PHPに重大な弱点。WordPressで作った会社のホームページは、まず3つ確認してください

2026年10月21日、ホームページを動かす部品「PHP」に重大な弱点が見つかり、修正版が公開されました。

PHPを作っている開発チームは、公式サイトで「すべての利用者は直ちに更新してください」と呼びかけています。同じ日、国の国家サイバー統括室も、X（旧Twitter）の注意情報で「可及的速やかに適用してください」と発信しました。

PHPと聞いても、ピンとこない方が多いと思います。ですが、会社のホームページをWordPressで作っているなら、そのホームページはPHPの上で動いています。中小企業のホームページでは、よくある作りです。

この記事では、何が起きたのか、自社が対象かどうかの確かめ方、誰に何を頼めばいいかを、できるだけ専門用語を使わずにまとめます。

何が起きたのか

PHPは、ホームページの裏側で動いているプログラムの部品です。お問い合わせフォームを受け付けたり、WordPressでお知らせのページを表示したりするのは、PHPの仕事です。

今回見つかった弱点は2つです。どちらも、ログインしていない外部の人が、細工した通信をホームページに送るだけで、サーバーの上で好きな命令を動かせてしまうおそれがある、というものです。開発チームは「重大（Critical）」と位置づけています。

サーバーの上で好きな命令を動かせるというのは、たとえるなら、知らない人に事務所の合鍵を渡してしまうような状態です。起こりうることとしては、次のようなものがあります。

• ホームページの中身を書き換えられる
• 偽のページを置かれ、見に来た人がだまされる
• お問い合わせフォームに届いた個人情報を抜き取られる
• ほかの会社を攻撃するための踏み台に使われる

開発チームは「完全な回避策はなく、更新することが唯一の安全な選択肢」としています。設定の工夫でしのぐのではなく、修正版に入れ替えるしかない、ということです。

まず確認したい3つのこと

1. 自社のホームページは、WordPress（PHP）で動いているか

いちばん早いのは、ホームページを作った会社か、社内の担当者に聞くことです。

自分で確かめるなら、ホームページの管理画面に入るときのアドレスを思い出してください。最後が「/wp-admin」や「/wp-login.php」なら、WordPressです。

WordPress以外にも、PHPで動いているホームページはあります。分からなければ、作った会社に「うちのホームページはPHPを使っていますか」と一言聞くのが確実です。

2. ホームページを、どこに置いているか

ホームページは、どこかのサーバー（データを置いておく場所）に置かれています。置き場所によって、誰が更新するかが変わります。

• レンタルサーバー：中小企業でいちばん多い形です。PHPそのものの修正はサーバー会社が行うことが多い一方、どのバージョンのPHPを使うかは、借りている側が管理画面で選ぶ仕組みになっていることが多くあります。サーバー会社からのお知らせと、管理画面のPHPのバージョンを確認してください。
• 自社や制作会社が管理するサーバー：更新するのは、管理している人です。今回の件を伝えて、いつ更新するかを確認してください。

3. PHPのバージョンは、いくつか

今回の修正版は、8.5.12、8.4.27、8.3.36、8.2.35の4つです。PHP 8.2〜8.5を使っているなら、それぞれの修正版に上げれば対応できます。

気をつけたいのは、それより古いバージョンです。PHP 8.1以前は、本来はもう公式の手入れが終わっているバージョンです。今回は弱点の重大さを考えて、特例で最低限の修正が用意されましたが、主に自分でPHPを組み立てる技術者向けのものです。古いバージョンを選んだままなら、サーバー会社のお知らせを確認し、新しいバージョンへの切り替えを考えてください。

また、PHP 8.2も、2026年12月31日で公式の手入れが終わります。今回の更新をきっかけに、8.3以降へ上げる計画を立てておくと安心です。

ひとつ注意があります。PHPのバージョンを上げると、古いWordPressやプラグイン（追加機能）が動かなくなることがあります。管理画面でいきなり切り替えず、作った会社や担当者に確認してから進めてください。

いちばん危ないのは「誰が更新するか決まっていない」こと

この秋、警備会社のホームページを100社以上見てきました。そこで感じたのは、作ったまま何年も手が入っていないように見えるホームページが少なくない、ということです。開くと「保護されていません」と表示されるもの、お知らせが何年も前で止まっているものもありました。

作ったまま手が入っていないホームページで、よくあるのが次のような状況です。

• 作った制作会社と、もう連絡を取っていない
• 担当していた社員が辞めて、管理画面に入れる人がいない
• サーバーの契約が、誰の名義か分からない

この状態だと、今回のような知らせが出ても、誰も更新しません。弱点が見つかること自体は、どんな部品でも避けられません。差がつくのは、知らせが出たときに「誰が、いつまでに更新するか」が決まっているかどうかです。

今日やること

• 作った会社か担当者に「今回のPHPの件、うちは対象ですか。いつ更新しますか」と聞く
• レンタルサーバーなら、サーバー会社のお知らせと、管理画面のPHPのバージョンを見る
• 誰も分からなければ、管理画面に入れる人と、サーバーの契約の名義を確かめるところから始める

当社のホームページについて

当社（ウェイクラップ）のホームページは、PHPを使わない作りにしているため、今回の弱点の対象ではありません。お客様のホームページを新しく作るときも、同じ作りをご提案しています。

自社のホームページが対象か分からない、更新を頼める相手がいない、という場合は、お問い合わせからお気軽にご相談ください。

参考

• PHP公式サイト（英語）：2026年10月21日のセキュリティ勧告と、各バージョンの修正版の告知
• 国家サイバー統括室（注意・警戒情報）のX投稿