緊急セキュリティ解説

2026年10月21日、PHP開発チームより認証不要で任意のコードを実行される恐れがある2件の重大な脆弱性(リモートコード実行：RCE)に関するセキュリティアドバイザリが公開されました。WordPressなどのCMSを運用している企業は、至急サーバー環境の確認とアップデートが推奨されています。

「うちのホームページは特に更新していないから、セキュリティ対策も後回しで大丈夫」「サーバーやPHPのバージョンアップなんて、エラーが出たら考えればいい」もしこれまでにそう考えていたなら、今すぐその認識を改めなければならない緊急事態が発生しました。各種メディアはもちろんのこと、警視庁や高市総理のXからも注意喚起が発信されるまで重大な事態になっています。2026年10月21日、世界のWebサイトの多くを支えるプログラミング言語「PHP」において、極めて危険度の高い脆弱性(CVE-2026-109618 / CVE-2026-109619)が発表され、修正版へのアップデートが強く呼びかけられています。

今回は番外編として、この最新のPHP脆弱性の内容と、なぜ企業のWebサイトにおいて「PHP脆弱性対応」「PHPバージョンアップ対応」を含めたサーバー保守・ホームページ保守が不可欠なのかを解説します。

1. 2026年10月21日発表：PHPの重大な脆弱性(RCE)とは？

今回のセキュリティ発表(Security advisory: Critical remote code execution vulnerabilities)は、共通脆弱性評価システム(CVSS v4.0)において「9.2」という極めて高い深刻度スコアが付けられた緊急性の高いものです。

脆弱性のポイント

遠隔から攻撃者が乗っ取り可能（RCE：リモートコード実行）

Webサイトのログイン権限を持たない第三者(未認証の攻撃者)であっても、外部から不正なリクエストを送り込むだけで、サーバー上で任意の不正プログラムを実行できる恐れがあります。

広範なサーバー環境に影響

PHP-FPM、Apache(mod_php)LiteSpeedなど、Webリクエストを処理しているほぼすべてのPHP実行環境が対象です。特にApache環境などでは、WordPressなどのアプリケーションが起動する前に攻撃が成立してしまうケースが実証されています。

修正バージョン

公式からは直ちに PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 への即時アップデートが強く推奨されています。

また、すでに公式サポートが終了(EOL)している PHP 8.1以下の古いバージョン を使い続けているサーバーは、自動で安全な状態にはならず、サイバー攻撃者にとって「格好の標的」となってしまいます。

2. なぜPHPのバージョンアップを放置してしまう企業が多いのか？

これほど危険な脆弱性が発表されても、多くの企業でPHPバージョンアップ対応が進まないのには、現場ならではの4つの理由があります。

① PHPを上げるとサイトが壊れるという恐怖

PHPのバージョンを安易に切り替えると、古いWordPressのテーマやプラグインが互換性を失い、「画面が真っ白になる」「レイアウトが崩れる」「問い合わせフォームが送信できなくなる」といった不具合が発生することがあります。社内に技術者がいないと、怖くて触れません。

① バージョンアップの重要性を理解しておらず予算を立てていない

初期開発までの予算は立ててはいるものの、保守費用の予算を見ていないため、開発会社から保守契約の提案をするものの、費用の負担が大きく感じてしまい、保守契約をしないまま運用しているケースがあります。

② レンタルサーバー任せで自社のバージョンを把握していない

サーバー会社が勝手に最新にしてくれているだろうという思い込みです。実際には、既存サイトの動作停止を防ぐため、多くのレンタルサーバーではユーザーが手動で設定しない限り、古いPHPバージョンのまま据え置きになっています。サーバーの保守とコンテンツの保守は別物であるという認識も薄いことが多いです。

③ 保守会社がシステムアップデートに対応してくれない

制作会社と月額契約を結んでいても、テキスト修正や画像差し替えしか含まれておらず、サーバー設定やPHPバージョンアップなどのインフラ保守は対象外(別見積もり)と断られてしまうケースが多いためです。サーバーとコンテンツ開発は非常に関係性の深い業務ではありますが、実際のサービス提供は別々になりますので、契約内容の確認も重要になります。

3. 放置するとどうなる？企業が受ける致命的な被害

PHPの脆弱性を突かれた場合、被害は自社サイトが見られなくなるだけでは済みません。

ホームページの改ざん・踏み台化

不正なスクリプトを埋め込まれ、アクセスした顧客を詐欺サイトへ強制転送させたり、マルウェアに感染させたりして、貴社が加害者になってしまいます。

機密情報・個人情報の漏洩

データベースにアクセスされ、お問い合わせ履歴やお客さま情報が流出。損害賠償や企業の信用失墜につながります。

Googleからのペナルティ

検索エンジンに悪意あるサイトと判定され、検索結果から完全に抹消(非表示)されます。

4. 脆弱性からサイトを守る正しいPHPバージョンアップ対応の手順

PHPのアップデートを安全に行うには、以下のステップを踏むのが鉄則です。

テスト環境（ステージング環境）での動作検証

本番サイトをいきなり更新せず、複製したテスト環境でPHPのバージョンを上げ、テーマやプラグインにエラーが出ないか検証します。

互換性のないコードの改修

新しいPHP仕様で廃止された記述(非推奨関数など)があれば、エンジニアがコードを最新の規格へ書き換えます。

バックアップ取得と本番適用

万が一に備えて完全なバックアップを確保した上で、アクセスが少ない時間帯に本番サーバーのPHPバージョンを切り替えます。

専門知識を持たない担当者が自力で行うにはリスクが大きすぎるため、コードが読めるWeb運用のプロに任せるのが最も安全で確実です。

PHP脆弱性対応・サーバー保守も丸投げ。「HP修正任せ太郎」

「今回のPHP脆弱性のニュースを見て、自社サイトが大丈夫か急に不安になった」「PHPのバージョンアップをしたいけれど、画面が壊れそうで手が出せない」「今の制作会社がサーバーやセキュリティの相談に乗ってくれない」そんな企業様は、ぜひ当社にご相談ください！私たちは、日々のテキスト修正やバナー差し替えだけでなく、企業の生命線であるサーバー保守・システム保守・PHP脆弱性対応まで一括でサポートします。

PHPバージョンアップ対応・事前検証

貴社サイトのテーマやプラグインの互換性をプロのエンジニアが診断し、画面崩れを起こさずに安全に最新環境へアップデートします。

緊急セキュリティ脆弱性への迅速な対応

今回のような世界的な脆弱性が公開された際も、先回りして状況を把握し、必要なパッチ適用や緩和策をご提案・実施します。

サーバー・ドメインからサイト修正まで定額丸投げ

インフラの守りから日々のWebサイト改善まで、窓口ひとつでスピーディーに解決します。

Webサイトは作って終わりではありません。悪質なサイバー攻撃から会社の信頼と顧客を守るために、まずは貴社のPHPバージョンが安全かどうか、私たちに無料診断させてみませんか？

PHP脆弱性診断・バージョンアップのご相談はこちら