2026年10月、「PHPに深刻な欠陥が見つかった」というニュースが相次ぎました。PHPは、多くのホームページの裏側で動いている仕組みです。何が起きたのか、自社に関係があるのか、今日だれに何を確かめればよいのかを、専門用語を使わずに整理します。

この記事でわかること

• 「PHPって何？」が、ホームページの裏の“調理場”というたとえで腹落ちする
• 今回の欠陥が、10点満点で9.2という最も重い区分とされた理由
• 自社に関係があるかを見分ける3つの質問
• 任せ先（サーバー会社・制作会社・社内）ごとに、今日確かめること

目次

1. ニュースで何が起きたのか？——10月20〜22日の流れ
2. PHPとは？——ホームページの裏の「調理場」
3. 何が危ないのか？——合鍵なしで裏口から入れる欠陥
4. 自社に関係ある？見分ける3つの質問
5. 今日やること——任せ先ごとの確かめ方
6. AIサポーターズとしての見解
7. よくある質問
8. まとめ

ニュースで何が起きたのか？——10月20〜22日の流れ

PHPを作っているチームが、2件の重大な欠陥を直した新しい版を公開しました。どちらも、外から合鍵なしで入り込み、サーバーの中で好きなプログラムを動かせるおそれがあるものです。セキュリティの専門家の間では「php2shell」という呼び名でも報じられています。

日付（日本時間）	出来事
10月20日	PHPのチームが「翌日に重大な修正版を出す」と予告。同じ日に、欠陥の番号がネット上に出回る（技術的な中身は漏れていないと説明）
10月21日	IPA（情報処理推進機構）が、PHPを使うサイトの運営者などに「事前準備のお願い」を掲載
10月21日 23時	修正版を公開（番号の流出を受けて、当初の予定から1日前倒し）
10月22日	国の脆弱性情報サイト「JVN」に掲載

直した版は、8.5.12／8.4.27／8.3.36／8.2.35 の4つです。PHPのチームは「すべての利用者に、すぐ更新することを強くすすめる」としています。

攻撃がもう起きているかについては、情報が分かれています。PHPの運営団体は「公開の時点で、実際に動く攻撃の道具は確認していない」としています。一方で、攻撃の試みが出始めたと伝えるセキュリティ企業もあります。どちらにしても、欠陥の存在が広く知られた今は、直していないサイトから狙われると考えておくのが安全です。

PHPとは？——ホームページの裏の「調理場」

レストランにたとえると、ホームページの見た目は「客席」で、PHPは「調理場」です。お客さま（閲覧する人）が注文する（ページを開く）たびに、調理場が料理（そのとき表示するページ）を作って客席に出しています。

お知らせの一覧、問い合わせフォーム、予約の画面などが、見るたびに最新の内容になるのは、この調理場が動いているからです。世界のホームページのうち、裏側の仕組みが分かるものの 69.3% がPHPを使っています（W3Techs、2026年10月22日時点）。中小企業のホームページで多く使われている WordPress（ワードプレス） も、PHPで動いています。

つまり今回のニュースは、「多くのレストランが同じメーカーの調理場を使っていて、その調理場に欠陥が見つかった」という話です。

何が危ないのか？——合鍵なしで裏口から入れる欠陥

ソフトの欠陥のうち、悪用されるおそれのあるものを「脆弱性（ぜいじゃくせい）」と呼びます。建物でいえば、鍵の欠陥です。

今回の2件は、深刻さを示す世界共通のものさし（10点満点）で 9.2 とされ、最も重い「緊急」の区分に入ります。理由は主に3つです。

1. 合鍵がいらない：ログインも、パスワードも必要ありません
2. 外から届く：インターネットの向こうから、ふつうのアクセスにまぎれて仕掛けられます
3. 中で何でもできる：調理場の機械を勝手に動かすように、サーバーの中で好きなプログラムを動かせるおそれがあります

入り込まれると、ホームページを書き換えられる、預かっている情報を盗まれる、ほかへの攻撃の踏み台に使われる、といった被害につながりかねません。しかも今回は、問い合わせフォームのような特定の機能ではなく、ページを表示するしくみそのものに欠陥がありました。PHPのチームは、Webのアクセスを処理するすべてのPHPが影響を受けるとしています。

自社に関係ある？見分ける3つの質問

次の3つに順に答えると、自社が関係するかが分かります。

質問1：自社のホームページや、ネットで使う仕組みはありますか？
ホームページのほか、予約・問い合わせ・ネットショップなどの画面も含みます。

質問2：それはPHPで動いていますか？
WordPressで作っていれば、PHPで動いています。分からないときは、作った会社や管理している会社に聞くのが一番の近道です。

質問3：だれが、その調理場の面倒を見ていますか？
レンタルサーバー（サーバー会社）、ホームページの制作会社・保守会社、社内の担当者のどれかです。今日やることは、ここで変わります。

特に注意が必要なのは、サポートが終わった古いPHP を使い続けている場合です。PHPのチームが公式に直した版を出すのは8.2以降で、8.1以前には公式の修正版がありません（7.4〜8.1向けには、自分で組み込むための最小限の修正部品だけが公開されています）。メーカーが修理しなくなった古い鍵を、そのまま使っている状態です。8.2も、2026年12月31日 でサポートが終わります。IPAも「サポート終了の古いPHPを利用し続けているウェブサイト・ウェブサービスも見受けられます」と注意をうながしています。

今日やること——任せ先ごとの確かめ方

鍵の欠陥への答えは「鍵の交換」、つまり 直した版への更新 です。PHPのチームは「更新だけが完全な解決」としています。設定を変えて守りを固める方法も示されていますが、それだけでは安全にならない一時しのぎ、という位置づけです。

レンタルサーバーを使っている場合

• 契約しているサーバー会社の「お知らせ」や「メンテナンス情報」を確認する
• サーバーの管理画面で、自社のサイトが使っているPHPの版を確認する。サーバーによっては、使う版を利用者が選ぶ仕組みになっています
• 8.1以前を選んでいる場合は、新しい版に切り替える。古いプラグインなどが動かなくなることがあるので、切り替える前に制作会社に相談し、元に戻せるよう控え（バックアップ）を取っておく

制作会社・保守会社に任せている場合
次のように聞くだけで十分です。

「10月21日に公開されたPHPの修正版（8.5.12／8.4.27／8.3.36／8.2.35）について、当社のホームページは対応済みでしょうか。使っているPHPの版と、対応の予定を教えてください。」

社内でサーバーを管理している場合

• 直した版に更新し、PHPを動かしている仕組みをすべて再起動する（PHPのチームが、設定を変えたあとはすべて再起動するよう求めています）
• Linuxの配布元や保守契約先が、修正済みの更新を出しているかを確認する

WordPressで、使っているPHPの版を自分で見る方法
管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」の欄を開くと、PHPの版を含むサーバーの情報が並びます。

また、ホームページ以外にも、社内で使う機器やソフトの中でPHPが動いていることがあります。IPAは、製品にPHPが含まれるかをマニュアルや開発元の公開情報で確認するよう呼びかけています。

AIサポーターズとしての見解

今回の欠陥は、AIを使う研究者たちによって見つかりました。PHPの運営団体によると、2026年8月に研究者とOpenAIがそれぞれ同じ日に報告し、その後もOpenAIや別のセキュリティ企業が新たな攻撃の道筋を報告しています。報告した研究チームは、調べるのにAIを使ったと述べています。

これは、欠陥を見つける速さが上がっていることを意味します。見つけるのが速くなれば、悪用しようとする側も速くなります。一方で、直す側は追いついていません。PHPの運営団体自身が、修正までに時間がかかったことを「仕組みの失敗」と認め、セキュリティチームの決め方と、人手などの不足が原因だったと説明しています。

中小企業にとっての答えはシンプルです。

• 「更新はだれの仕事か」を、今のうちに決めておく：サーバー会社・制作会社・社内のどこが、いつまでに更新するのか。決まっていないことが、いちばんの弱点になります
• 古いものを放っておかない：サポートが終わった版は、欠陥が見つかっても直りません。年に1度は、使っている版を確かめる日を決めておく
• ニュースを見たら、まず「うちはどれ？」を確かめる：今回の3つの質問は、次のニュースのときにもそのまま使えます

AIは仕事を速くする道具ですが、同じ速さは攻撃する側にも届きます。だからこそ、更新という地味な作業を、だれが・いつやるのかを決めておくことが、いちばん確かな備えになります。

よくある質問

Q. お知らせを載せているだけのホームページでも関係ありますか？
A. 関係あります。PHPのチームは、Webのアクセスを処理するすべてのPHPが影響を受けるとしています。問い合わせフォームやネットショップがあるかどうかは関係ありません。

Q. WordPressを最新にすれば大丈夫ですか？
A. それだけでは直りません。WordPressは料理のレシピ、PHPは調理場にあたる別のものです。今回直す必要があるのは調理場（PHP）なので、PHPの版の更新が必要です。

Q. 設定を変えるだけでしのげますか？
A. 一時しのぎにはなりますが、PHPのチームは「それだけでは安全にならない」としています。更新までの間の応急手当と考え、できるだけ早く直した版に更新してください。

Q. パソコンやスマホを使っているだけの人にも関係ありますか？
A. 今回の欠陥は、ホームページを動かす側（サーバー）のものです。見る側のパソコンやスマホの更新とは別の話です。ただし、自社のホームページを持っている場合は、その裏側の確認が必要です。

まとめ

2026年10月に報じられたPHPの欠陥は、多くのホームページの裏で動く“調理場”に、合鍵なしで入れる穴が見つかったという話でした。答えは、直した版（8.5.12／8.4.27／8.3.36／8.2.35）への更新です。まずは「うちのホームページはPHPか」「だれが面倒を見ているか」を確かめ、任せ先に一言たずねるところから始めてください。

自社のホームページがどの状態か分からない、だれに何を聞けばよいか迷う、というときは、お問い合わせからお気軽にご相談ください。

出典・参考

• PHP公式サイト（php.net）ニュース：セキュリティアドバイザリと修正版の公開（2026年10月21日）・事前告知（2026年10月20日）
• JVN「JVNVU#99905564：PHPにおける複数の任意のコードが実行可能な脆弱性」（2026年10月22日）
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
• The PHP Foundation「Today's PHP Security Release, and How We're Strengthening PHP Security」（2026年10月21日）
• Tenable「php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions」
• W3Techs「Usage statistics of PHP for websites」（2026年10月22日時点）
• WordPress「Site Health screen」

※本記事の内容は2026年10月22日時点の公式情報に基づきます。欠陥の番号は CVE-2026-109618 と CVE-2026-109619 です。