です。
ご自身のホームページのURLの最後に、/wp-admin/ をつけて開いてみてください。
例）https://〇〇〇.com/wp-admin/
下のようなWordPressのロゴが入ったログイン画面が出てきたら、WordPressで作られています。
方法2：ページのソースで「wp-content」を探す
パソコンのブラウザで、ホームページを開いた状態で右クリックし、「ページのソースを表示」を選びます。
英語や記号がずらっと並んだ画面が出てくるので、
キーボードの「Ctrl + F」（Macは「⌘ + F」）で wp-content と検索してみてください。
方法3：制作会社や管理会社に聞いてみる
いちばん確実なのは、作ってくれた人に聞くことです。
「うちのサイトはWordPressですか？サーバーはどこを使っていますか？」
と聞けば、すぐに教えてもらえるはずです。
このとき、サーバー会社の名前と、管理画面のログイン情報が自分の手元にあるかも、あわせて確認しておくと安心です（理由は後半でお伝えします）。
WordPressでなければ関係ない？
ここはよく聞かれるのですが、「WordPressじゃない＝無関係」とは限りません。
| サイトの種類 | 今回の影響 |
|---|---|
| WordPressで作ったサイト | PHPで動いているので確認が必要 |
| HTMLだけで作ったサイト（静的サイト） | ページ自体はPHPを使っていないことが多い。ただしお問い合わせフォームがPHPで動いている場合は確認が必要 |
| ネットショップのシステム（EC-CUBEなど）を自分のサーバーに入れている | PHPで動いているものが多いので確認が必要 |
| Wix・ペライチ・STUDIO・Shopifyなどのサービスで作ったサイト | サーバーの管理はサービス側なので、ご自身でPHPを更新する必要はありません |
迷ったら、「ホームページを置いているサーバーを、自分（または制作会社）が契約しているかどうか」で考えると分かりやすいです。
自分で契約しているなら、この先の確認に進みましょう。
PHPバージョンの確認方法
WordPressを使っている、またはPHPを使っていそうだと分かったら、
次はどのバージョンのPHPで動いているかを確認します。
方法は2つ。どちらか分かりやすいほうで大丈夫です。
WordPressの管理画面で確認する（サイトヘルス）
WordPressにログインできる方は、こちらがいちばん簡単です。
いつも記事の更新などに使っている管理画面に入ります。
左のメニューの「ツール」にマウスを合わせると「サイトヘルス」が出てきます。
下の方にある「サーバー」をクリックして開くと、「PHP バージョン」の欄に数字が表示されます。
レンタルサーバーの管理画面で確認する
WordPressにログインできない場合や、WordPress以外のサイトの場合は、
レンタルサーバーの管理画面から確認できます。
エックスサーバーの場合
サーバーパネルにログイン →「PHP」→「PHP Ver.切替」を開くと、ドメインごとのPHPバージョンが表示されます。
ロリポップ！の場合
ユーザー専用ページにログイン →「サーバーの管理・設定」→「PHP設定」で、ドメインごとのバージョンを確認できます。
そのほかのサーバー会社でも、管理画面に「PHP設定」「PHPバージョン」といったメニューがあることがほとんどです。
数字の見方：見るのは「最初の2つ」
PHPのバージョンは 8.3.36 のように、3つの数字で表されます。
まず見てほしいのは、最初の2つの数字（8.3 の部分）です。
| バージョン | 状態 | おすすめ |
|---|---|---|
| 8.4 / 8.5 | サポート中 | このままでOK |
| 8.3 | サポート中（WordPressの推奨） | このままでOK |
| 8.2 | 2026年12月31日でサポート終了 | 年内に8.3以上へ切り替えを |
| 8.1以前（7.4など） | すでにサポート終了。PHP開発元からの公式な修正版は出ていない | 早めに8.3以上へ切り替えを |
「修正版の番号じゃない…」と焦らなくて大丈夫
今回の修正版は、8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。
ご自身の画面で、これより小さい数字（たとえば 8.3.35）が表示されていても、
すぐに「危ない」とは限りません。
ConoHa WINGやmixhost、お名前.comなど多くのレンタルサーバーでは、バージョンの番号は変えずに、中身だけ修正を入れる方法をとっています。
そのため、サイトヘルスには古い番号が出たままのこともあります。
番号だけで判断せず、ご利用のサーバー会社の公式のお知らせで「対応完了」と出ているかを確認してください。
今回の脆弱性で、今すぐやるべきこと
ここまでで、自分のサイトの状況がなんとなく見えてきたと思います。
ここからは、状況別に「何をすればいいか」をお伝えします。
全部をやる必要はありません。
ご自身に当てはまるところだけ読んでいただければ大丈夫です。
レンタルサーバーを使っている方：お知らせを確認する
エックスサーバー、ConoHa WING、ロリポップ！、さくらのレンタルサーバなど、
主要なレンタルサーバーの多くは、10月下旬のうちに対応を完了したと発表しています。
ただし、一部のサーバー会社やプランでは、10月末の時点でまだ対応中のところもありました。
ご自身が契約しているサーバー会社の「お知らせ」や「障害・メンテナンス情報」のページで、
今回のPHPの脆弱性への対応が終わっているかを一度確認してみてください。
また、サーバー会社によっては「古いPHPを使っている方は新しいバージョンへ切り替えてください」と案内しているところもあります。
お知らせに利用者側の作業が書かれていないかも、あわせて見ておきましょう。
PHPが古い方：8.3以上への切り替えを計画する
先ほどの表で、8.2以前だった方は、切り替えを考えるタイミングです。
今回、サーバー会社が古いバージョンにも修正を入れてくれたケースは多いのですが、
それは「緊急だったから特別に」という側面があります。
8.1以前はすでに公式のサポートが終わっていて、8.2も年内で終了します。
次に何か見つかったときは、守ってもらえない可能性があります。
PHPのバージョンを上げると、古いテーマやプラグインが動かなくなり、サイトが表示されなくなることがあります。
ボタン1つで切り替えられるぶん、ここは慎重に進めたいところです。
切り替えるときの流れはこうです。
サイトのファイルとデータベースの両方を保存しておきます。
新しいPHPに対応しているかを確認します。長く更新されていないものは要注意です。
レンタルサーバーの管理画面から、8.3以上を選びます。
トップページ、各ページ、お問い合わせフォーム、管理画面へのログインまで確認します。
不安な方は、ご自身で切り替える前に、制作会社に相談するのがおすすめです。
FILLMANでも、PHPの切り替えや、公開後の保守・メンテナンスのご相談を受け付けています。
VPSや自社サーバーの方：自分で更新が必要
VPS（自分専用の仮想サーバー）や、社内のサーバーでホームページを動かしている場合は、
サーバー会社は中のPHPを更新してくれません。
管理者の方が、PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以降へ更新する必要があります。
IPAやJPCERT/CCは、修正版への更新とあわせて、すでに侵入されていないかの調査も呼びかけています。
管理を外部に任せている場合は、担当の方に対応状況を確認してみてください。
WordPressの更新だけでは防げない
ここは誤解されやすいポイントです。
今回の脆弱性はPHP本体の問題なので、
WordPress本体やプラグインを最新にしても、それだけでは防げません。
「WordPressの更新ボタンを押したから大丈夫」ではなく、
サーバー側のPHPが対策済みかどうかを確認するのが大切です。
被害を受けていないか、セルフチェックしてみよう
サーバー会社が対策を終えていても、
修正が入る前に入り込まれていた場合は、その痕跡が残っていることがあります。
心配な方は、次のような点をチェックしてみてください。
どれも、専門知識がなくても確認できるものです。
| チェックすること | 確認する場所 |
|---|---|
| 知らない管理者ユーザーが増えていないか | WordPress管理画面「ユーザー」 |
| 入れた覚えのないプラグインがないか | WordPress管理画面「プラグイン」 |
| サイトを開くと、別のサイトに飛ばされないか | スマホとパソコンの両方で確認 |
| 検索結果に、見覚えのない言葉や外国語のページが出ていないか | Googleで「site:自分のドメイン」と検索 |
| サーバー会社から、ウイルス検知や不正アクセスの連絡が来ていないか | 契約時のメールアドレスの受信箱 |
「ユーザー」画面の見かた
左のメニューの「ユーザー」を開くと、ログインできる人の一覧が出てきます。
「権限グループ」が「管理者」になっている人に、知らない名前がないかを見てください。
「プラグイン」画面の見かた
左のメニューの「プラグイン」を開くと、入っているプラグインが一覧で表示されます。
名前に見覚えのないものや、入れた覚えのないものがないかを確認しましょう。
ひとつでも当てはまるものがあったら、ご自身で削除したりせず、まずは制作会社やサーバー会社に相談してください。
慌てて触ると、原因を調べるための記録が消えてしまうことがあります。
これを機に見直したい、ホームページの「もしも」の備え
今回のことで、ハッとした方もいるかもしれません。
「サーバーがどこか分からない」
「ログイン情報を誰が持っているのか分からない」
「作ってくれた人と、もう連絡がつかない」
実は、こういったケースはめずらしくありません。
そして、いざというときに一番困るのが、まさにこの状態です。
「サーバー会社」と「ログイン情報」を手元に
- 契約しているサーバー会社の名前
- サーバーの管理画面のログイン情報
- WordPressの管理画面のログイン情報
ここが分かっていれば、今回のような緊急時にも、
自分でお知らせを確認したり、別の制作者に相談したりできます。
制作会社に管理をお願いしている場合も、契約の名義がご自身になっているか、一度確認しておくと安心です。
バックアップと更新を「仕組み」にしておく
もうひとつは、日ごろの備えです。
- WordPress本体・テーマ・プラグインを定期的に更新する
- 使っていないプラグインは削除する
- 自動バックアップを設定しておく（多くのレンタルサーバーに機能があります）
- PHPのサポート終了時期を、年に1回くらい確認する
ひとつひとつは小さなことですが、
「何かあっても元に戻せる」状態をつくっておくことが、いちばんの安心につながります。
ご自身で続けるのが難しい場合は、保守・管理をまとめて任せられる制作会社に相談するのもひとつの方法です。
FILLMANでは、ホームページを作って終わりではなく、
公開後の保守・メンテナンスや、更新しやすい仕組みづくりまでサポートしています。
よくある質問
- サーバー会社からメールが来ていません。何もしなくていいですか？
-
対策がサーバー会社側で完了していて、利用者の作業が不要なケースでは、個別のメールが届かないこともあります。念のため、サーバー会社の公式サイトの「お知らせ」を一度確認しておくと安心です。
- サイトヘルスに表示されるPHPバージョンが、修正版の番号より古いままです。
-
サーバー会社によっては、番号を変えずに修正を入れているため、表示が変わらないことがあります。番号だけで判断せず、サーバー会社の公式のお知らせで対応状況を確認してください。
- PHPのバージョンを上げたら、サイトが真っ白になりました。
-
テーマやプラグインが新しいPHPに対応していない可能性があります。いったん元のバージョンに戻して表示を確認し、制作会社に相談してください。切り替える前にバックアップを取っておくと、こうしたときにも落ち着いて対応できます。
- WixやSTUDIOで作ったサイトでも、何かする必要はありますか？
-
サーバーの管理はサービス側が行っているので、ご自身でPHPを更新する必要はありません。気になる場合は、各サービスの公式のお知らせを確認してみてください。
- 自分で対応するのが不安です。どこに相談すればいいですか？
-
まずはホームページを作った制作会社、次にサーバー会社のサポート窓口です。制作者と連絡がつかない場合は、新しく保守を引き受けてくれる制作会社に相談するのもひとつの方法です。
まとめ
今回のPHPの脆弱性について、大切なことをもう一度だけ。
- 主要なレンタルサーバーの多くは、すでに対策済み。まずはご自身のサーバー会社のお知らせを確認
- WordPressかどうかは「/wp-admin/」で確認できる。WordPressでなくても、フォームなどでPHPを使っていることも
- PHPバージョンは「サイトヘルス」かサーバーの管理画面で確認。8.2以前なら、8.3以上への切り替えを計画
- WordPressの更新だけでは防げない。見るべきはサーバー側のPHP
ホームページは、作って終わりではなく、
育てながら、守りながら使っていくものだと私は思っています。
今回のことを、こわいニュースで終わらせず、
「自分のサイトのことを少し知る」きっかけにしていただけたらうれしいです。
「うちのサイト、大丈夫かな？」
「古くなってきたし、そろそろ作り直したい」
そんな方は、FILLMANにお気軽にご相談ください。
FILLMANでは、ホームページ・LPの制作から、公開後の保守・メンテナンスまでまとめてお手伝いしています。
SNSやLINE、印刷物まで、世界観をそろえて1つの窓口でご対応できます。
※パスワードなどのログイン情報は、LINEでは送らないでください。
