世界中で騒ぎになったPHPの脆弱性。小さなお店のサイトは何を確かめればいいか

「ニュースで見たけど、うちのホームページも関係あるの？」

ニュースを見て、そう思った方も多いはずです。結論から書きます。関係ある可能性は、十分にあります。ただし、お店の方が自分で何かを直す必要は、ほとんどありません。必要なのは、誰が直すのかをはっきりさせることです。

何が起きたのか

PHP（ピーエイチピー）は、ホームページを動かすための仕組みのひとつです。世界のウェブサイトのおよそ7割が使っているとされ、WordPressもこのPHPで動いています。

2026年10月21日、PHPの開発元が、2つの重大な欠陥を直した修正版を公開しました。悪用されると、パスワードを知らない人が、外からサーバーの上で好きなプログラムを動かせてしまう種類の欠陥です。つまり、サイトを乗っ取られるおそれがあります。

10月の流れ

10月21日　……　PHPの開発元が修正版を公開

10月22日　……　国内でもIPA（情報処理推進機構）とJPCERT/CCが注意を呼びかけ

10月26日　……　アメリカの政府機関が「実際に悪用されている」一覧に追加

修正版が出た直後から、世界中で攻撃の試みが急に増えたと報じられています。銀行やお店、病院などが、いったんサービスを止めて直すほどの騒ぎになりました。

大企業だけの話ではありません。攻撃する側は、相手を選んでいません。インターネット上のサイトを片っ端から機械で調べて、直っていないところを探します。会社の大きさは関係ありません。

小さなお店のサイトでも、次のようなものはPHPで動いていることが多いです。

自分のサイトがPHPで動いているか。分からなければ、つくった会社に一行で聞いてください。「うちのサイト、PHPは使っていますか」で通じます
PHPのバージョンが、修正版以上になっているか。修正版は 8.2.35／8.3.36／8.4.27／8.5.12 です。WordPressなら、管理画面の「ツール → サイトヘルス → 情報 → サーバー」で確かめられます
誰が更新する決まりになっているか。共用のレンタルサーバーなら、PHPの更新はサーバー会社が行うことが多いので、サーバー会社のお知らせを見てください。保守を外に頼んでいるなら、対応したかどうかを、文面で確かめておくと後で困りません
PHPが8.1以前ではないか。8.1以前はすでにサポートが終わっていて、正式な修正版は出ません。サポートが続いている版への引っ越しを急いでください。8.2も、2026年12月31日でサポートが終わります

何年も前のキャンペーンページ、昔の採用ページ、作り直す前の古いサイト。誰も見ていないページほど、誰も直していません。攻撃する側にとっては、いちばん入りやすい入口です。使っていないものは、消すのがいちばん安全です。

今回は、修正版が出る前から悪用されていたという報告もあります。直す前に、すでに入りこまれていた可能性もゼロではありません。

次のようなことがあれば、つくった会社やサーバー会社に相談してください。

今回いちばん危なかったのは、「つくったきり、誰も面倒を見ていないサイト」です。つくった会社がもうない、担当者が分からない、更新の契約がない。こういうサイトは、修正版が出ても、誰も当てません。

ご自身のサイトの面倒を誰が見ているのか、答えられない場合は、それ自体がいちばん先に片づけることです。更新を止めたままのサイトで何が起きるかは、別の記事にも書きました。

サイトのアドレスを教えていただければ、外から分かる範囲で確かめて、
誰に何を聞けばいいかをお伝えします。制作のご依頼でなくて構いません。

11月は、事業主のためのセキュリティを特集します。AIを使った詐欺メール、海外からの電話、大手の情報流出のあとに小さなお店に届くもの。これから起こりうることを、テーマごとに分けて書いていきます。

発行：OLIOA株式会社（オリオア）｜岐阜県岐阜市。Web制作・Googleマップ・AI対策・撮影の現場で見てきたことを書いています。