2026年10月21日の夜、「PHP（ピーエイチピー）」というプログラムに、2件の重大な欠陥が見つかったことが公表されました。
ホームページやネットショップを持っている方、お店や会社、団体のサイトを管理している方に向けて、何が起きているのか、今日なにをすればいいのかを、専門用語をなるべく使わずにまとめます。
何が起きたのか
PHPは、ホームページを動かすために広く使われているプログラムです。家にたとえると、たくさんの家で共通して使われている「基礎の工法」のようなものです。
そのPHPに、2件の欠陥が見つかりました。危険度は10点満点で9.2。最も深刻な「緊急」に分類されます。
何が怖いかというと、ログインしていない第三者が、外からサイトを操作できてしまう種類の欠陥だという点です。サイトを書き換えられる、保存している情報を抜かれる、他所を攻撃する踏み台にされる、といったことが起こりえます。
セキュリティ企業のWizは、最新のWordPress、Drupal、Joomlaで、ログインなしに外部から操作できることを実際に確かめたと報告しています。
修正版は10月21日の深夜に公開されました。そして10月22日にかけて、官公庁や企業のサイトで閲覧停止や一部サービスの停止が相次いでいます。セキュリティ研究者のpiyokango氏の集計では、10月22日未明までに211の組織がサービスの停止や緊急メンテナンスを告知しました。
首相がXで呼びかけるのは、異例のことです
10月21日の午後10時前、高市早苗首相が自身のXで対応を呼びかけました。
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
— 高市早苗（@takaichi_sanae）2026年10月21日
一国の首相が、個別のソフトウェアの欠陥についてSNSで直接対応を呼びかけるのは異例です。ITmediaの記事では、技術者から「経営層に伝わる」と評価する声が出ていると報じられています。
堀江貴文氏も緊急で解説しています
同じ21日の夜、堀江貴文氏がYouTubeで緊急の解説を公開しました。公開からおよそ1日で、再生回数は100万回を超えています（2026年10月22日時点で約107万回）。それだけ多くの人が、自分に関係のある話として見にきたということです。
サイトを管理している人に向けては「パッチがリリースされたら、速やかにご自分の管理されているPHPのサーバーに適用するようにしてください」と述べています。
そのうえで、サイトを持っていない一般の利用者に向けて、別の対策を挙げている点が参考になります。
二段階認証システムだったり、パスキーシステムだったり、こういったものを少なくともやってください
証券会社や銀行口座、ポイント、暗号資産などのアカウントについて、今すぐ設定してほしいという趣旨です。どこかのサイトから情報が漏れたとしても、2段階認証があれば、それだけでは入られにくくなります。
あなたのサイトは対象ですか
後者にあてはまる場合でも、更新を行うのは運営会社なので、念のためお知らせを確認しておくと安心です。
今日やること
契約しているレンタルサーバー会社を確認する
主要なレンタルサーバー会社は、今回の件について告知を出しています。すでに会社側で更新を済ませている場合もあります。まずは契約先のお知らせページと、届いているメールを確認してください。
制作会社や管理をお願いしている人に連絡する
自分で判断できない場合は、ここが最短です。「PHPの緊急アップデート、対応してもらえますか」の一言で伝わります。遠慮する場面ではありません。
すぐに対応できないなら、一時停止も選択肢にする
首相の投稿にもあったとおり、パッチをすぐ当てられない場合、サイトを一時的に止めることはリスクを下げる手段のひとつです。IPAも、有効な暫定対策が難しい場合は外部からのアクセス遮断やサービスの一時停止の要否を判断するよう求めています。
アカウントの2段階認証を設定する
ここまでの1〜3はサイトを管理している人の作業ですが、これは別の話です。2段階認証を設定しても、サーバーのPHPが直るわけではありません。どこかのサイトから情報が漏れたときに、自分のアカウントに入られにくくするための備えです。
サイトを持っていない方も含めて、やっておく価値があります。とくに金銭に関わるサービスから先に設定してください。
設定を変えるだけでは、防ぎきれません
「この設定を切れば大丈夫」という情報が出回っていますが、そうではありません。
GMO Flatt Securityは、公式が挙げる緩和策を紹介したうえで、「これらの設定変更による脆弱性の完全な回避はできません」「あくまで一時しのぎと考えてください。根本的にはパッチが必要です」と明記しています。
修正版は次のとおりです。これより古いものは対象になります。
| PHPのバージョン | 修正版 |
|---|---|
| 8.5系 | 8.5.12 |
| 8.4系 | 8.4.27 |
| 8.3系 | 8.3.36 |
| 8.2系 | 8.2.35 |
8.1以前はすでにサポートが終わっています。セキュリティチームは7.4、8.0、8.1向けに最小限の修正を提供したとされていますが、Flatt Securityは「安全とは判断できません」として、サポート対象のバージョンへの移行を強く勧めています。
なぜ、こんなに広い範囲に影響が出るのか
PHPが、あまりにも多く使われているからです。
単位：% W3Techsの2026年10月時点の集計。PHPは「サーバー側の言語が判明しているサイト」に対する割合
もうひとつ、根の深さがあります。GMO Flatt Securityの調査によると、今回の欠陥が入り込んだ変更は、古いものでPHP 5.2系または5.4系まで遡ると見られています。20年近く前に書かれた部分が、いまも世界中のサイトで動いていたということです。
さらにPHP Foundationは、今回の1件につながる問題について、2024年の外部監査で最初の兆候をつかみながら、修正方針を決めきれずに対応が長く止まっていたことを認めたと報じられています。
誰かが手を抜いたという話ではなく、長く使われてきた土台ほど、直すのが難しいという構造の問題です。
今後、サイトの守りを固めるには
今回のような事態は、またいつか起こります。そのときに慌てずに済むよう、選択肢を3つ挙げます。
いまの構成のまま、更新できる体制をつくる
WordPressを使い続けるなら、これが基本です。誰が、どのくらいの早さで更新を当てるのかを、契約の形で決めておきます。保守契約の中身に「緊急時の対応時間」が書かれているかを確認してください。費用はかかりますが、いちばん現実的です。
止まって困る部分と、そうでない部分を分ける
会社案内やサービス紹介のページと、ブログや問い合わせフォームを、同じサーバーに同居させている構成はよくあります。この場合、PHP側に問題が起きると、会社案内まで一緒に止めることになります。
ブログを別のサーバーや別のサブドメインに移しておくだけでも、止める範囲を小さくできます。
動かす部分を減らす
ランディングページや会社案内のように、内容がほとんど変わらないページは、あらかじめHTMLとして書き出しておいて、そのまま配ることができます。この形だと、リクエストのたびに動くプログラムがサーバー上にありません。
当社のサイトで実際に測ると、203ページがあらかじめ生成済みで、動いているのは問い合わせの送信口だけです。今回のような件が起きても、更新すべきPHPがそもそも存在しません。
選択肢3がいつでも正解、という話ではありません。複数の担当者が毎日のように更新するサイトでは、WordPressのほうが向いています。一方で、年に数回しか直さないランディングページのために、常時動くプログラムを抱える必要はあるのか。今回はそれを考え直す機会だと思います。
ご相談について
当社は台北を拠点に、ランディングページとウェブサイトの制作をしています。上の選択肢3にあたる、静的な形での制作が得意です。
制作の内容と進め方は、次世代LP制作サービスにまとめています。訪日インバウンド向けの事例を中心に載せていますが、制作の考え方は業種を問いません。いまのサイトがどの構成なのか分からない、という段階でも構いません。
なお、緊急の対応が必要な状況であれば、まずは現在契約されているサーバー会社と制作会社にご連絡いただくのが最短です。
まとめ
- PHPに危険度9.2の欠陥が2件見つかり、10月21日深夜に修正版が公開された
- ログインなしで外部から操作されうるもので、国内211組織がサイトやサービスを止めた
- 欠陥があるのはWordPressではなくPHP。ただしWordPressはPHPで動くので、サーバーのPHPが古いままなら対象になる
- まず契約しているレンタルサーバー会社の告知を確認する。すでに会社側で更新を済ませていることも多い
- 設定変更は一時しのぎで、根本的には修正版への更新が必要
- サイトを持っていない人も、銀行や証券のアカウントに2段階認証を
- 今後に向けては、更新できる体制をつくるか、止まる範囲を分けるか、動かす部分を減らすか
よくある質問
- 自分のホームページがPHPを使っているか、どうすれば分かりますか。
- WordPressで作られているサイトは、ほぼ確実にPHPを使っています。それ以外でも、サイトの住所（URL）の末尾が「.php」で終わるページがある場合や、レンタルサーバーを自分で契約している場合は使っている可能性が高いです。いちばん確実なのは、作ってもらった制作会社か、契約しているレンタルサーバー会社に直接聞くことです。「PHPの緊急アップデートは対応済みですか」と尋ねれば伝わります。
- 何もしないと、どうなるのですか。
- 今回の脆弱性は、ログインしていない第三者が、外部からサイトを操作できてしまう種類のものです。サイトの内容を書き換えられる、保存している情報を抜かれる、別のサイトを攻撃する踏み台に使われる、といったことが起こりえます。Cloudflare社の最高経営責任者は、公表から数時間のうちに攻撃の試みが数百万件に達したと述べています。
- 設定を変えれば、アップデートしなくても大丈夫ですか。
- 大丈夫ではありません。公式の案内にも一時的な緩和策は挙げられていますが、GMO Flatt Securityは「これらの設定変更による脆弱性の完全な回避はできません」「あくまで一時しのぎと考えてください。根本的にはパッチが必要です」と明記しています。最終的には修正版への更新が必要です。
- 何もしなくていい人はいますか。
- サイトを見るだけの人は、今回のサーバー側の対応は不要です。また、Shopifyやペライチのように、運営会社がサーバーをまとめて管理しているサービスを使っている場合も、更新は運営会社が行います。ただし利用者側でも、銀行やクレジットカード、ポイントなどのアカウントについて、2段階認証やパスキーを設定しておくことは有効です。
