2026年10月21日の夜、いつものように会社のホームページを開こうとしたら「メンテナンス中」の表示が出ていた。
レンタルサーバーの管理画面にもログインできない。
そんな経験をした方も多いのではないでしょうか。

原因は、Webサイトを動かすプログラミング言語「PHP」に見つかった重大な脆弱性です。
銀行や鉄道会社、自治体、人気ゲームまでサービスを止め、総理大臣がSNSで呼びかける異例の事態になりました。

ニュースを見て「うちのホームページは大丈夫なの？」と不安になった方もいると思います。
結論からお伝えすると、大手の共用レンタルサーバーを使っているなら、サーバー側の対応はほぼ完了しています。
ただ、それで終わりにしてしまうと、次に同じことが起きたときに困ることになります。

この記事では、ホームページ制作会社の立場から、今回何が起きたのか、レンタルサーバー各社がどう対応したのか、そしてホームページの担当者が今確認しておくべきことを整理しました。
※本記事は2026年10月26日時点の情報をもとにしています。最新情報は各レンタルサーバー会社の公式ページをご確認くだいさい。

2026年10月のPHP脆弱性とは？何が起きたのかを整理

PHPは、Webサイトを動かすためのプログラミング言語です。
お問い合わせフォームやブログの更新機能など、ホームページの「動く部分」の多くはPHPで作られています。
世界でもっとも使われているホームページ作成ツールのWordPressも、PHPで動いています。

そのPHP本体に、深刻な脆弱性が2件見つかりました。
脆弱性とは、要するにプログラムの「欠陥」や「すき間」のことです。悪用されると、外部から不正な操作をされるおそれがあります。

今回の脆弱性の概要

セキュリティ企業のWizは、WordPressなどの環境で、ログインなしにサーバーを操作できることを検証で示したと公表しています。
「うちはWordPressだから関係ない」ではなく、むしろWordPressのサイトこそ他人事ではない、ということです。

10月20日から22日までの流れ

セキュリティ情報をまとめているブログ「piyolog」の集計では、10月21日から22日にかけて、確認できただけで246の組織がサービスやサイトを止めています。
国の機関、自治体、銀行、鉄道、電力会社、ECサイト、ゲーム、そしてレンタルサーバー会社自身まで含まれており、まさに「世間を揺るがした」規模でした。

よくある誤解：「9.2」はどれくらい危険なのか

CVSSとは、脆弱性の深刻度を0から10で表す世界共通の物差しです。
9.0以上は「緊急」という最も危険な区分にあたります。

今回スコアが高くなったのは、条件の悪さがそろっていたからです。
インターネット経由で攻撃でき、ログインも不要で、利用者が何か操作する必要もない。
家にたとえると、鍵を持っていない人が外から合図を送るだけで家に入れて、中で何でもできてしまう状態です。

ただし、ここは冷静に見ておきたいポイントです。
CVSSは「脆弱性そのものの危険度」であって、「あなたのサイトが実際に乗っ取られる確率」ではありません。
評価する機関によっても数字は変わり、アメリカのNVDは9.8、Red Hatは8.1と評価しています。

結局、どれくらい危なかったのか

「総理大臣まで出てきたのに、結局大きな被害は聞かない。騒ぎすぎだったのでは？」
そう感じた方もいると思います。実際のところは、「騒ぎすぎ」と「騒いだから被害が抑えられた」の両方が混ざっている、というのが近いです。

大規模な被害は今のところ確認されていない

オランダの国家サイバーセキュリティセンター（NCSC-NL）は10月23日の時点で、攻撃が実際に成功したことは確認できていないとしています。
攻撃を成功させるには環境ごとの細かい条件が必要で、「誰でもどこでも簡単に」とはいかなかったことが分かってきました。

それでも騒ぎには理由があった

大騒ぎになった10月21日の時点では、詳細が分からないまま「最悪クラスの脆弱性の情報が漏れた」状態でした。
分からない段階で最悪を想定し、サービスを止めて備えた判断は、むしろ妥当だったと思います。

攻撃する側も本気で動いていました。
Cloudflareの経営陣は、同社のネットワークで観測した攻撃の試行が、公表後わずかな時間で数百万件規模に膨らんだと発信しています。
乗っ取りまで至らなくても、サーバーのメモリからパスワードなどの機密情報を読み出せる可能性も示されています。

ここが一番伝えたいポイントです。
危険が小さかったのではなく、サーバー会社の対応が速かったから被害が抑えられた。
逆に言えば、修正されていない古いサーバーや放置されたサイトは、これからも狙われ続けます。

主なレンタルサーバー各社の対応状況

共用レンタルサーバーの場合、PHPはサーバー会社が管理しています。
今回は各社が夜通しで対応にあたり、10月22日から23日にかけて修正の適用を完了しています。

ざっくり言うと、大手の共用レンタルサーバーはサーバー会社側でほぼ対応済みで、利用者の作業は原則不要です。
一方で、専用サーバーやVPS（仮想専用サーバー、つまりサーバーの管理を自社で行うタイプの契約）を使っている場合や、修正のない古いPHPを使っている場合は、利用者側の対応が必要になります。

共用レンタルサーバー利用者が今やるべきこと

ステップ1：サーバー会社のお知らせを確認する

まずは、自社が契約しているサーバー会社の公式サイトや管理画面のお知らせを見てください。
「対応完了」と書かれていれば、サーバー側の修正は済んでいます。

どのサーバー会社と契約しているか分からない場合もあると思います。
ホームページを制作会社に作ってもらった企業では、意外とよくあることです。その場合は、制作会社や保守会社に確認しましょう。

ステップ2：PHPのバージョン表示が変わっていなくても慌てない

管理画面でPHPのバージョンを確認したら、修正版の番号になっていなかった。
それでも、すぐに「未対応だ」と判断する必要はありません。

ConoHa WINGやmixhostのように、表示上のバージョン番号は変えずに、中身だけ修正を当てている会社があります。
番号よりも、サーバー会社のお知らせで「対応済み」かどうかを確認するのが確実です。

ステップ3：WordPress本体・テーマ・プラグインを最新にする

今回の脆弱性はPHP本体の問題なので、WordPressを更新すれば防げるわけではありません。
ただ、この機会にWordPressまわりも最新にしておくことをおすすめします。

理由は、このあと説明するPHPのバージョンアップに備えるためです。
WordPressやプラグインが古いままだと、新しいPHPに対応していないことが多く、切り替えの妨げになります。
更新の前には、必ずバックアップを取っておいてください。

ステップ4：サイトに異変がないか確認する

JPCERT/CCは、対策とあわせて攻撃を受けていないかの確認も呼びかけています。
本格的な調査はサーバーの記録（ログ）を見る専門的な作業になりますが、担当者でも気づけるサインはあります。

• 見覚えのないページやファイルが増えていないか
• サイトにアクセスすると、知らないサイトへ勝手に移動しないか
• WordPressの管理画面に、見覚えのないユーザーが追加されていないか
• Googleの検索結果に、自社と関係のない文字が表示されていないか

ひとつでも当てはまる場合は、自分で直そうとせず、早めに制作会社や保守会社へ相談してください。

本当の課題は「古いPHP」を使い続けていること

今回、多くのサーバー会社は古いバージョンのPHPにも独自に修正を当ててくれました。
でも、ここが一番の盲点です。毎回そうしてもらえる保証はありません。

PHPには、開発元が修正を提供してくれる「サポート期間」があります。
今回、公式の修正版が出たのは8.2から8.5だけでした。
8.1以前はすでに公式のサポートが終わっており、今回は深刻さを考慮して、最小限の修正が例外的に用意された形です。

しかも、8.2のサポートも2026年12月末で終わる予定です。
要するに、8.2以前のPHPで動いているホームページは、次に脆弱性が見つかったとき、修正を受けられない可能性が高いということです。

PHPのバージョンアップは自己判断でやらない

「それなら、管理画面でPHPのバージョンを上げればいいのでは？」と思うかもしれません。
多くのレンタルサーバーでは、ボタンひとつで切り替えられるようになっています。

ただ、ここには落とし穴があります。
古いWordPressのテーマやプラグインは、新しいPHPに対応していないことがあり、切り替えた瞬間にサイトが真っ白になったり、エラーが表示されたりすることがあります。
お問い合わせフォームだけが動かなくなる、といった気づきにくいトラブルも起こります。

ホームページ制作の現場では、事前に動作を確認してから切り替えるのが基本です。
リスクがあるので、自己判断で切り替えず、ホームページを作った制作会社や保守会社など、専門家に相談してください。

今回の騒動から学ぶべきこと

今回の件で改めて見えたのは、ホームページは「作って終わり」ではない、ということです。

PHPやWordPressは、セキュリティの問題が見つかるたびに更新されていきます。
共用レンタルサーバーなら、サーバー部分はサーバー会社が守ってくれます。
でも、WordPressの更新やPHPのバージョンアップのように、サイトの中身にかかわる部分は、運営する側の責任になります。

ぶっちゃけた話、本業が忙しくてホームページの保守まで手が回らない、という企業がほとんどだと思います。
だからこそ、何かあったときにすぐ相談できる相手を決めておくことが、いちばん現実的な備えになります。
ホームページ制作を依頼するときも、作った後の保守や更新をどこまで対応してもらえるかを、事前に確認しておくと安心です。

よくある失敗パターン3選と対策

失敗1：ニュースを見て慌ててPHPのバージョンを上げてしまう

「とにかく新しいバージョンにすれば安全」と考えて、管理画面でPHPを切り替えてしまうケースです。
テーマやプラグインが対応しておらず、サイトが表示されなくなる、といったトラブルにつながります。

共用レンタルサーバーなら、今回の脆弱性はサーバー会社が修正済みです。
慌てて切り替える必要はないので、まずは専門家に相談し、計画的に進めましょう。

失敗2：「サーバー会社が対応したから」と何もしない

今回の件はサーバー会社の対応で落ち着きましたが、それで安心しきってしまうのも危険です。
古いPHPや古いWordPressのまま放置していると、次の脆弱性で同じように守ってもらえるとは限りません。

今回をきっかけに、自社サイトのPHPとWordPressのバージョンを一度確認しておきましょう。

失敗3：ホームページの管理者が誰なのか分からない

サーバーの契約者が前任の担当者のままで、ログイン情報が分からない。
制作会社とは制作後に連絡を取っておらず、誰に聞けばいいか分からない。
いざというときに一番困るのが、このパターンです。

サーバー会社、ログイン情報の保管場所、制作会社や保守会社の連絡先は、社内で共有しておきましょう。

OK例・NG例の比較表

PHP脆弱性に備える実務チェックリスト

• 自社サイトが契約しているサーバー会社を把握している
• サーバー会社のお知らせで、今回の脆弱性への対応が完了していることを確認した
• 管理画面で、自社サイトが使っているPHPのバージョンを確認した
• PHPが8.2以前の場合、バージョンアップについて専門家に相談する予定を立てた
• WordPress本体・テーマ・プラグインが最新になっている
• 更新の前にバックアップを取る仕組みがある
• 見覚えのないページ、勝手な移動、不審なユーザーなどの異変がないか確認した
• サーバーやWordPressのログイン情報を、社内で安全に共有している
• 制作会社や保守会社など、困ったときの相談先が決まっている

まとめ

2026年10月に見つかったPHPの脆弱性は、深刻度9.2の「緊急」に分類され、国内でも数多くの組織がサービスを止める事態になりました。
大規模な被害は今のところ確認されていませんが、それはサーバー会社をはじめ各所の対応が速かったからでもあります。

大手の共用レンタルサーバーを使っている場合、サーバー側の修正はすでに済んでいます。
まずはサーバー会社のお知らせを確認し、WordPressまわりを最新にして、サイトに異変がないかを見ておけば安心です。

そのうえで、本当に向き合うべきなのは古いPHPを使い続けているかどうかです。
8.2のサポートも年内で終わります。PHPのバージョンアップはサイトが表示されなくなるリスクもあるので、自己判断で切り替えず、専門家に相談しながら計画的に進めましょう。

「自社のホームページがどのPHPで動いているか分からない」「制作会社と連絡が取れず、誰に相談すればいいか困っている」という方は、ぜひクイックリーにご相談ください。
当社は大阪を拠点に全国対応で、製造業を中心に200社以上のホームページ制作・Webマーケティング支援を行ってきました。
ホームページの制作やリニューアルはもちろん、公開後の運用まで見すえたご提案をしています。

ホームページ制作サービスはこちら

出典・参考情報

• 【出典】The PHP Group「PHP News Archive 2026」：https://www.php.net/archive/2026.php
• 【出典】IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」：https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
• 【出典】JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」：https://www.jpcert.or.jp/at/2026/at260033.html
• 【出典】JVN「JVNVU#99905564」：https://jvn.jp/vu/JVNVU99905564/index.html
• 【出典】エックスサーバー お知らせ：https://www.xserver.ne.jp/news_detail.php?view_id=19734
• 【出典】さくらインターネット「PHPの脆弱性に関する当社の対応状況について」：https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/
• 【出典】ロリポップ！ お知らせ：https://lolipop.jp/info/news/8239/
• 【出典】お名前.com お知らせ：https://www.onamae.com/news/article/11594
• 【出典】mixhost お知らせ：https://mixhost.jp/news/1974
• 【出典】ColorfulBox お知らせ：https://www.colorfulbox.jp/info/detail/?id=231
• 【出典】カゴヤ・ジャパン お知らせ：https://www.kagoya.jp/news/2026102337094/
• 【参考】piyolog「PHPの2件の深刻な脆弱性（CVE-2026-109618、CVE-2026-109619）についてまとめてみた」：https://piyolog.hatenadiary.jp/entry/2026/10/21/174516