自分のサイトがPHPか分からない方へ 緊急の脆弱性で、専門知識なしで確かめられること

2026年10月21日に、PHPという言語の重大な脆弱性が公表され、修正版が公開されました。WordPressやネットショップなど、PHPで動くサイトは多く、制作を人に任せていると「うちが対象かどうかも分からない」という状態になりがちです。この記事では、技術の知識がなくても確かめられる範囲と、制作会社や業者に聞くことを書きます。

まず、自分のサイトがPHPかを知る

WordPressはPHPで動いています。国内のネットショップ構築ソフトにもPHPのものがあります。制作を頼んだ会社に「このサイトはPHPで動いていますか」と聞くのが、いちばん早い方法です。ページの住所に「.php」と出ていればPHPですが、出ていなくてもPHPのことはあります。

何が公表されたのか

PHPの開発チームは10月21日、遠隔から不正にプログラムを実行される恐れのある脆弱性2件を公表し、修正版を公開しました。修正版は8.5.12、8.4.27、8.3.36、8.2.35です。公式の発表では、完全な緩和策はなく、更新だけが安全な選択とされています。ITmedia NEWSによると、修正版の公開前に情報が出回り、攻撃の試みも観測されていたそうです。

業者に聞く質問

制作会社、保守の会社、サーバーの事業者のうち、サイトを見ている相手にこう聞いてください。

このサイトで使っているPHPのバージョンはいくつですか

10月21日の修正版、または提供元の修正はもう入っていますか

まだなら、いつ更新しますか。それまで止められますか

更新したあと、何を確認しましたか

PHP 8.1より古い場合はどうしますか

最後の質問を入れたのは、8.1以前には、PHPの開発チームからの更新が出ていないためです。

レンタルサーバーの管理画面で見られること

多くのレンタルサーバーには、管理画面にPHPのバージョンを確認・変更する項目があります。名前は事業者ごとに違います。ここでバージョンが分かっても、それだけで安全かどうかは決まりません。OSやサーバーの提供元が、番号を変えずに修正だけを入れている場合があるからです。番号は手がかりと考えて、事業者のお知らせを確認してください。

自分でバージョンを上げるのは、おすすめしません。PHPを新しくすると、使っているプラグインなどが動かなくなることがあります。

一時的に止めるかどうか

首相は10月21日にXで、更新が難しい場合はサイトの一時停止も有効な策の一つだと述べています。止めるなら、サイト側のメンテナンス用プラグインでは足りません。それもPHPの上で動くためです。サーバー側から「メンテナンス中」の画面を返してもらう必要があります。

止めるかどうかは、サイトの役割で決まります。予約や注文を受けているなら、止める時間の影響を業者と一緒に見積もってください。

私たちの場合

私たちは、保守契約をいただいているお客様のPHPシステム5件を、修正版の公開直後から更新しました。PHPの更新は約1時間で終え、そのあとに全体のテストを別の時間をかけて行っています。ここに書いたことは、一般的な確認の話であり、個々のサイトが対象かどうかは、外からは判断できません。

(出典: php.net 公式のセキュリティ告知(2026年10月21日)、ITmedia NEWS(2026年10月22日)、私たちの保守対応の経験)

要件がまとまっていなくても構いません。状況を聞かせてください。出品サービスのページからご連絡いただけます。