「皆様に、今夜に対応して頂きたい大至急のお願いです。」
10月21日、高市早苗首相が、Xでこう呼びかけました。
多くのホームページで使われている「PHP」に重大な脆弱性が見つかったので、修正版が出たらすぐに当てられるよう準備してほしい、という内容です。
脆弱性（ぜいじゃくせい）は、外の人に悪用されるおそれのある、プログラムの欠陥のことです。
その2日後の10月23日、アスタにも、商工会議所を通じて市から「PHPの重大な脆弱性に関する注意喚起について」という文書が回ってきました。
ホームページを作った制作会社や、サーバーの会社に「影響があるか、対応は済んだか」を確かめてください、という内容です。
同じような文書を、あなたの会社でも受け取ったかもしれません。
とはいえ、PHPが何なのかわからないと、何を聞けばいいのかもわかりませんよね。
PHPは、ホームページを開くたびに、記事などの情報を集めてページをその場で組み立てているプログラムです。
自分のパソコンで直すものではなく、ホームページを置いている会社や、作った制作会社が直すものです。
PHPとは、ホームページの「厨房で料理を作る係」
ホームページの作り方には、大きく分けて2種類あります。
1つは、作り置きのお弁当を並べておく売り場のように、できあがったページをそのまま見せるもの。
もう1つは、注文を受けてから厨房で料理を作る食堂のように、開かれるたびに、保存してある記事などを集めてページを作るものです。
PHPは、この厨房で料理を作る係です。
たとえば、ブログに記事を書くと、トップページの「新着記事」にその記事が並びます。
開いた人がいつでも最新の一覧を見られるのは、PHPが開かれるたびにページを作っているからです。
この係が働いている場所は、見ている人のパソコンやスマホではなく、ホームページを置いている「サーバー」というコンピューターの中です。
名前は「個人のホームページ用の道具」から
PHPは、1994年にラスマス・ラードフさんという人が、自分のホームページのために作った道具が始まりです。
最初の名前は「Personal Home Page Tools」、つまり「個人のホームページ用の道具」でした。
いまは正式な名前が変わっていますが、「PHP」という呼び名はそのまま残っています。
「PHP研究所」とは、まったく関係ありません
「PHP」と聞くと、本屋さんで見かける「PHP研究所」の名前が浮かぶかもしれません。
PHP研究所は、1946年に松下幸之助さんがつくった出版社で、月刊誌『PHP』などを出しています。
こちらのPHPは「Peace and Happiness through Prosperity」の頭文字で、「繁栄によって平和と幸福を」という意味です。
プログラムのPHPとは、名前が同じなのは偶然で、つながりはありません。
今回の件で問い合わせる先は、本屋さんではなく、サーバーの会社と制作会社です。
間違っても問い合わせはしないようにしましょう（笑）
WordPressで作ったサイトは、PHPで動いています
WordPress（ワードプレス）は、専門知識がなくても、管理画面から記事やページを足していける仕組みです。
中小企業のホームページでよく使われていて、このWordPressも、PHPで動いています。
お店にたとえると、サーバーはお店の建物、PHPは厨房の料理人、WordPressは料理人が読むレシピ集です。
調査会社のW3Techsが調べたところ、裏側の仕組みまでわかったサイトのうち、約7割がPHPで動いていました。
WordPressで作られたサイトは、調べた世界のサイト全体の39.6%です（2026年10月22日時点）。
業者に作ってもらっただけのホームページも、PHPで動いている見込みが高いです。
今回の脆弱性は、料理人が知らない人の指示まで実行してしまう欠陥
10月21日、PHPそのものに深刻な穴が2つあると公表され、穴をふさいだ新しいバージョンも公開されました。
2つの穴は、まとめて「PHP2Shell」と呼ばれています。
お店でいえば、料理人が、注文票にこっそり書き足された知らない人の指示まで、そのまま実行してしまう状態です。
悪用されると、外の人がサーバーの中で好きなプログラムを動かせます。
ホームページを書き換えられたり、サーバーに保存されている情報を抜き取られたりするおそれがあります。
翌22日には、国内でセキュリティの注意喚起を出しているIPA（情報処理推進機構）とJPCERT/CCも、注意喚起を出しました。
Cloudflareというネットの守りの会社の社長は、公表から2時間以内に数十万件の攻撃の試みがあったと、Xで報告しています。
WordPressを最新にしても、直りません
穴があるのは、WordPressではなく、WordPressを読んで動いているPHPです。
レシピ集をいくら新しくしても、料理人の欠点は直りませんよね。
今回の穴をふさぐには、サーバーに入っているPHPを、修正済みのバージョンに入れ替える必要があります。
注意喚起が届いたら、やることは3つ
注意喚起の文書でお願いされていることは、次の3つに分けると進めやすくなります。
- サーバーの会社と制作会社が誰かを確かめる
- 修正が済んでいるか聞く
- 古いバージョンなら、上げる相談をする
1. サーバーの会社と制作会社が誰かを確かめる
PHPを入れ替えるのは、多くの場合、ホームページを置いているレンタルサーバーの会社です。
レンタルサーバーは、ホームページを置く場所を、月いくらで貸している会社のことです。
請求書や、クレジットカードの明細で、サーバーの利用料を払っている先を見てください。
サーバーの契約も含めて制作会社に任せている場合は、その制作会社が窓口になります。
2. 修正が済んでいるか聞く
大手のレンタルサーバーの中には、10月22日の朝までに修正を終えたと発表した会社もあります。
ただ、お知らせの対象に、自社が契約しているサービスやPHPのバージョンが入っているかまでは、読み取りにくいことがあります。
迷ったら、サーバーの会社か制作会社に、そのまま次のように聞いてください。
PHPの脆弱性（PHP2Shell）の件で、注意喚起の連絡が届きました。
うちのホームページ（https://自社のアドレス）のPHPは何のバージョンで、修正は済んでいますか？
まだなら、いつ終わる予定か、それまでに必要な対応があるかも教えてください。WordPressの管理者のアカウントを持っていれば、自分でもバージョンを見られます。
- WordPressの管理画面にログインする
- 左のメニューの「ツール」から「サイトヘルス」を開く
- 「情報」のタブを開き、「サーバー」を押す
「PHP バージョン」の欄に、8.2.29のように点で区切った数字が出ます。
数字が8.1以前なら、次の3に進んでください。
8.2以上でも、この数字だけでは修正が済んだかまではわからないので、数字を末尾までそのまま添えて、上の文面で聞くのが確実です。
3. 古いバージョンなら、上げる相談をする
PHP 8.1以前のバージョンは、PHPの開発元による修正の提供期間が終わっていて、今回も通常の修正版は出ていません。
8.1以前だった場合は、新しいバージョンに上げる相談を、制作会社にしてください。
WordPressには、機能を足すための部品「プラグイン」があり、バージョンを上げると古いプラグインが動かなくなることがあります。
サイトが正しく動くかの確認も含めて、作った会社に頼むほうが安心です。
8.2を使っている場合も、2026年12月31日で修正の提供期間が終わり、その後に穴が見つかっても修正版は出ません。
今回の修正が済んでいても、8.3以上（8.3は2027年12月31日まで）へ上げる予定を立てておいてください。
よくある質問
自分のパソコンやスマホにも、PHPは入っていますか？
仕事で使うパソコンやスマホには、ふつうは入っていません。
ホームページを見るだけなら、今回の件でパソコンやスマホに何かをする必要はありません。
WordPressで作っていないホームページは、関係ありませんか？
WordPress以外にも、PHPで動いている仕組みはたくさんあります。
ネットショップや予約の受付ページが、PHPで動いていることもあります。
作り方がわからなければ、制作会社に「うちのサイトはPHPを使っていますか？」と聞くのがいちばん早いです。
修正にお金はかかりますか？
レンタルサーバーのPHPの修正は、サーバーの会社が利用者全体にまとめて当てた例があります。
バージョンを上げる作業を制作会社に頼む場合の費用は、保守の契約があるかどうかで変わるので、聞くときに一緒に確かめてください。
Cloudflareを使えば、PHPの修正は要りませんか？
Cloudflareには、ホームページへの攻撃を手前で止めるサービスがあります。
ただ、それを使っても、サーバーに入っているPHPの修正は必要です。
Cloudflareに乗り換えるという話との違いは、こちらの記事にまとめています。
CloudflareならPHP問題は解消される？WordPressから乗り換え前に確かめること
まとめ
- PHPは、ホームページを開くたびにページを組み立てているプログラム
- WordPressも、PHPで動いている
- 今回の穴は、WordPressの更新では直らず、サーバーのPHPの入れ替えで直る
- 出版社のPHP研究所とは関係ない
注意喚起の文書が届いたら、サーバーの会社と制作会社に「修正は済んでいますか？」と聞くところから始めてください。
誰に聞けばいいかわからないときは
いまのホームページが、どこのサーバーで、どのバージョンのPHPで動いているか、すぐに答えられますか？
次のどれかに心当たりがあれば、一度話を聞かせてください。
- サイトを作った会社と、いまは連絡がつかない
- サーバーの契約先がわからない
- PHPのバージョンが古いと言われたが、どう進めればいいかわからない
お問い合わせフォームから、いまの状況を送ってください。
「お問い合わせの種類」は「Web制作・改善について」を選び、「ご相談内容」には、たとえば次のように書いてもらえれば十分です。
ブログの「PHPとは」の記事を読みました。
ホームページ：https://（自社のホームページのアドレス）
作り方：わからない（作った会社とは、いま連絡がついていません）
知りたいこと：PHPの修正が済んでいるか、バージョンを上げる必要があるかわからない所は「わからない」と書いてもらえれば、こちらで確かめます。
今回の確認が済んだあとも、ホームページの管理やAIの使い方の話を受け取りたい方は、メルマガをご利用ください。
サイトの管理や運用の記事は、こちらにまとめています。
参考にした情報
IPA：PHPの脆弱性対策について（2026年10月22日）
JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（2026年10月22日）
エックスサーバーのPHP脆弱性対応（THREE D PLUS、2026年10月22日）
PHPの脆弱性とWordPress（wpcenter.jp）
高市首相と国家サイバー統括室の呼びかけ（電ファミニコゲーマー、2026年10月21日）
いま受け取れる特典は、全部で9つ。すべて無料です。
- Claude Codeで作る 動画キット … 日本語で頼むだけで、告知動画を作る指示文とサンプル一式。
- AIが作る見た目を選べる デザイン様式50 … 名前をひとつ添えるだけで、サイトも資料も50通りに。
- AIの仕上がりを毎回そろえる 型プロンプト … コピペするだけ・作成フォーム付き。
- ChatGPT超入門ガイド … 「何ができるの？」がスッキリ分かる入門書。
- AIで仕事をラクにする 業務改善チェックリスト … “任せられる仕事”を見つける。
- 今日から使えるAI活用シーン10選 … まねするだけ。
- NotebookLMでスライドを作ろう … 資料づくりを10倍速に。
- 撮った動画を“見返せる資産”に変える 手順書 … 文字起こし→目次→字幕まで。
- AI活用ガイドブック（全70ページ） … 登録＋3分のアンケートで無料（Kindleでは980円）。
この記事は役に立ちましたか？
コメント