【PHPの脆弱性】「念のためサイトを閉じましょう」と言われたら｜閉じる前に確かめる3つと、本当に止めるべき場面

2026年10月21日に発表されたPHPの重大な脆弱性について、

「念のため、しばらくホームページを閉じておきましょう」という助言を受けた、というご相談をいただくようになりました。

ニュースでは、自治体などがWebのサービスを一時的に止めたことも報じられています。

心配になるのは、もっともなことです。

ただ、多くのレンタルサーバーでは、サーバー会社がすでに対策を済ませています。

その場合、サイトを閉じても安全性はほとんど変わらず、お問い合わせや集客が止まる損失だけが残ります。

この記事では、閉じる前に確かめたいことと、本当に止めることを考えるべき場面を整理しました。

■今回の脆弱性で、直すべき場所はどこか

今回の問題は、WordPressではなく、サーバーで動いているPHPそのものにあります。

直すには、サーバーのPHPを修正された版に入れ替える必要があります。

レンタルサーバーの場合、PHPを入れ替えるのはサーバー会社の仕事です。

利用者がサイトを閉じても、PHPが直るわけではありません。

■例：エックスサーバーの対応（2026年10月22日夜の時点）

エックスサーバーの公式のお知らせによると、

提供しているPHP 5.6〜8.5について、対象となるすべてのサーバーへ修正の適用が完了しています。

PHP 5.5以下は、修正の作成と検証が進められているところです。

また、この期間に止まっていたのは、エックスサーバーの公式サイトや管理画面です。

利用者のサーバーは動き続けていて、サイトの表示やメールの送受信には影響がないと案内されています。

「エックスサーバーが止めた」というニュースが、「サイトを止めた」と受け取られていることもあるようです。

■サイトを閉じても、守れないことが多い

WordPressの「メンテナンスモード」で閉じる方法は、今回の対策にはなりません。

メンテナンス画面を出しているのもPHPなので、画面の裏ではPHPが動き続けているからです。

PHPが動く前にアクセスを断つ設定もありますが、サーバーの知識が要り、

間違えると、サイトが表示されなくなったまま戻せなくなることもあります。

一方で、閉じている間は、お問い合わせ・予約・ネットショップの注文がすべて止まります。

検索からの訪問者も、閉まったページを見て帰ってしまいます。

■閉じる前に確かめる3つのこと

1. サーバー会社のお知らせを見る

今回の件で、PHPの修正が「適用完了」になっているかを確かめます。

レンタルサーバーなら、会社の公式サイトのお知らせや、管理画面に出ていることが多いです。

2. 自分のサイトのPHPの版を見る

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」と進むと表示されます。

その版が、サーバー会社の「適用完了」に含まれているかを照らし合わせます。

3. おかしな動きが出ていないか見る

見覚えのないページや管理者がいない、別のサイトに飛ばされない、といった点を確かめます。

■本当に止めることを考えるべき場面

次のような場合は、サイトを一時的に止めることも選択肢に入ります。

・自社やVPSでサーバーを管理していて、PHPをすぐに更新できない

・サーバー会社のお知らせで、使っている版がまだ修正されていない

・すでに改ざんや乗っ取りの症状が出ている

WordPressの公式のお知らせでも、古い版のまますぐに対応できない場合に、

更新の準備が整うまでサイトを止めることを検討するよう案内されています。

これは「自分でPHPを更新する立場の人」に向けた話です。

■助言をくれた人と、どう話すか

「閉じましょう」という助言は、お客様のサイトを心配してのものです。

ただ、閉じるかどうかは、サーバー会社の対応状況を見てから決めても遅くありません。

「サーバー会社のお知らせで、使っている版は修正済みでした」と、

お知らせの内容と、サイトヘルスで見た版を一緒に伝えると、話がまとまりやすくなります。

■自分で確かめるチェックリスト

・サーバー会社の今回の件のお知らせを読んだ

・サイトヘルスで、PHPの版を確かめた

・その版が「適用完了」に含まれていることを確かめた

・見覚えのないページや管理者がないかを見た

・自分でサーバーを管理しているか、レンタルサーバーかを確かめた

・使っている版が古ければ、新しい版へ移る予定を立てた

■よくある質問

Q. サーバー会社が対策済みなら、何もしなくてよいですか？

A. 今回の脆弱性については、サーバー会社の修正で守られます。ただ、PHP 8.2はセキュリティの修正が2026年12月31日で終わり、8.1以前はすでに終わっています。古い版を使っている場合は、新しい版へ移る準備は進めておきましょう。

Q. メンテナンスモードのプラグインで閉じておけば安心ですか？

A. 今回の脆弱性には効きません。メンテナンス画面もPHPで表示されているため、裏側ではPHPが動いています。

Q. 閉じておけば、念のための安全策になるのでは？

A. サーバー会社が修正を済ませていれば、閉じることで増える安全はわずかです。お問い合わせや注文が止まる損失のほうが大きくなりがちです。

Q. 自分のサーバーがどこの会社か分かりません。

A. 契約の書類や、毎月の請求のメール、サイトを作った会社への確認で分かることが多いです。WordPressのサイトヘルスにもサーバーの情報が出ています。

Q. 判断に自信がありません。

A. サーバー会社のお知らせと、サイトヘルスの画面があれば、閉じる必要があるかを一緒に確かめられます。

■判断に迷ったら

ご自分で確かめられる方は、この記事の3つの手順で十分です。

「閉じるべきか分からない」「言われたとおりにしてよいか確かめたい」という方は、状況をうかがって判断のお手伝いをしています。

IT・WEBのお悩み事をお聞きしアドバイスします

https://coconala.com/services/1105945

古いPHPから新しい版への切り替えを任せたい方は、こちらで承っています。

WordPressとPHPの更新を安全に代行します

https://coconala.com/services/4456356