※この記事にはプロモーション（広告）が含まれます。
2026年10月21日、Webサイトを動かすプログラミング言語「PHP」に、深刻度9.2（10点満点）の脆弱性が2件見つかりました。国のサイバーセキュリティの窓口も更新を呼びかけ、大手企業が相次いでサービスを止めてメンテナンスに入っています。
PHPは、WordPressで作られたホームページの土台でもあります。「うちのサイトは関係あるの？」「何をすればいいの？」という方に向けて、今回の出来事と、これからのホームページの持ち方を分かりやすくまとめました。
この記事の要点
- PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）は、ログインなしでサーバーを乗っ取られるおそれがある深刻なもの
- 世界のWebサイトの約7割がPHPで動いており、WordPressのサイトも対象
- 対策はPHP本体の更新。WordPressやプラグインの更新だけでは直らない
- AIで脆弱性が見つかるペースが上がっており、今後も更新は続く
- 自分で更新し続けるのが難しいなら、セキュリティを運営会社に任せられるサービスに移るのも選択肢
何が起きたのか：PHPに「緊急」レベルの脆弱性が2件
PHPの開発チームは2026年10月20日、重大な脆弱性2件を直す更新版を出すと予告し、日本時間の10月21日23時ごろに修正版を公開しました（ITmedia NEWS、gihyo.jp）。
| 項目 | 内容 |
|---|---|
| 脆弱性の番号 | CVE-2026-109618、CVE-2026-109619（通称「php2shell」） |
| 深刻度 | CVSS v4.0 で 9.2（どちらも） |
| 何をされるか | 認証なしで、外部からサーバー上の任意のプログラムを動かされる（リモートコード実行） |
| 対象 | Webのリクエストを処理するすべてのPHP（PHP-FPM、Apache の mod_php、php-cgi など） |
| 修正版 | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 |
出典：PHP公式 News Archive 2026、PHP Foundation、CISA、GMO Flatt Security
PHP 8.1以前はすでにサポートが終わっており、PHPプロジェクトからの正式な更新は出ていません（8.1・8.0・7.4向けには最小限の修正パッチのみ）。古いPHPのまま動いているサイトほど危険です。
国も「すぐに更新を」と呼びかけ
国家サイバー統括室（注意・警戒情報）は、10月21日の昼の時点で、PHPを使っているかを確認し、修正版が出たらすぐ当てられるよう準備するよう呼びかけました。
アメリカのCISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）も「ただちに更新が必要」と注意喚起を出しています（CISA）。
世界のWebサイトの約7割はPHPで動いている
なぜここまで大騒ぎになったのか。それはPHPがWebサイトの土台として圧倒的に使われているからです。
Webの技術の利用状況を調べている W3Techs によると、サーバー側の言語が分かるWebサイトのうち、約7割（2026年10月時点で69.3%）がPHPを使っています。ほかの言語を大きく引き離しています（W3Techs）。
さらに、ホームページ作成ソフトの代表格である WordPress は、世界の全Webサイトの約4割で使われています（W3Techs。2026年は41〜43%前後で推移）。WordPressはPHPで作られているので、WordPressのサイトはそのまま今回の対象になります。
大手企業も相次いでメンテナンスへ
修正版の公開前後には、国内の大手サービスが予防のためにサービスを止める動きが広がりました。
NTTドコモ：「セキュリティ対応に伴う一部Webサイトの一時停止について」を告知（10月22日未明）
メルカリ：「臨時メンテナンス実施の可能性について」を告知（10月21日夜）
ニコニコ：「利用しているソフトウェアに重大な脆弱性が予告されたことを受け、予防的に実施」として、10月21日19時から緊急メンテナンス
このほか、さくらインターネット、Cygames、pixivなども緊急メンテナンスを発表しました（日経クロステック）。『ウマ娘』など複数のゲームも21日23時から緊急メンテナンスに入り（電撃オンライン）、ネットショップでも「makeshop」「カラーミーショップ」「BASE」などで案内が出ています（日本ネット経済新聞 / Yahoo!ニュース）。
※各社の告知には、PHPの名前を出していないものもあります。時期と内容から今回の脆弱性への対応と見られますが、詳しくは各社の公式のお知らせをご確認ください。
専任のエンジニアを抱える大企業でさえ、サービスを止めて対応している。これが今回の脆弱性の重さを物語っています。
WordPressも危ない。専門家・公式も更新を呼びかけ
WordPress の日本語公式アカウントも、サイトの持ち主にすぐPHPを更新するよう呼びかけました。
公式記事：PHP の重大なセキュリティリリース
公式記事のポイントは次のとおりです。
- 今回の脆弱性は WordPress 固有ではなく、PHPを動かすすべてのサーバーが対象
- WordPress本体の更新は不要。直すべきは PHP本体
- PHPのバージョンは、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できる
- 自分でサーバーを管理していて更新が難しい場合は、サーバーを一時的にオフラインにすることも検討する
「ツール」→「サイトヘルス」→「情報」→「サーバー」の「PHP バージョン」で確認できる。この例は修正版の 8.3.36 なので対応済み
Web制作の現場でも、緊張が広がりました。
とはいえ、「脆弱性」と聞いても、何がそんなに危ないのかピンとこない方も多いはずです。まずは「脆弱性」とは何かを整理しましょう。
脆弱性とは？簡単にいうと「鍵の壊れた裏口」
脆弱性（ぜいじゃくせい）とは、ソフトウェアの設計や作りのミスで生まれた「セキュリティ上の弱点」のことです。
家にたとえると、玄関にはしっかり鍵をかけているのに、裏口の鍵が壊れていて、誰でも開けられる状態。持ち主が気づかないうちに、知らない人が出入りできてしまいます。
今回のPHPの脆弱性は、この「裏口」がログインなしで、インターネットのどこからでも開けられるタイプでした。悪用されると、次のような被害が起こりえます。
| 被害の例 | どういうことか |
|---|---|
| ホームページの改ざん | 見た目を書き換えられたり、偽の情報を載せられたりする |
| 詐欺サイト・ウイルス配布への転送 | 訪れたお客さまが、別の危ないサイトへ飛ばされる |
| 情報の流出 | お問い合わせフォームの内容、管理者のパスワードなどを抜かれる |
| 踏み台にされる | 自社のサーバーが、他社への攻撃や迷惑メールの送信に使われる |
「うちのサイトには大事なデータがない」場合でも安心はできません。改ざんや踏み台にされれば、お客さまや取引先に被害が出て、会社の信用を失います。検索エンジンから「危険なサイト」と表示されることもあります。
今回はアップデートで直る。でも、これで終わりではない
今回の脆弱性は、PHPを修正版に更新すれば直ります。ただし、これで一安心とはいきません。
AIで脆弱性が見つかるペースが上がっている
今回の脆弱性の発見と確認には、AIも使われていました。PHPの開発を支える PHP Foundation は、AIによる調査で報告が届いたことを明らかにしたうえで、「ツールはこれまでより速くバグを見つけ、報告の数は増え続ける」という見方を示し、セキュリティの専任チームを新たに作っています（PHP Foundation）。
ソフトウェア全体で見ても、脆弱性の報告は急増しています。セキュリティの国際団体 FIRST は、AIによる脆弱性探しの広がりを理由に、2026年のCVE（脆弱性の登録）件数の予測を約6万6000件に引き上げました（@IT）。
WordPressは、もともと脆弱性が多い
WordPressは、本体よりもプラグインやテーマに脆弱性が多いのが特徴です。WordPressのセキュリティ会社 Patchstack の調査では、
- 2025年に見つかったWordPress関連の脆弱性は 1万1334件（前の年より42%増）
- 公開された時点で修正版がなかったものが46%
- 大規模に悪用されるまでの時間は、中央値でわずか5時間
という結果が出ています（Patchstack）。2026年7月には、WordPress本体の標準のままでも乗っ取られる「wp2shell」と呼ばれる脆弱性も見つかり、実際に攻撃に使われました（BleepingComputer）。
つまり、PHPもWordPressも、これからもずっと更新し続けなければいけない、ということです。
でも、アップデートするとサイトが動かなくなることも
「じゃあ、こまめに更新すればいい」と思うかもしれません。ところが、更新そのものがトラブルの原因になることがあります。
PHPのバージョンを上げると、古いプラグインやテーマ、昔に作り込んだ部分が新しいPHPに対応しておらず、サイトが真っ白になったり、PHPのエラーが画面に表示されたりすることがよくあります。
実際に、大きな組織が運営するWordPressのサイトでも、トップページの一角にPHPの警告がそのまま表示されていることがあります。
あるWordPressのサイトで表示されていたPHPの警告（2026年10月22日に撮影。サーバー内のフォルダ名は伏せています）。本来は記事の一覧が出る場所に「Warning: Undefined variable…」という警告が並んでいる
PHPやWordPressのテーマ・プラグインが想定どおりに動かないと、このようにエラーの文章がお客さまの目に触れる画面にそのまま出てしまいます。エラーの文章にはサーバー内部のフォルダ名なども含まれるため、攻撃者に手がかりを与えることにもなります。専任の担当者がいる組織のサイトでさえ、こうしたことが起こるのです。
更新して壊れたら直す。直したら、次の脆弱性が出て、また更新する。
- 更新のたびに、動作確認をする手間がかかる
- 壊れたときに直せる人が社内にいない
- 制作会社に頼むと、そのたびに費用がかかる
- 「怖いから更新しない」と放置すると、今度は攻撃される
個人や中小企業にとって、この繰り返しを自分たちだけで続けるのは、かなりの負担です。
保守運用を頼むと、毎月お金がかかる
自分でできないなら、WordPressの保守を専門にしている会社に保守運用（更新・バックアップ・監視・不具合への対応など）を頼む方法があります。ただし、費用は毎月かかります。実際の料金の例は次のとおりです（2026年10月時点で各社の公式サイトに掲載されているもの）。
| 会社・プラン | 月額 | 主な内容 | 別料金になるもの（例） |
|---|---|---|---|
| A社 ライト | 5,000円 | WordPress本体・プラグインの更新、定期バックアップ | サイトの復旧（1回20,000円）、初期費用20,000円 |
| A社 スタンダード | 10,000円 | 上記＋緊急時のバックアップからの復元、改ざん・マルウェアのチェック（月4回） | 初期費用20,000円 |
| B社 ベーシック | 22,000円（税込） | 本体・プラグインの自動更新、死活監視、バックアップ、ファイアウォール | PHPのアップデート、テーマの更新（都度見積もり） |
| B社 プロフェッショナル | 44,000円（税込） | 上記＋手動での更新、マルウェアの検査と駆除、WAF、電話サポート | PHPのアップデート（都度見積もり） |
| C社 スタンダード | 55,000円〜（税込） | 脆弱性情報の毎日の確認、24時間365日の監視、緊急時の復元 | 更新で起きた不具合への対応（別途見積もり）、初期費用55,000円〜 |
※ A社は税込・税別の表記なし。料金や内容は変わることがあるので、依頼するときは最新の料金を確かめてください。
いちばん安いプランでも年間6万円、監視や復旧まで任せると年間12万〜60万円以上かかります。しかも、今回のようなPHPのアップデートや、更新で壊れたサイトの直しは「別途見積もり」になっているプランも少なくありません。頼む前に、どこまでが月額に含まれるかを必ず確かめましょう。
もう個人・中小企業がWordPressを自前で持つ時代は終わったかもしれない
WordPressは無料で、自由にカスタマイズでき、たくさんのホームページを支えてきました。ただ、それは「サーバーやPHP、プラグインの更新を自分で管理できる」ことが前提です。
今回のように、
- 深刻な脆弱性がある日突然見つかり
- 数時間〜数日で対応しないと危なく
- しかも更新するとサイトが壊れるかもしれない
という状況が、AIの登場でこれからもっと頻繁に起こりえます。専任の担当者がいない個人や中小企業が、WordPressのサイトを自前で持ち続けるのは、手間とリスクに見合わなくなってきていると言えそうです。
セキュリティは「サービス運営会社に任せる」という選択
そこで考えたいのが、ホームページ作成サービス（サイトビルダー）を使う方法です。
ホームページ作成サービスでは、サーバーやPHPなどの土台を運営会社がまとめて管理しています。今回のような脆弱性が見つかっても、
- セキュリティの更新は運営会社が一括で対応してくれる
- 自分でPHPのバージョンを上げたり、プラグインの相性を確かめたりする必要がない
- 更新でサイトが壊れる心配が少ない
というのが大きなメリットです。サイトの持ち主は、文章や写真の更新といった「中身」に集中できます。
たとえばレンタルサーバー大手のロリポップ!では、サーバーの契約なしで、AIと対話しながらサイトを作って公開できるサービスが始まっています（Impress Watch）。
一方で、次のような点には注意しましょう。
- デザインや機能の自由度は、WordPressより低いことが多い
- 別のサービスへの引っ越しがしにくい場合がある
- 月額の利用料がかかる
「ブログや会社案内、お店の紹介ができれば十分」というサイトなら、自由度よりも安全と手間の少なさを取るほうが合っているはずです。
ウェブサイトを公開できるおすすめサービス
セキュリティの更新を運営会社に任せられる、主なホームページ作成サービスです。料金やプランは変わることがあるので、申し込む前に公式サイトで確認してください。
ジンドゥー（Jimdo）
- 質問に答えていくだけで、ホームページのひな形ができる
- 無料プランから始められる
- サーバーやセキュリティの更新は運営会社が行うので、自分でPHPを更新する必要がない
- 向いている人：まずは無料で試したい人、小さなお店や個人のサイトを作りたい人
ロリポップ！AIホームページ
質問に答えるだけ！AIが最短10分でサイト完成【ロリポップ！AIホームページ】
- 運営：GMOペパボ（レンタルサーバー「ロリポップ!」の会社）
- AIと対話しながら、サイトの構成から制作・公開までできる
- サーバーの契約は不要。サーバーやPHPの管理は運営会社に任せられる
- 向いている人：文章やデザインに自信がない人、早く公開したい人
ペライチ
- 1枚のページ（ランディングページ）を手早く作れる
- 予約や決済の機能も付けられる
- サーバーやセキュリティの更新は運営会社が行うので、自分でPHPを更新する必要がない
- 向いている人：店舗やイベントの告知ページを作りたい人、まずは1ページだけ公開したい人
※サービスごとに提供している機能や、障害・脆弱性への対応方針は異なります。気になる場合は、各社のセキュリティへの取り組みも確認しておきましょう。
まとめ：今やること、これから考えること
今すぐやること（WordPressなどPHPのサイトを持っている人）
- レンタルサーバー会社や制作会社のお知らせを確認する
- WordPressの「サイトヘルス」でPHPのバージョンを確認する
- PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以上になっていなければ、更新する（サーバー会社が自動で更新している場合もある）
- PHP 8.1以前を使っているなら、サポートのあるバージョンへの移行を急ぐ
- 更新したら、サイトがきちんと表示されるか確かめる
これから考えること
- PHPやWordPressの脆弱性は、AIによってこれからも見つかり続ける
- そのたびに更新し、壊れたら直す体制を自分たちで持てるか
- 難しいなら、セキュリティの管理を運営会社に任せられるホームページ作成サービスへの移行を検討する
ホームページは、会社やお店の「顔」です。今回の出来事をきっかけに、誰がサイトの安全を守るのかを見直してみてはいかがでしょうか。
参考資料
- PHP公式 News Archive 2026
- PHP Foundation: Today’s PHP Security Release, and How We’re Strengthening PHP Security
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- WordPress.org 日本語：PHP の重大なセキュリティリリース
- ITmedia NEWS: PHPに「緊急」レベルの脆弱性2件
- gihyo.jp: PHP、重大な脆弱性2件を修正
- GMO Flatt Security: PHPの重大な脆弱性「php2shell」の概要と対応指針
- 日経クロステック：PHPの重大な脆弱性で緊急メンテナンス相次ぐ
- W3Techs: Usage statistics of PHP
- W3Techs: Usage statistics of WordPress
- Patchstack: State of WordPress Security in 2026
- @IT: AIが脆弱性を掘り起こし過ぎる時代へ
