【緊急投稿】PHPに「サーバー乗っ取り」級の重大な穴｜WordPressのサイトも要注意、今日やることを分かりやすく

今日(2026年10月21日)、ITの世界で、大きなニュースが流れました。

世界中のホームページの裏側で動いている「PHP(ピーエイチピー)」というプログラムに、重大な欠陥が2件見つかったのです。

銀行などの一部サービスが、予防のために止まりました。首相も、対応が難しいなら、サイトを一時的に止めるのも有効な手段の一つだと、Xに投稿したと報じられています。

「PHPなんて、聞いたことない」という方も、多いと思います。でも、これは、ITシステムを使っているすべての方に関わる話です。難しい言葉は、できるだけ、たとえ話で説明します。ぜひ、最後まで読んでください。

(2026年10月21日時点の情報です。状況は、今後、変わる可能性があります)

まず、いちばん大事なこと

先に、結論を書きます。

• あなたの会社や、あなたのサイトが、PHPで動いていないか、今日、確認してください

• 動いているなら、**修正版への更新(アップデート)**が必要です。これ以外に、確実な対策はありません

• 自分では分からない、という場合は、システムの担当者や、委託先に、今日中に聞いてください

PHPって、何？

PHPは、ホームページの裏側で動いている、プログラムの言語です。

たとえるなら、レストランの厨房にいる料理人です。

お客さんが、注文(ホームページでの操作)をします。すると、厨房の料理人が、その注文を受けて、料理(表示される画面)を作って出してくれます。

ホームページを見ているだけでは、PHPの存在は、まったく見えません。でも、あなたが使っている、問い合わせフォーム、会員サイト、ネットショップ、ブログの裏側に、PHPがいる可能性は、とても高いです。

ある調査によると、世界のホームページの約7割が、PHPを使っているそうです。ブログソフトのWordPress(ワードプレス)も、PHPで動いています。

何が起きたの？

PHPの開発チームが、「重大な脆弱性(ぜいじゃくせい)が2件見つかった」と発表しました。脆弱性とは、プログラムの弱点、つまり欠陥のことです。

この2件は、通称「php2shell(ピーエイチピー・ツー・シェル)」と呼ばれています。深刻度は、10点満点で9.2点。いちばん危険なランクです。

そして、日本でも、IPA(情報処理推進機構)や、国のサイバー対策の部署が、速やかな対応を呼びかけました。

どのくらい危ないの？

たとえ話で説明します。

さきほどの、レストランの厨房を思い出してください。

今回の欠陥は、厨房の勝手口に、鍵のかからない場所が見つかったようなものです。しかも、その勝手口から、悪い人が「この料理を作れ」と、勝手に指示を出せてしまうのです。

悪い人の指示を、料理人は、疑わずに実行してしまいます。つまり、サイトが、乗っ取られる恐れがあるということです。

しかも、報じられている内容では、次の特徴があります。

• ログインしていない人でも、攻撃できる(IDとパスワードが要りません)

• 1回のアクセスで、攻撃が成立する可能性がある

• ホームページ側の工夫(プラグインの更新など)では、防げない

「うちは、小さなサイトだから、狙われない」と思うかもしれません。でも、攻撃者は、1つひとつのサイトを見て狙うのではなく、機械的に、世界中のサイトを順番に試すことが多いのです。大きいか、小さいかは、関係ありません。

100万台を超える公開中のサーバーが、対象になり得る、という推計もあります。

もう、攻撃は始まっているの？

情報が、分かれています。

• IPAの、事前の注意喚起には、「悪用は確認していない」と書かれていました

• 一方で、大手のセキュリティ会社は、実際の攻撃を観測したと発表しています

どちらも本当です。調べた人と、調べた時点が違います。ただ、攻撃用の道具(プログラム)が、すでに出回っているとも報じられています。ですから、「まだ大丈夫」と考えるのは、危険です。

なお、出回っている攻撃用のプログラムは、絶対に試さないでください。本物とは限らず、ウイルスが仕込まれている恐れがあります。

何をすればいいの？

1. PHPが使われているか、確認する

ホームページを管理している人に、聞いてください。「うちのシステムは、PHPで動いていますか？ バージョンはいくつですか？」と。

WordPressの場合は、管理画面の「ツール」の中の「サイトヘルス」で、PHPのバージョンを見られます。

2. 修正版に更新する

修正版は、次のとおりです。

• PHP 8.5 系 → 8.5.12

• PHP 8.4 系 → 8.4.27

• PHP 8.3 系 → 8.3.36

• PHP 8.2 系 → 8.2.35

レンタルサーバーを使っている場合は、サーバー会社が更新を進めていることがあります。お知らせを、確認してください。

3. バージョンが古い場合は、乗り換える

PHP 8.1以前は、開発チームによる公式の修正が出ません。サポートが終わっているためです。この場合は、サポート中のバージョンに、乗り換える必要があります。

古いシステムは、乗り換えると、動かなくなることがあります。必ず、バックアップをとって、動作を確認しながら進めてください。

4. すぐに更新できないときは

• 外部からのアクセスを、一時的に制限する

• 場合によっては、サイトを、一時的に止める

WAF(ウェブへの攻撃を見張って防ぐ仕組み)も、補助的に役立ちます。ただし、更新の代わりにはなりません。

5. 更新する前の、ようすを確認する

もし、更新の前に攻撃を受けていたら、更新しても、すでに入り込まれている恐れがあります。次のような、不審なことがないか、確認してください。

• 見覚えのないアクセスが、急に増えていないか

• 見覚えのない管理者アカウントが、増えていないか

• 見覚えのないファイルが、置かれていないか

6. 「見落としがちな場所」も確認する

メインのホームページだけでなく、問い合わせフォーム、社内のポータル、機器の管理画面など、PHPで動いている小さなものも、対象です。

「ディストリビューションの更新」にも注意

少し専門的な話です。

サーバーのOS(Linuxなど)の配布元が、古いPHPにも、修正を「後付け」で入れてくれることがあります(バックポートと呼びます)。この場合、表示されるバージョン番号は、古いままです。

「8.1だから、修正されていない」と、決めつけないでください。逆に、「番号が新しいから、安心」とも限りません。OSの配布元や、サーバー会社のお知らせで、修正済みかどうかを、確認してください。

マンチーの場合

マンチーのブログは、エックスサーバーで動いているWordPressです。つまり、PHPで動いています。今回の件は、マンチーのブログも対象です。

さっそく、PHPのバージョンを確認しました。結果は 8.3.35。修正版の8.3.36の、ひとつ手前でした。

ちょうど同じ日に、エックスサーバーから、こんなお知らせが出ていました。「使用しているソフトウェアの脆弱性の修正版が、本日公表される予定のため、予防的に、公式サイトと管理画面を一時停止します」という内容です。不正アクセスがあったためではない、と明記されています。お知らせにPHPとは書かれていないので、同じ件かどうかは、断定できません。ただ、大手のサーバー会社が、管理画面を止めてまで備えているということは、それだけ、重く見ているということだと思います。

管理画面が止まっている間、マンチー側でPHPの切り替えはできません。復旧したら、すぐに、バージョンを見直します。

一方、マンチーが最近AIとAWSで作っているシステムは、PHPではなく、別のプログラム言語で作っています。こちらは、今回の欠陥の対象外です。

ただ、「PHPを使っていないから、安心」とも言い切れません。昔作った古いPHPのシステムが、どこかに残っていないか。止まっているサーバーを、再び動かすとき、更新を忘れないか。そこが、注意点だと思っています。

今回の話から、学べること

前回の記事で、「ふさいだはずの穴は、直しても戻る」と書きました。今回は、その続きのような話です。

自分の作ったプログラムの穴は、自分で直せます。でも、土台になっているPHPのような部品の穴は、自分では直せません。直してくれるのを、待つしかありません。

そして、修正版が出ても、更新するのは、使っている側の仕事です。

クラウドは、「できあがっているもの」ではありません。どこまでを、サービスの会社が守ってくれて、どこからを、自分で守るのか。そこを理解しておくことが、とても大切です。

さらに、攻撃のスピードも、上がっています。AIによって、攻撃の手順を組み立てる難しさが、大きく下がった、という見方も出ています。「そのうち、更新しよう」では、間に合わない時代になりました。

まとめ

• PHPに、重大な欠陥が2件。サイトが乗っ取られる恐れがあります

• 対策は、修正版への更新だけです

• PHPのバージョンが古い場合は、サポート中のバージョンへ乗り換えが必要です

• 自分で分からないときは、担当者や委託先に、今日中に確認してください

• 小さなサイトでも、対象外ではありません

ITシステムを使っているすべての方に、この記事が、届きますように。

(状況は変わります。詳しい情報は、PHP開発チームやIPAなどの公式の発表を、必ずご確認ください)

＜おすすめ記事①＞
更新したあとも、まだ終わりではない。これから起きると予想されることと、今から備える5つのことを知りたい方はこちら。

＜おすすめ記事②＞
ふさいだはずの穴は、なぜ直しても戻るのか。AIは攻撃の道具か、守りの味方かを考えたい方はこちら。

＜おすすめ記事③＞
「レベルは中だから、あとで直す」が国のシステムに穴をあけた。発注する側に必要なITの見識を考えたい方はこちら。

#PHP #php2shell #脆弱性 #WordPress #リモートコード実行 #セキュリティニュース #セキュリティ対策 #サイバー攻撃 #乗っ取り #munchie