PHPの重大な脆弱性、慌てなくて大丈夫。でも自分のPHPバージョンだけは確認を

「PHPがヤバいって聞いたんですけど、うちのサイト大丈夫ですか？」

ここ数日、こんなご質問をいただくことが増えました。

SNSでは「今すぐ動いてください」「乗っ取られます」といった強い言葉の投稿も見かけます。
不安になりますよね。

先に結論からお伝えします。

今回の問題は、本当に深刻です。
でも、共用のレンタルサーバーを使っているなら、直すのはサーバー会社。
サイトを運営している方が、慌てて何かをする必要はほとんどありません。

ただ、ひとつだけ確認してほしいことがあります。
それが「自分のサイトが、どのバージョンのPHPで動いているか」です。

この記事では、Web業界15年、3,000件以上のサイト制作に関わってきた私が、今回の件で「やること」と「やらなくていいこと」を、立場ごとにご案内します。

• この記事は2026年10月22日朝の時点の情報です。
• 状況が動いたら追記します（末尾の更新履歴をご覧ください）。

何が起きたのか（2026年10月22日時点）

WordPressを動かしている「PHP」という言語に、外から乗っ取られるおそれのある弱点が見つかり、10月21日の夜に修正版が出ました。
これは、セキュリティプラグインでは防げない種類です。

PHPに、外から乗っ取られるおそれのある弱点が2件見つかりました

PHP（ピーエイチピー）は、WordPressを動かしている土台のプログラムです。
WordPressは、PHPという言語で作られていて、PHPの上で動いています。

そのPHPに、とても深刻な弱点（脆弱性）が2件見つかりました。

PHPの開発チームは10月20日に「近く重大な修正を出します」と予告し、日本時間の10月21日23時ごろに修正版を公開しました。

公開された内容をかみくだくと、こうです。

• ログインしていない人が、外からサーバー上で好きなプログラムを動かせてしまう（＝乗っ取られるおそれがある）種類の弱点
• 深刻度は、最大10のうち9.2
• Webのアクセスを処理しているPHPは、ほぼすべてが対象
• 修正済みのバージョンはPHP 8.5.12／8.4.27／8.3.36／8.2.35

予告の段階では、どんな弱点なのかは公表されていませんでした。
「今すぐ動いて」と言われても、具体的に何をすればいいのかは、まだ分からない状態だったんです。

「セキュリティプラグインを入れれば大丈夫」ではありません

ここが、いちばんお伝えしたいことです。

今回の弱点は、WordPressではなく、その下にあるPHP本体にあります。
サーバーの仕組みによっては、WordPressが動き出す前に攻撃が通ることまで確認されています。

WordPressのセキュリティプラグインは、WordPressの中で働くものです。
その手前で起きる問題は、防げません。

PHPの開発チームも「根本的な対策は、更新することだけ」とはっきり書いています。

ふだんのセキュリティ対策が無意味、という話ではありません！
WordPressのセキュリティ対策は、今回とは別に大切です。

「WordPressのアップデート」とは別の話

「WordPressをアップデートした方がいいですか？」というご質問も、たくさんいただいています。

今回の弱点は、WordPressではなく、その下のPHPにあります。
なので、WordPressを最新にしても、今回の弱点はふさがりません。

ただ、WordPress本体やプラグインを新しくしておくことは、今回とは別に、ずっと大切です。
古いまま止まっているWordPressには、それはそれで別の弱点が残っているからです。

共用レンタルサーバーなら、直すのはサーバー会社です

共用のレンタルサーバーでは、PHPを直すのはサーバー会社です。
ただし、古いバージョンのPHPは対応が後回しになります。

エックスサーバーは、公表の前から動いていました

エックスサーバーなどの共用レンタルサーバー（毎月の利用料を払って、1台のサーバーをほかの人と一緒に使う、一般的なレンタルサーバーのことです）では、PHP本体を更新するのはサーバー会社です。

私たち利用者が、PHPそのものを直すことはできません。

私が使っているシンレンタルサーバーも含め、エックスサーバー株式会社は、修正版が出る前の10月21日16時から、予防のために管理画面などを一時停止しました。

発表によると、こうです。

• 止まっているものは、
  サーバーの管理画面、WEBメール、ファイルマネージャなど
• 止まっていないものは、
  サイトの表示と、メールソフトでの送受信は通常どおり
• 不正アクセスがあったわけではない、と明記されています

そのうえで、修正版が出たPHP 8.2〜8.5から順番に、サーバーへの適用を進めてきました。

そして、10月22日朝6時44分の発表では、8.2〜8.5は、対象のすべてのサーバーへの適用が完了しています。

「サーバーの管理画面に入れない」という方は、この一時停止が理由です。
サイトが壊れたわけではないので、安心してくださいね。

サーバー会社によっては、サイトそのものを止めています

エックスサーバーは、サイトの表示を止めずに対応しました。
でも、サーバー会社によっては、修正が終わるまでの間、
お客様のサイトそのものを一時的に止めているところもあります。

• NTTドコモビジネス（Bizメール＆ウェブ）は、
  10月21日22時以降、Webサイトの閲覧・更新を一時停止（お知らせ）。
  メールの送受信は通常どおり（ブラウザで見るWebメールは停止中）
• ロリポップ！は、
  10月22日3時5分の発表で、一部のサーバーのサイトを一時停止。
  ユーザー専用ページやFTPなども停止中

どちらも、修正が終わるまでの間に攻撃を受けないための予防措置です。
NTTドコモビジネスは、不正アクセスなどの被害は確認されていないと発表しています。

私が制作したサイトでも、お客様から「サイトが見られない」とお電話をいただきました。
原因は、この一時停止でした。

急にサイトが見られなくなったときは、壊れたのではなく、この一時停止の可能性があります。
サイト側で何かする必要は基本的にありません。
再開したら、表示とお問い合わせフォームが動いているかを確認しましょう。

ただし、古いPHPは守られる順番が後ろになります

ここが落とし穴です。

PHPは、バージョンごとに、開発チームが修正を出してくれる期間が決まっています。
いま修正が出るのは8.2〜8.5だけ。
8.1以前は、すでにその期間が終わっています。

今回はあまりに深刻なため、開発チームが7.4・8.0・8.1向けにも、最小限の修正を例外的に公開しました。
エックスサーバーも、古いバージョン向けの修正を準備していて、一部のバージョンでは確認が終わったものから順に適用を始めたと発表しています。

ありがたい対応です。
でも、順番は後ろで、時間もかかる見込みです。

「サーバー会社がなんとかしてくれる」が素直に成り立つのは、修正が出ているバージョンを使っている場合だけなんです。

サーバー会社が直しても、PHPのバージョンは自動では上がりません

「サーバー会社が更新してくれたなら、自分のサイトも新しくなっているはず」と思いますよね。
ここは、2つに分けて考えると分かりやすいです。

• 同じバージョンの中の修正（たとえば8.2 → 8.2.35）は、
  サーバー会社がまとめて当ててくれます。
  ご相談いただいたエックスサーバーのサイトでも、何もしないまま8.2.35になっていました。
• バージョンそのものの切り替え（たとえば8.1 → 8.3）は、
  サイトごと（ドメインごと）の設定です。
  サーバー会社が勝手に上げることは、基本的にありません。

なので、8.1以前のサイトは、サーバー側に新しいPHPが用意されていても、サイトの設定を切り替えるまで8.1のままです。

古いバージョンの提供が終わるときは、サーバー会社からお知らせが来て、切り替えをお願いされることがあります。

また、WordPressの「自動更新」は、WordPress本体やプラグインを新しくする機能です。
PHPのバージョンは変わりません。

自分のサイトのPHPバージョンを確認する方法（1分）

WordPressの管理画面から確認できます。
サーバー会社の管理画面とは別物なので、サーバー側の管理画面が止まっていても見られます。

1. WordPressにログインする
2. 左のメニューから「ツール」→「サイトヘルス」を開く
3. 上の「情報」タブを開く
4. 「サーバー」の項目を開く
5. 「PHP バージョン」に書いてある数字を見る

見方はこれだけです！

※サイトヘルスの「情報」タブは、管理者のアカウントで見られます。

切り替える前に確認！
古いテーマは動かなくなることがあります

8.1以前だった方へ。
PHPを新しくするときは、ひとつだけ注意してほしいことがあります。

古いテーマやプラグインは、新しいPHPで動かなくなることがあります。

• エラーが出て、サイトが表示されなくなる（「このサイトで重大なエラーが発生しました」と出るなど）
• 一部のページだけが表示されなくなる
• 画面に警告の文字が出たり、レイアウトが崩れたりする
• お問い合わせフォームが送れなくなる

実際に、以前お手伝いした古いサイトでは、何年も問題なく動いていたのに、新しいPHPで確認したら詳細ページが全部表示されなくなる状態でした。
原因は、たった1文字の打ち間違い。
古いPHPでは見逃されていたものが、新しいPHPでは止まってしまうんです。
本番を切り替える前の確認で見つかったので、事なきを得ました。
くわしくは、このときの事例にまとめています。

切り替えるときは、この順番がおすすめです。

1. バックアップを取る
2. できれば、本番とは別の練習用の場所（テスト環境）で先に試す
3. 切り替えたら、主なページとお問い合わせフォームを確認する

もし表示がおかしくなっても、多くの共用レンタルサーバーでは、管理画面からPHPのバージョンを元に戻せます。
慌てずに戻して、作った人に相談してください。

立場別：いまやること

基本は「PHPのバージョンを確認して、サーバー会社のお知らせを見る」です。
立場ごとに、少しずつやることが変わります。

今回のPHPの脆弱性のニュースを見ました。
うちのサイトのPHPのバージョンはいくつですか？
何か対応が必要なことはありますか？

件名：PHPの脆弱性に関するニュースについて

〇〇様

いつもお世話になっております。〇〇です。

ニュースなどで「PHPの重大な脆弱性」をご覧になったかもしれませんので、ご連絡いたします。

〇〇様のサイトは、〇〇（サーバー会社名）のサーバーで、PHP〇〇（バージョン）で動いていることを確認しました。

今回の問題は、サーバー側のPHPを修正することで対応するものです。
〇〇（サーバー会社名）が順次対応を進めているため、現時点で〇〇様にご対応いただくことはありません。

サーバー会社から追加の対応をお願いされた場合や、状況に変化があった場合は、あらためてこちらからご連絡いたします。

気になることがあれば、いつでもご連絡ください。

なお、〇〇様のサイトは古いバージョンのPHPで動いているため、今回の件とは別に、新しいバージョンへの切り替えについてご相談させてください。

もうひとつ見てほしいことは、「お問い合わせの保存データ」

今回のような弱点でいちばん怖いのは、サイトが表示されなくなることより、お預かりした個人情報が外に漏れることです。

「うちのサイトは個人情報を扱っていないから」という方も、お問い合わせフォームで受け取ったお名前やメールアドレスは、大切な個人情報です。

お問い合わせフォームの中には、送られてきた内容を、WordPressの管理画面の中に保存しているものがあります。
たとえば、Contact Form 7と一緒に「Flamingo」を使っている場合や、MW WP Formで送信内容をデータベースに保存する設定にしている場合です。

保存されたデータは、万が一サイトに入り込まれたときに、そのまま持ち出されてしまうおそれがあります。

• 管理画面に、お問い合わせの一覧が残っていないか確認する
• 残っていたら、必要な分をバックアップしてから、サイトの中からは削除する
• 自分で確認できなければ、サイトを作った人に「お問い合わせの内容をサイトに保存していますか？」と聞いてみる

こんたホームページ製作所では、いま進行中のサイトや、ご相談をいただいたサイトについて、保存データのバックアップと削除の対応を進めています。気になる方は、一度ご相談ください。

焦ってやらないでほしいこと

不安なときほど、何か手を動かしたくなりますよね。
でも、次の4つは逆効果になることがあります。

よくある質問

まとめ

今回のPHPの問題は、軽く見ていいものではありません。
でも、サイトを運営している側がやることは、この4つです。

• 自分のサイトのPHPバージョンを確認する
• 契約しているサーバー会社のお知らせを見る
• 8.1以前なら、切り替えを相談する
• お問い合わせの内容をサイトに保存しているなら、バックアップしてサイトの中から削除する

ご自身での確認や切り替えに不安がある方は、ホームページ保健室で、画面を一緒に見ながら確認できます。
制作者の方で、お客様のPHPの切り替えや、それにともなうコーディングの確認が必要なときは、制作者さん向けのシステムパートナーのページからご相談ください。