【緊急】ココナラもメンテナンス！PHPの重大な脆弱性とは？あなたのホームページは大丈夫？

2026年10月21日、インターネットに関する大きなニュースがありました。

ホームページなどを動かしている「PHP（ピーエイチピー）」というプログラムに、重大なセキュリティ上の問題が見つかったのです。

この問題については、高市早苗総理大臣もX（旧Twitter）で、修正プログラムをできるだけ早く適用できるよう準備することを呼びかけました。

また、国内では企業や公的機関など、さまざまなWebサービスで緊急メンテナンスや一時停止が行われました。

ココナラでも、10月21日22時20分から翌22日6時35分まで、臨時メンテナンスが実施されています。

ココナラの公式発表によると、これはサービスの安全性を守るための予防的な措置で、今回のメンテナンスに関係する不正アクセスや情報流出は確認されていないとのことです。

ただし、ココナラの公式発表ではPHPとの関係までは明らかにされていません。

こうしたニュースを見て

「PHPって、そもそも何？」

「自分のお店のホームページも危ないの？」

「WordPressを使っているけど大丈夫？」

「何か対応しないといけないの？」

と、不安になった方もいるのではないでしょうか。

今回は、ホームページに詳しくない方にも分かるように、何が起きたのか、自分のホームページに関係があるのか、そして何を確認すればよいのかを、できるだけやさしく説明していきます。

◼️ そもそもPHPって何？

PHPとは、ホームページの裏側で働くプログラムの一種です。

少し分かりにくいので、飲食店を想像してみてください。

お客さんがメニューを見て注文すると、厨房ではスタッフが料理を作りますよね。

お客さんから厨房の様子は見えませんが、そこで働く人がいるから料理が運ばれてきます。

ホームページも、これと少し似ています。

私たちが画面で見ている文章や写真を「お客さんに出される料理」だとすると、PHPは裏側で注文を受けたり、必要な情報を取り出したりする「厨房のスタッフ」のような存在です。

例えば

・会員がログインするとき

・ブログの記事を表示するとき

・お問い合わせフォームから送られた内容を処理するとき

こうした場面でPHPが使われていることがあります。

もちろん、すべてのホームページがPHPを使っているわけではありません。

普段インターネットを利用しているときにPHPを意識することはほとんどありませんが、多くのWebサービスを支えている大切な技術なんです。

◼️ 今回は何が問題になったの？

今回見つかったのは、PHPそのものにある「脆弱性（ぜいじゃくせい）」という問題です。

脆弱性とは、簡単に言えば、コンピューターの仕組みにある弱点のことです。

例えば、家の玄関にはしっかり鍵がかかっていても、壁の一部に外から入り込める隙間があったら困りますよね。

今回の問題も、それに似ています。

悪意のある人がこの弱点を利用すると、本来は許されていない操作を行ったり、ホームページのデータを置いているコンピューター上で、不正なプログラムを動かしたりできる可能性があります。

しかも今回は、ログインしていない外部の人からでも悪用される可能性がある、深刻な問題でした。

セキュリティの問題には、危険度を数字で表す評価方法があります。

今回の2つの脆弱性は、どちらも10点満点中9.2という、最も深刻なランクに入る評価を受けています。

この問題は、通称「php2shell（ピーエイチピー・トゥ・シェル）」とも呼ばれています。

そして、10月21日の夜には、問題を修正した新しいPHPが公開されました。

ここで覚えておいてほしいのは、脆弱性が見つかったことと、実際に自分のホームページが攻撃されたことは別だという点です。

今回のニュースが大きく取り上げられたからといって、すべてのホームページが被害を受けたわけではありません。

ただし、攻撃を試みる動きも報告されているため、PHPを利用している場合は、早めに対応状況を確認することが大切です。

◼️ どうして総理大臣まで注意を呼びかけたの？

PHPは、個人のブログだけでなく、企業のホームページや、さまざまなWebサービスでも利用されています。

つまり、今回の問題は一つの会社だけではなく、国内外の多くのサービスに関係する可能性があったのです。

そのため、政府や企業も急いで対応を進めました。

例えば、学校の建物に安全上の問題が見つかったとします。

まだ事故が起きていなくても、安全を確認できるまでは、一部の教室を使わないことがありますよね。

ホームページの緊急メンテナンスも、それと似た考え方です。

問題が起きてから対処するのではなく、利用者を守るために、あえてサービスを一時停止する場合があります。

そのため、ニュースで「サイトが停止」「緊急メンテナンス」と聞いても、必ずしも不正アクセスや情報漏えいが発生したという意味ではありません。

今回のようなニュースでは、実際に被害があったのか、それとも被害を防ぐための対応なのかを分けて考えることが大切です。

◼️ WordPressを使っているホームページは大丈夫？

ここは、特に気になる方が多いと思います。

WordPress（ワードプレス）とは、専門的なプログラミングの知識がなくても、ブログやホームページを作ったり、記事を更新したりできる仕組みです。

お店や会社のホームページでも広く使われています。

そして、このWordPressはPHPを使って動いています。

そのため、今回の問題はWordPressで作られたホームページにも関係する可能性があります。

ただし、一つ注意してほしいことがあります。

今回問題が見つかったのは、WordPressそのものではなく、WordPressを動かしているPHPです。

先ほどの飲食店の例で考えてみましょう。

・WordPress：お店全体の仕組み

・PHP：そのお店の厨房で働くスタッフ

今回問題が見つかったのは、お店全体の仕組みではなく、その裏側で働くPHPの部分です。

そのため、WordPress本体を最新の状態にしていても、サーバー側のPHPに問題が残っていれば、今回の脆弱性への対策が完了したことにはなりません。

反対に、WordPressを使っているからといって、必ず危険というわけでもありません。

大切なのは、必要な更新や管理が適切に行われているかどうかです。

なお、2026年7月にもWordPress本体に関する別のセキュリティ問題が話題になりましたが、今回のPHPの問題とは別のものです。

◼️ 自分のホームページがWordPressか分からないときは？

「そもそも、自分のホームページがWordPressなのか分からない」

そんな方もいると思います。

まずは、次の方法で確認してみてください。

① ホームページのアドレスを確認する

自分のホームページのアドレスの最後に「/wp-admin/」を付けてアクセスしてみます。

例えば、ホームページのアドレスが

https://〇〇.com

なら

https://〇〇.com/wp-admin/

と入力します。

WordPressのログイン画面が表示されれば、WordPressで作られている可能性が高いです。

ただし、セキュリティ対策などでログイン画面のアドレスを変更している場合もあります。

画面が表示されなかったからといって、WordPressではないと断定することはできません。

② 制作した人や会社に確認する

一番確実なのは、ホームページを制作した人や会社に確認することです。

「うちのホームページはWordPressですか？」

と聞くだけで大丈夫です。

また、WixやSTUDIO、Jimdoなどのホームページ作成サービスを使っている場合は、通常、サービスの運営会社が裏側のシステムを管理しています。

そのため、利用者が自分でPHPを更新する必要は基本的にありません。

◼️ WordPressを使っている人は何をすればいい？

WordPressを使っている場合は、まず次の3つを確認してみましょう。

難しい操作を急いで行う必要はありませんが、対応状況の確認は早めに行うことをおすすめします。

① 契約しているサーバー会社のお知らせを見る

WordPressのホームページは、多くの場合「レンタルサーバー」を利用しています。

レンタルサーバーとは、ホームページのデータをインターネット上に置いておく場所を借りるサービスです。

例えば

・エックスサーバー

・ロリポップ！

・さくらのレンタルサーバ

などがあります。

まずは、契約しているサーバー会社の公式サイトを開き、「お知らせ」「メンテナンス情報」「障害情報」などを確認してみてください。

今回のPHPの問題について、対応状況や利用者が行うべき作業が案内されている場合があります。

多くの人が共同で利用するタイプのレンタルサーバーでは、PHPの修正プログラムをサーバー会社が適用することがあります。

ただし、利用者自身でPHPのバージョンを切り替える必要がある場合もあるため、必ず契約先の案内を確認しましょう。

一方、自分でサーバー全体を管理している場合は、管理者による更新作業が必要です。

② PHPのバージョンを確認する

「バージョン」とは、プログラムの新しさや改良の段階を表す番号のことです。

スマートフォンのOSが更新されるのと同じように、PHPも改良や修正が続けられています。

WordPressの場合は、管理画面にログインして

「ツール」→「サイトヘルス」→「情報」

の順に開くと、PHPのバージョンを確認できます。

今回の問題を修正したPHPのバージョンは、次のとおりです。

・PHP 8.5.12

・PHP 8.4.27

・PHP 8.3.36

・PHP 8.2.35

ただし、ここは少し注意が必要です。

レンタルサーバーによっては、古いバージョン番号のまま、必要なセキュリティ修正だけを適用している場合もあります。

そのため、表示されている数字だけで判断せず、サーバー会社の公式案内で対応状況を確認することが大切です。

また、PHP 8.1や7.4など、公式サポートが終了している古いバージョンを利用している場合は、今後の管理についても相談しておくと安心です。

PHP 8.2についても、2026年12月31日に公式のセキュリティサポートが終了する予定です。

③ 自分の判断だけで急いで変更しない

「古いバージョンなら、すぐに新しくすればいいのでは？」

と思うかもしれません。

もちろん、必要なセキュリティ更新は早急に行うことが重要です。

ただし、WordPressでは、使っているテーマやプラグインとの組み合わせによって、PHPを変更したときに問題が起こる場合があります。

ちなみに

・テーマ：ホームページのデザインやレイアウトを決めるひな形

・プラグイン：お問い合わせフォームなどの機能を追加する仕組み

のことです。

PHPの変更によって

・ホームページの表示が崩れる

・画面が真っ白になる

・エラーが出てページを開けなくなる

といったことが起きる場合もあります。

そのため、変更する前にはバックアップを取り、サーバー会社が案内している方法で対応することが大切です。

バックアップとは、ホームページのデータを別の場所に保存しておくことです。

万が一、更新後に問題が起きても、元の状態に戻せるようにするための備えになります。

よく分からない場合は、無理に操作せず、制作を依頼した人やサーバー会社に相談しましょう。

そして、もう一つ大切なことがあります。

WordPress本体の更新と、PHPの更新は別の作業です。

今回のPHPの脆弱性は、WordPress本体を更新するだけでは解決しません。

反対に、PHPを更新したからといって、WordPress本体やテーマ、プラグインの更新が不要になるわけでもありません。

それぞれを適切に管理していく必要があります。

◼️ 管理画面にログインできない場合は？

「ログインするためのIDやパスワードが分からない」

「そもそも、誰がホームページを管理しているのか分からない」

そんな方もいるかもしれません。

その場合は、まずホームページを制作した人や会社に確認してみてください。

制作会社と連絡が取れない場合は、契約しているレンタルサーバー会社のサポート窓口に相談する方法もあります。

契約者本人であれば、本人確認などの手続きを通じて、管理画面へのアクセスを復旧できる場合があります。

大切なのは、分からないまま放置しないことです。

◼️ WordPress以外のホームページなら関係ないの？

実は、ホームページにはいろいろな作り方があります。

WordPressのようにPHPを使うものもあれば、PHPを使わずに作るものもあります。

例えば、お店の営業時間、料金、メニュー、アクセス方法、会社の紹介などを掲載するホームページなら、HTML・CSS・JavaScriptといった技術を中心に作ることもできます。

難しい名前ですが、それぞれの役割はシンプルです。

・HTML：文章や写真など、ページの中身を作るもの

・CSS：色や文字の大きさ、配置など、見た目を整えるもの

・JavaScript：ボタンを押したときの動きなどを付けるもの

こうした技術で作られたホームページの中には、「静的（せいてき）サイト」と呼ばれるものがあります。

静的サイトは、あらかじめ用意されたページを、そのまま訪問者に表示する仕組みです。

飲食店で例えると

・WordPress：注文を受けてから厨房で料理を作るお店

・静的サイト：あらかじめ用意したお弁当を渡すお店

というイメージです。

PHPを使っていない静的サイトなら、今回のPHPそのものの脆弱性による直接的な影響は受けません。

なぜなら、問題になったPHPを動かしていないからです。

ただし、静的サイトなら絶対に安全というわけではありません。

静的サイトでも、ログイン情報の管理や、使用しているプログラムの安全性、ドメインの更新など、気を付けることはあります。

どんなホームページにも、それぞれの特徴と注意点があるんですね。

◼️ これからホームページを作るなら、どちらがいい？

今回のニュースを見て

「これからホームページを作るなら、WordPressは避けた方がいいの？」

と思った方もいるかもしれません。

でも、必ずしもそうではありません。

WordPressにも、静的サイトにも、それぞれ向いている使い方があります。

WordPressが向いている方

・ブログやお知らせを自分で頻繁に更新したい

・記事を増やして検索からお客様を集めたい

・予約や会員登録など、さまざまな機能を追加したい

・ホームページの内容を自分で細かく管理したい

静的サイトが向いている方

・お店の営業時間やメニュー、料金を掲載したい

・会社の紹介やお問い合わせができれば十分

・作ったあとの管理をなるべく簡単にしたい

・毎月の費用をできるだけ抑えたい

・頻繁にページを更新する予定がない

大切なのは、どちらが優れているかではなく、自分がホームページで何をしたいのかです。

例えば、お店の場所や営業時間を紹介することが目的なら、必ずしもWordPressのような複雑な仕組みは必要ありません。

反対に、毎週ブログを投稿したり、さまざまな機能を追加したりしたいなら、WordPressが便利な場合もあります。

WordPressでは、本体・テーマ・プラグイン・PHPなど、定期的に更新する部分がいくつかあります。

一方、PHPを使わない静的サイトでは、今回のようなPHPの更新作業は必要ありません。

これは、単純に「どちらが安全か」という話ではありません。

ホームページを作ったあと、どんな管理が必要になるのかという違いです。

制作費やデザインだけでなく、公開したあとの使いやすさや管理のしやすさも考えて選ぶことをおすすめします。

◼️ まとめ｜大切なのは、あわてずに必要な確認をすること

今回のPHPの重大な脆弱性は、多くのホームページやWebサービスに関係する可能性がある、大きな問題です。

ただし、ニュースを見て、すべてのホームページが危険になったと思う必要はありません。

最後に、大切なポイントを整理しておきます。

・今回問題が見つかったのは、PHPそのもの

・10月21日に問題を修正したPHPが公開された

・緊急メンテナンスは、被害を防ぐために行われる場合もある

・WordPressを使っている方は、サーバー会社の対応状況を確認する

・WordPress本体の更新だけでは、今回のPHPの問題は解決しない

・PHPを使っていない静的サイトは、今回の脆弱性の直接的な対象ではない

まずは、自分のホームページがどのような仕組みで作られているのかを知り、必要な対応が行われているか確認することが大切です。

これからホームページを作る方は、制作費や見た目だけでなく、公開したあとの管理についても考えておくと安心です。

---

◼️ ホームページ制作のご相談について

私自身、ホームページ制作では、見た目を整えることだけでなく、作ったあとも無理なく使い続けられることを大切にしています。

ココナラでは、WordPressを使わない静的サイトとして、ホームページ制作を10,000円からお受けしています。

対応内容は

・1〜3ページのホームページ制作

・スマートフォン表示への対応

・PHPの更新管理が必要ない構成

・お問い合わせフォームやLINEボタンの設置

・無料URLでの公開なら、サーバー代・URL代は毎月0円

・独自ドメインでの公開にも対応

となっています。

※無料URLは現在の無料プランの条件内で運用する場合です。
※独自ドメインの取得・更新費用は別途必要です。

「初めてなので、何から始めればいいか分からない」

「できるだけ管理の手間を減らしたい」

「自分のお店には、どんなホームページが合っているの？」

そんな段階からでも大丈夫です。

文章や写真がまだ準備できていなくても、丸投げOK！

ご希望を伺いながら、必要なページや内容を一緒に整理していきます。

お見積もりやご相談は無料ですので、まずはお気軽にメッセージをお送りください。

---

※この記事は2026年10月22日時点の情報をもとに作成しています。今後の追加情報によって、状況や対応方法が変わる場合があります。最新情報は公式サイトや、ご契約中のサーバー会社のお知らせをご確認ください。

参考情報

・PHP公式サイト（セキュリティに関するお知らせ）  

https://www.php.net/archive/2026.php

・IPA（情報処理推進機構）  

https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html

・JPCERT/CC  

https://www.jpcert.or.jp/

・ココナラ｜臨時メンテナンス完了のご連絡  

https://coconala.com/news/1397