2026年10月21日、The PHP Groupは「PHP2Shell」と呼ばれる極めて深刻な脆弱性2件（認証なしでの遠隔コード実行が可能）を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。WordPressなどPHPで動くホームページを運営している企業・店舗は、サーバーやシステムのPHPバージョンを速やかに確認し、必要な更新・対応を行う必要があります。本記事では、何が起きたのか、自社のホームページにどんな影響があるのか、今すぐ何をすべきかを分かりやすく整理します。
今回のPHP脆弱性で何が起きたのか
今回問題となっているのは、PHPの実行環境そのものに存在する重大な欠陥です。朝日新聞の報道によれば、世界で広く使われているプログラミング言語PHPに極めて重大な脆弱性が二つ見つかり、各国でサイトの休止が相次ぐ事態になったと伝えられています。情報処理推進機構（IPA）も事前にセキュリティリリースの公開予定を告知しており、対象となる利用者に準備を呼びかけていました。
この脆弱性の怖さは、特別な認証情報やログイン操作を必要とせずに、外部の攻撃者がサーバー上で任意のプログラムを実行できてしまう点にあります。つまり、サイトの管理画面にパスワードを設定していても、それとは別の経路から侵入され、顧客情報の漏えいやサイトの改ざん、サーバーの乗っ取りにつながる恐れがあるということです。
PHPは多くのレンタルサーバーやCMS（特にWordPress）の土台となっている言語のため、「自分はPHPを直接触っていないから関係ない」と考えている方でも、実はPHPの上で動くホームページを運営しているケースがほとんどです。美容室やクリニック、飲食店など、WordPressで予約フォームや店舗情報を公開しているサイトも例外ではありません。
自社のホームページに影響があるか確認する方法
まず確認すべきは、自社サイトのサーバー環境でPHPがどのバージョンで動いているかです。影響を受けるのは修正前の旧バージョン（PHP 8.5.12、8.4.27、8.3.36、8.2.35より前のバージョン）を使用している環境です。
確認の手順
- レンタルサーバーの管理画面（コントロールパネル）からPHPのバージョン表示を確認する
- WordPressを利用している場合は管理画面の「ツール」→「サイトヘルス」からもPHPバージョンが確認できる
- ホームページ制作を外部に依頼している場合は、まず制作会社や保守契約先に問い合わせる
- サーバー会社から緊急メンテナンス情報が届いていないか、メールボックスを確認する
自分で確認する自信がない場合は、無理に操作をせず、制作会社やサーバー会社のサポート窓口に連絡することをおすすめします。バージョンの切り替えを誤ると、サイトの表示が崩れたり、最悪の場合はサイト自体が表示されなくなったりするリスクもあるためです。保守契約の有無によって対応のスピードや範囲が大きく変わるため、ふだんから保守費用の内訳や相場を把握しておくと、こうした緊急時にも落ち着いて判断しやすくなります。
今すぐ取るべき対応と手順
対応の基本は「PHPのバージョンを修正済みのものへ更新する」ことです。ただし、サイトの作り方や運用体制によって、自社で対応できる範囲は異なります。
| 運用体制 | 主な対応 | 注意点 |
|---|---|---|
| 保守契約を結んでいる | 保守会社からの連絡を待つ、または進捗を確認する | 対応予定時期を必ず確認する |
| 自社でサーバー管理している | 管理画面からPHPバージョンを手動更新する | 更新前に必ずサイト全体のバックアップを取る |
| 制作会社が既に撤退・連絡が取れない | サーバー会社のサポートに相談する | WordPressのテーマ・プラグインの互換性も確認する |
特に注意したいのは、PHPのバージョンを上げるとテーマやプラグインが正しく動作しなくなるケースがある点です。更新作業の前には必ずサイトのバックアップを取得し、可能であればテスト環境で動作確認を行ってから本番環境に反映させることが望ましいです。こうしたトラブルを避けるためにも、普段からサイトの構造を理解した制作会社に依頼しておくと安心です。
こうした脆弱性リスクに振り回されないための備え
今回のような重大な脆弱性は、今後も定期的に発生することが想定されます。そのたびに慌てて対応するのではなく、日頃からの備えによってリスクを減らすことができます。
例えば、ホームページを長年リニューアルせずに運用している場合、古いテーマやプラグインが残っていることが多く、脆弱性への対応がさらに難しくなる傾向があります。サイトの作り自体が古いと、PHPのバージョンアップに耐えられず、結果として全面的な作り替えが必要になることもあります。こうしたリスクを避ける意味でも、ホームページの刷新タイミングを見極めておくことは重要です。
私たちブリオデザインでは、WordPressを活用したホームページ制作や公開後の保守・運用支援を行っており、こうしたセキュリティアップデートへの対応状況の確認や、更新作業の代行にも対応しています。制作時点でテーマやプラグインの構成をシンプルに保つことが、将来のバージョンアップ対応をスムーズにする一番の近道だと考えています。
また、セキュリティ対応は単発で終わらせず、継続的な監視体制を整えることが重要です。サイトを安全に保ちながら集客にもつなげたい場合は、問い合わせ数を増やすための運用面の工夫もあわせて見直すと、守りと攻めの両面でホームページの価値を高められます。
業種別に見る注意ポイント
美容室やクリニック、飲食店など、予約システムや顧客情報を扱うホームページを運営している事業者は、脆弱性の放置によるリスクが特に大きくなります。予約フォームに入力された氏名や電話番号、来院・来店履歴などの個人情報が流出すれば、信用問題に直結するためです。
- 美容室・サロン・クリニック・接骨院：予約フォームやカルテ連携機能がある場合は優先的に確認する
- 飲食店・居酒屋・寿司屋・焼肉店・イタリアン：予約サイトやメニューページの改ざん被害に注意する
- 個人事業主・小規模店舗：制作会社や保守先が不明確な場合は、まずサーバー会社に問い合わせる
特に開業時にホームページを作ってそのまま数年放置しているケースでは、PHPのバージョンが非常に古いままになっていることが少なくありません。飲食店のホームページ運営においても、こうした土台部分の安全性は見落とされがちなポイントです。
株式会社ブリオデザインは、京都府宇治市を拠点にホームページ制作・WordPress構築・保守運用を行っているデザイン会社です。今回のようなPHPの重大な脆弱性への対応を含め、サイトを安全に保ちながら集客にもつなげる設計・運用を得意としています。ホームページのセキュリティ対応や現在の状態に不安がある方は、お気軽にご相談ください。
