先月のPHP脆弱性から学ぶ｜貴社ホームページの「今の状態」を知っていますか？

Web制作公開：2026.11.06

先月、ホームページやWebシステムの土台として広く使われている「PHP」に、重大な脆弱性が見つかりました。 IPA（情報処理推進機構）も注意喚起を公表し、修正版へのアップデートを呼びかけています。今回は修正対応が進みましたが、この一件は「一度対応して終わり」ではありません。むしろ、今後も同様のセキュリティ問題は発生すると考えたほうがよいでしょう。

今回、何が問題だったのか

PHPは、WordPressサイト、ECサイト、予約システム、会員サイトなど、多くのホームページを動かすためのプログラミング言語です。
今回の脆弱性は、悪用されると外部の第三者がログインなしでサーバー上のプログラムを実行できてしまう可能性があるものでした。簡単にいえば、「サイトの裏側を勝手に操作されるかもしれない」という問題です。ページの改ざん、会員情報や顧客情報の流出、フォームや予約機能の停止などにつながるおそれがあります。
IPAによると、影響を受けるのはPHP 8.2.35未満、8.3.36未満、8.4.27未満、8.5.12未満のバージョンです。
修正版として、PHP 8.2.35／8.3.36／8.4.27／8.5.12が公開されています。
本件は特に影響が甚大であるため、公式の修正版が無い古いバージョンでも、サーバ会社によって対応がなされている場合もあります。

重要なのは「今回は対応済みか」だけではない

「WordPressを更新した」「制作会社に依頼しているから大丈夫」と感じる方も多いかもしれません。しかし、今回はWordPressそのものではなく、その土台であるPHPの問題でした。 WordPressやプラグインの更新だけでは、サーバー側のPHPバージョンが古いままであれば対策になりません。
さらに、PHPはWordPress以外のWebシステムや、サーバー環境、外部サービスの内部でも使われることがあります。IPAも、PHPを利用しているシステムを「棚卸し」し、修正情報が出たら速やかに対応できる準備をすることを呼びかけています。

つまり、大切なのは次の2つといえるでしょう。

・自社サイトが今、何で動いているかを把握すること
・脆弱性が見つかったときに、速やかにアップデートできる体制があること

今後も似た事例は増えると考えてください。

AI全盛の時代、人間ではなく機械が、24時間休むことなくセキュリティの穴を探し続けているからです。
我々にできることは何か？可能な限りセキュリティの穴を塞ぎ、新しい穴が見つかれば塞ぐことです。
PHP、WordPress、プラグイン、サーバー、SSL証明書などは、それぞれ更新や見直しの時期がきます。
放置すると、今回のように「突然、緊急対応が必要になる」リスクが高まります。特に注意したいのは次のケースです。

・最終更新から長い期間が経っている
・WordPressやプラグインの更新を自分で行っていない
・サイトの管理会社やサーバー契約先が不明
・お問い合わせ・予約・購入など、重要な機能がある
・会員情報や顧客情報を扱っている

これらに当てはまる場合でも、すぐに慌てる必要はありません。
まずは「今の状態を知ること」から始めれば大丈夫です。

まずは3つのことを確認しましょう

専門的な確認や修正は弊社を含む業者の領域です。
クライアントの皆さまには、まず次の3点をご確認いただければ十分です。

・サイトの管理・サーバー契約先を確認する
・ホームページの更新担当、レンタルサーバーの契約先、ドメイン管理先を整理しましょう。
・今回のPHP脆弱性への対応状況を確認する
管理会社やサーバー会社へ「CVE-2026-109618／109619への対応は済んでいるか」ご確認ください。
・重要な機能が正常に動くか確認する
お問い合わせフォーム、自動返信メール、ログイン、予約・購入機能なども定期的に確認しましょう。

「状態を知る」「更新する」を仕組みにする

セキュリティ対策で大事なのは、問題が起きたときだけ対応することではなく、次の体制を持つことです。

・サイトで使っているPHP・WordPress・プラグインのバージョンを把握する
・セキュリティ情報が出たら、影響の有無を確認する
・更新前にバックアップを取り、更新後に動作確認をする
・古いバージョンや使っていない機能を減らす
・更新・点検を定期的に行う

IPAも、修正版の適用時には十分なテストを行うよう推奨しています。闇雲に更新するのではなく、「状態を把握し、安全に更新する」ことが大切です。弊社では過去に制作したサイトはもちろん、他社さまで制作したサイトについてもリスクのチェックが対応可能です。
ご相談いただくと、次の点を確認します。

・利用中のPHPバージョンと、今回の脆弱性への対応状況
・WordPress・プラグイン・テーマの更新状況

今後のためのバックアップや更新体制のご提案させていただくことも可能です。
まずはお問い合わせください。

「まだ問題が起きていないから大丈夫」ではなく、「今の状態を知り、更新できる体制をつくる」。
それが、今後のセキュリティリスクに備えるいちばん確実な方法です。お気軽にご相談ください。

一覧を見る