Webサイトの安全に関するニュースを見て、「自社のサイトは大丈夫だろうか」と気になった方もいるかもしれません。2026年10月21日、PHPの開発元が、PHPに重大な脆弱性が見つかったことと修正版の提供を発表しました。昨日（10月21日）は、高市総理もXでPHPの利用確認や修正への備えを呼びかけました。

PHPは、Webサイトの画面や機能を動かす土台の一つです。WordPressのようなサイトでも使われています。ただし、利用しているかどうかをサイトの見た目だけで判断するのは難しく、サーバーの管理を保守会社に任せている場合は、担当者自身が技術的な構成を調べる必要はありません。

まず確認したいのは、自社のWebサイトや業務システムでPHPを使っているか、そして修正が適用されているかです。PHP公式は10月20日に修正版の公開を予告し、翌21日に詳細と修正版を公表しました。JPCERT/CCとJVNも22日に国内向け情報を掲載しています。

なぜ自社にも関係するのか

今回の問題は、条件によっては、外部から認証されていない相手がサーバー上で意図しない処理を実行できるおそれがあるものです。影響の有無は、PHPを使っているか、どのように管理されているか、修正が適用されているかによって異なります。ニュースが出たことだけで、自社サイトが攻撃された、あるいは侵害されたと決まるわけではありません。該当するか分からない場合も先送りせず、できるだけ早く保守会社へ確認しましょう。

一方で、PHPはWordPress本体とは別にサーバー側で動いています。そのため、WordPress本体やプラグインを更新しただけでは、PHP側の修正まで済んだとは限りません。サイトの保守を外部に委託している場合は、契約先やサーバー会社に状況を確認するのが確実です。

まずは保守会社に状況を確認

専門的な設定変更や更新を、担当者が無理に自分で行う必要はありません。まずは、Webサイトを管理している保守会社、サーバー会社、または社内のシステム担当者に、PHPの利用状況と修正の適用状況を確認してください。担当窓口が分からない場合は、Webサイトの保守契約やサーバーの請求書・契約書を手掛かりにできます。

次の文面を、対象のサイト名やドメインを補ってそのまま問い合わせに使えます。

10月21日に公表されたPHPの脆弱性について、当社のWebサイト（対象ドメイン）でPHPを使用しているか、修正が適用済みかをご確認ください。未対応の場合は、対応予定と、当社側で必要な作業やサイト停止の有無をお知らせください。

修正の適用後は、サイトの表示や業務機能に問題がないか確認することも大切です。更新の手順や作業時期はサーバーの環境によって異なるため、保守会社と相談して進めてください。暫定的な対策を案内された場合も、それだけで安全になったと判断せず、修正版の適用予定を確認しましょう。PHP公式も、修正版への更新を完全な対策として案内しています。

修正状況は提供元にも確認を

PHP公式が案内する通常サポート対象の系列では、修正版が提供されています。ただし、サーバー会社やOSの提供元が修正を自社のパッケージへ取り込んでいる場合、画面に表示されるPHPの番号が公式の修正版と異なることがあります。こうした修正の取り込みは「バックポート」と呼ばれます。表示番号だけで未対応と決めつけず、保守会社や提供元に修正状況を確認してください。

古いPHPを使っている場合は、今回の修正状況と今後の更新計画も保守会社に確認しましょう。

今回の発表は、PHPを使う環境で修正状況を確かめるきっかけです。まずは自社サイトの管理窓口を確認し、保守会社から「PHPを使っているか」「修正は済んでいるか」「未対応ならいつ、どう進めるか」の回答を得ておきましょう。

保守担当者向け参考情報

  • 対象の脆弱性：CVE-2026-109618、CVE-2026-109619
  • PHP公式の発表と修正版：通常サポート対象の8.5系は8.5.12、8.4系は8.4.27、8.3系は8.3.36、8.2系は8.2.35
  • PHPの実行方式にはPHP-FPM、Apache mod_php、php-cgiなどがあります。影響の確認では、利用している方式と提供元の修正状況をあわせて確認してください。
  • PHP 8.1以前は通常サポート対象外です。例外パッチや提供元独自の修正の有無は、提供元へ確認してください。
  • PHP公式は、修正版への更新を完全な対策とし、暫定策だけでは安全といえないと案内しています。
  • カナダ・サイバーセキュリティセンターは10月21日の告知時点で、概念実証コード（PoC）の報告がある一方、実際の悪用を確認していないとしました。これは同センターの当時の観測であり、現在世界で悪用がないという意味ではありません。

一次情報

関連報道・投稿

※本記事は、2026年10月22日 22:29（Asia/Taipei）時点で確認した情報に基づいています。最新の状況は各提供元の案内をご確認ください。