PHPの脆弱性に社長が今すべきこと｜2026年10月の緊急更新とサイトを止めるときの注意点

ホームページの多くは、PHPというプログラムの上で動いています。WordPress（ワードプレス）で作ったサイトなら、ほぼ確実にPHPを使っています。

そのPHPに、2026年10月、緊急の修正が入りました。PHPの開発チームは「すぐに更新してほしい」と呼びかけています。

ただし、慌ててサイトを止めたり、社員が見よう見まねで設定を変えたりすると、かえって問い合わせが止まるなどの別のトラブルを招きます。

この記事では、技術の細かい話は最小限にして、「社長は何を決め、誰に何を頼めばよいか」に絞って説明します。

何が起きたのか：2026年10月のPHP緊急更新

PHPの公式サイトは、2026年10月20日に「重大なセキュリティ修正を翌日に公開する」と予告し、10月21日に修正版を公開しました。日本時間では21日の夜です。

見つかった欠陥は2件です。どちらも、ログインしていない第三者が細工した通信を送るだけで、サーバー上で好きなプログラムを動かせる恐れがあるものです。専門用語では「リモートコード実行」と呼ばれ、最も深刻な種類の欠陥です。

深刻度を示す点数（CVSS）は、10点満点で9.2とされています。番号はCVE-2026-109618とCVE-2026-109619です。

「起こりうること」は、この種の欠陥が悪用された場合に一般的に考えられる被害です。今回の欠陥による被害が実際に起きているかどうかは、この記事の執筆時点（10月22日）では公式に示されていません。

修正されたバージョン

PHPには「8.3」「8.4」のような系列があり、系列ごとに修正版が出ています。自社のサイトがどの系列を使っているかで、確認すべき番号が変わります。

小さな会社のサイトも狙われる理由

「うちのような小さな会社のサイトを、わざわざ狙う人はいない」と考える方は少なくありません。しかし、この種の攻撃は人が1社ずつ選んで行うものではなく、プログラムがインターネット上のサイトを片っ端から調べ、欠陥が残っているところを自動で見つけて行います。

乗っ取られたサイトは、迷惑メールの送信元や、ほかのサイトを攻撃するための踏み台に使われることがあります。そうなると、自社が被害者であると同時に、取引先やお客様に迷惑をかける側にもなってしまいます。

修正版が公開された直後は、欠陥の内容が広く知られるため、攻撃が増えやすい時期です。だからこそ、早めに自社の状況を確かめておくことに意味があります。

社長が今すぐやること：確かめるのは3つだけ

最初にやるべきことは、作業ではなく確認です。次の3つが分かれば、自社が「待てばよい」のか「頼むべき」なのか「急ぐべき」なのかが決まります。

• ① サーバーの種類：さくらインターネットやロリポップ、エックスサーバーのような共用レンタルサーバーか、VPS（自社専用の仮想サーバー）やクラウド、社内に置いたサーバーか。
• ② 管理している人：社内の担当者か、サイトを作った制作会社や保守会社か。契約書や毎月の請求書を見ると分かることが多いです。
• ③ PHPのバージョン：サーバーの管理画面の「PHP設定」などの画面で確認できます。WordPressの管理画面の「ツール → サイトヘルス」でも見られます。

社長ご自身が管理画面を開く必要はありません。担当者か制作会社に「この3つを教えてほしい」と頼めば十分です。記事の後半に、そのまま渡せるチェックリストを用意しました。

ケース別：自社はどう動けばよいか

3つの確認結果をもとに、対応を4つのケースに分けました。自社に近い行を見てください。

参考までに、当社が10月22日に確認した範囲では、さくらのレンタルサーバでは修正版の8.3.36と8.2.35がすでに入っていました。ほかのサーバー会社の状況は、それぞれの公式のお知らせで確かめてください。

制作会社と連絡が取れずに困っている場合は、制作会社と連絡が取れないときの対処で、サーバーやドメインを取り戻す手順を説明しています。社内のWeb担当者が辞めて分からなくなった場合は、Web担当者が辞めたときに社長がやることも参考にしてください。

作業のためにサイトを止めるときの注意点

PHPの切り替えやWordPressの更新では、念のためサイトを一時的に止めることがあります。止め方を間違えると、検索順位やお客様からの問い合わせに影響が出ます。次の6点を守ってください。

1. 「消す」のではなく「メンテナンス中」と表示する

サイトのファイルを削除したり、サーバーを解約したりして止めるのは厳禁です。検索エンジンには「ページがなくなった」と伝わり、順位が大きく下がる原因になります。

正しくは、「ただいまメンテナンス中です」という画面を出し、検索エンジンには「一時的に止めている」と伝える設定（503という応答）にします。WordPressにはこのためのプラグインがあり、制作会社なら数分で設定できます。

2. 止める時間は短く、時間帯を選ぶ

止める時間は数時間、長くても1日以内を目安にします。数日以上止めると、検索エンジンが「このサイトは使われていない」と判断する恐れがあります。お問い合わせが少ない夜間や休日の朝など、自社のお客様の動きに合わせて時間帯を決めてください。

3. メールまで止めない

ホームページと会社のメールが同じサーバーに入っていることがよくあります。サイトを止めるつもりでサーバーごと止めたり、設定を変えたりすると、取引先からのメールが届かなくなります。作業は「ホームページの部分だけ」であることを、作業する人に必ず確認してください。メールとサーバーの関係はサーバー移行の費用と注意点でも説明しています。

4. 問い合わせ・予約の窓口を先に知らせる

止めている間は、問い合わせフォームや予約フォームも使えません。メンテナンス画面に電話番号と再開予定の時刻を書き、必要ならSNSやGoogleビジネスプロフィール（Googleマップに出る会社情報）でもお知らせします。

5. 止める前にバックアップを取る

作業前に、サイトのファイルとデータベース（記事やお問い合わせの記録が入っている部分）の両方を保存します。多くのレンタルサーバーには自動バックアップの機能がありますが、保存されている日付と、戻し方を事前に確認しておくと安心です。

6. 再開したら、決めた項目を必ず確かめる

再開後は、トップページ、主要なサービスページ、問い合わせフォームの送信、スマホでの表示の4つを最低限確かめます。特に問い合わせフォームは、見た目は正常でも送信できなくなっていることがあるので、実際にテスト送信して届くかを確認してください。

自分で作業するリスク

PHPの切り替えは、レンタルサーバーの管理画面で数回クリックするだけでできてしまいます。手軽な分、次のようなリスクがあることを知っておいてください。

特に注意したいのは、WordPressを何年も更新していないサイトです。たとえばWordPress 5.x（2020〜2021年ごろの版）のまま使っているサイトで、PHPだけを7.4から8.3に上げると、高い確率で何らかの不具合が出ます。

また、ネット上には今回の欠陥への「設定による一時しのぎ」も紹介されていますが、PHPの公式は「設定変更では安全にならない、更新だけが完全な対策」としています。専門家でない方が、こうした設定を本番のサーバーで変えるのはおすすめしません。

自社でやってよいこと・任せたほうがよいこと

万一、作業のあとにサイトが書き換えられている、見知らぬページが増えているなどの異変に気づいたら、ホームページが改ざんされたときの対処の手順で、まず被害を広げないことを優先してください。

費用と時間の目安

対応にかかる費用は、サイトの古さでほぼ決まります。次の表は、地方の中小企業のWordPressサイトを想定した一般的な目安です。実際の金額は、サイトの作りや依頼先によって変わります。

保守契約を結んでいる制作会社があれば、まずは契約の範囲で対応してもらえるかを確認しましょう。今回のような緊急の更新は、保守契約に含まれていることも多くあります。

やってはいけないこと

• 不安だからといって、サイトのファイルを消したり、サーバーを解約したりする。
• バックアップを取らずに、本番のサイトでいきなりPHPを切り替える。
• ネットで見つけた設定を、意味が分からないまま本番のサーバーに書き込む。
• 「うちは小さい会社だから狙われない」と判断して放置する。この種の攻撃は、会社の規模に関係なく機械的に行われます。
• 作業の内容と日時を記録しない。不具合が出たときに原因を追えなくなります。

次に同じことが起きたときのために

PHPやWordPressの緊急更新は、今回が最後ではありません。年に数回は、同じような知らせが出ると考えておくのが現実的です。次のときに慌てないよう、普段から次の4つを整えておくと安心です。

この4つがそろっていれば、今回のような知らせが出ても、担当者か制作会社に連絡を1本入れるだけで対応が進みます。社長が技術を覚える必要はなく、「誰に聞けば分かるか」を決めておくことが一番の備えになります。

担当者・制作会社に渡すチェックリスト

次のリストを、そのまま担当者や制作会社に渡してください。答えが返ってきたら、上の「ケース別」の表で次の動きを決められます。

よくある質問

Q. レンタルサーバーを使っていれば、何もしなくて大丈夫ですか。

多くの共用レンタルサーバーでは、PHP本体の更新はサーバー会社が行います。ただし、管理画面で選んでいるPHPのバージョンが8.1以前の古いものだと、修正が十分に届かない恐れがあります。サーバー会社のお知らせと、自社で選んでいるバージョンの2つを確認してください。

Q. 自社のサイトがPHPを使っているか、どうやって分かりますか。

WordPress（ワードプレス）で作ったサイトは、ほぼ確実にPHPで動いています。それ以外は、サイトを作った制作会社か、サーバーの管理画面で確認できます。担当者がいない場合は、契約しているサーバー会社のサポートに聞くのが確実です。

Q. PHPを新しいバージョンに切り替えると、サイトが壊れることはありますか。

あります。特に、WordPress本体やテーマ、プラグインが何年も更新されていないサイトは、切り替えた直後に画面が真っ白になったり、表示が崩れたりすることがあります。多くのサーバーでは元のバージョンに戻せますが、必ずバックアップを取ってから作業してください。

Q. 作業のためにサイトを止めると、検索順位は下がりますか。

数時間〜1日程度の停止で、正しく「メンテナンス中」と伝える設定（503という応答）にしていれば、影響は小さいとされています。数日以上止める、ページを消して「見つからない」状態にする、といった止め方は順位に響く恐れがあるので避けてください。

Q. 費用はどのくらいかかりますか。

確認だけなら社内で30分ほど、費用はかかりません。PHPの切り替えだけを外注する場合は1〜3万円、WordPress本体やテーマの更新も含めると3〜10万円が目安です。何年も放置した古いサイトは、テーマの作り直しが必要になり10〜30万円以上かかることもあります。

Q. 社員に作業してもらっても大丈夫ですか。

バージョンの確認や、サーバー会社のお知らせを読む作業は社内で十分です。一方、本番サイトでのPHPの切り替えやWordPressの更新は、バックアップと元に戻す手順を分かっている人に任せてください。慣れない人が本番で直接作業すると、復旧に時間と費用がかかることがあります。

まとめ：社長が今週やること

今回のPHPの欠陥は深刻ですが、多くの共用レンタルサーバーでは、サーバー会社がすでに修正版に更新しています。大切なのは、慌てて作業することではなく、自社の状況を確かめて、必要な人に正しく頼むことです。

1. 今日：担当者か制作会社に、チェックリストを渡して確認を頼む。
2. 今週中：結果を「ケース別」の表に当てはめ、待つ・頼む・急ぐを決める。
3. 切り替えが必要なら：バックアップ、止める時間、再開後の確認項目を決めてから作業してもらう。
4. 年内：PHP 8.2以前を使っているなら、8.3以上への切り替えを計画に入れる。

自社だけでは判断がつかない、管理している人が分からないという場合は、お気軽にご相談ください。サイトの現状を一緒に確かめ、必要な作業と費用の目安を整理します。サイトの基本的な状態は、SEO無料診断でも確認できます。

出典

• PHP公式ニュース（2026年10月20日：重大なセキュリティ修正の予告）
• PHP公式ニュース（2026年10月21日：セキュリティ勧告と各系列の修正版）
• GitHub Security Advisory GHSA-w8hw-w9fx-j79w（CVE-2026-109618）
• GitHub Security Advisory GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）