PHPの重大な脆弱性、昨夜何が起きたか。運用支援の現場から、今日確認する3つのこと
2026年10月21日の夜、PHPの重大な脆弱性2件の修正版が公開されました。ホームページの運用支援をしている弊社では、公開直後から支援先の確認を進めています。
この記事では、昨夜から今朝にかけて何が起きたのか、運用支援の現場で見えていること、そして経営者が今日確認すべき3つのことを、ホームページ運用の立場からお伝えします。
昨夜、何が起きたのか
PHPは、WordPressをはじめ、多くのホームページの裏側で動いている仕組みです。そのPHPに、重大な脆弱性が2件見つかりました。
PHPの開発チームは、10月20日（日本時間の21日未明）に、修正版を21日の日本時間23時に公開すると事前に告知していました。公式の告知では、2件とも、認証なしで遠隔からコードを実行できる欠陥とされています。
国家サイバー統括室と高市総理も、X（旧Twitter）で、修正パッチの適用に備えるよう呼びかけました。修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。
| お使いのPHP | 対応 |
|---|---|
| 8.5系・8.4系・8.3系・8.2系 | 修正版（8.5.12／8.4.27／8.3.36／8.2.35）へ更新 |
| 8.1系以前 | PHP本家の更新は終了。サーバー会社の独自対応を確認するか、新しい版へ移行 |
| バージョンが分からない | ホームページを管理している会社に、修正が済んでいるかを確認 |
出典：PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
簡単に言うと、ホームページが置いてあるサーバーが、外の人に遠隔操作される可能性がある欠陥です。修正版が公開されると、欠陥の場所が知られるため、更新が済んでいないホームページは、かえって狙われやすくなります。
今朝から、運用支援先で起きていること
弊社では、複数の企業様のホームページの運用を支援しています。今朝の早い時間から、サーバーによっては、ホームページがエラーで表示されない状態になっているところもあります。
今回のような場合には、避けにくい状況です。弊社では、状況を確認でき次第、支援先の担当者様にすぐ連絡するようにしています。
弊社の対応
運用支援先のホームページについて、昨夜の公開を受けて、状況の確認と、担当者様へのご連絡を優先して進めています。
詳しい内容は、支援先ごとに状況が異なるため、ここでは控えます。気になる点があれば、個別にご相談ください。
今回の件で見えたこと：ホームページの運用は「会社の連絡網」で守られている
今回のような脆弱性は、ホームページの持ち主が自分で気づくのが難しい問題です。実際には、ホームページを作った会社や、サーバー会社の対応状況によって、結果が変わります。
だからこそ、「誰が、いつ、何を確認するのか」を、あらかじめ決めておくことが大切です。弊社の運用支援では、この連絡の流れを最初に整えています。
ホームページの持ち主が、今日確認する3つのこと
- ホームページを管理している会社を確認する。ホームページを作った会社か、サーバーの契約先です。
- その会社に、PHPの今回の修正が済んでいるかを聞く。聞き方の文面と、画面つきの手順は、みかわAI学校の解説記事にまとめています（会員登録なしで読めます）。
- 返事がない、分からない場合は、一時的に停止することも考える。国も、適用が難しい場合の選択肢として挙げています。
WordPressかどうかを調べる方法や、会社に送れる文面は、みかわAI学校の解説記事で、画面つきで紹介しています。
これからのホームページづくりで考えたいこと
ここ最近、これからホームページを作るなら、WordPressのような広く使われているツールに頼るだけでなく、別の手段も検討したほうがよいのではないか、という声を聞くようになりました。
今回の件は、まさにその矢先に起きました。弊社でも、ホームページの作り方や運用の手段について、注意して見直していきたいと考えています。
WordPressが悪いということではありません。多くの会社が使っている分、欠陥が見つかったときの影響が広い、という点を、選ぶときに考えておく価値があります。
ホームページの運用について、お困りの方へ
「自社のホームページが影響を受けるのか分からない」「誰に確認すればいいのか分からない」といったご相談も、承っています。状況をお聞きして、確認の進め方からご一緒します。