2026年10月21日、ニュースやSNSで「PHP（ピーエイチピー）に大きな欠陥が見つかった」という話題が一気に広がりました。
人気ゲームや動画サイト、銀行などが次々と「緊急メンテナンス」に入り、首相までXで「今夜に対応して頂きたい大至急のお願い」と呼びかけるほどの騒ぎになりました。
「PHPって何？」「私のブログにも関係あるの？」
そう思った方のために、むずかしい言葉はできるだけ使わずに説明します。
結論：HPを使っている人は、関係あります
先に答えをお伝えします。
HPをもっている人は、全員が関係あります。
でも、安心してください。レンタルサーバーを使っている人なら、やることは「確認」がほとんどです。むずかしい作業は、サーバー会社がやってくれています。
PHPってなに？
PHPは、ホームページを動かすための「エンジン」のようなものです。
車にたとえると、こんなイメージです。
- WordPress＝車の見た目や運転席
- PHP＝車を動かすエンジン
- レンタルサーバー＝車を預けている駐車場・整備工場
記事を表示する、お問い合わせフォームを送る、管理画面にログインする。こうした動きは、すべて裏側でPHPというエンジンが働いて実現しています。
特に、WordPressを使っている人は、気づかないうちにPHPを使っています。
何が起きたの？
今回、このエンジン（PHP）そのものに、大きな欠陥が見つかりました。
どれくらい危ないかというと、「鍵を持っていない人が、家の外から家の中を自由に操作できてしまう」くらいの欠陥です。パスワードを知らなくても、外からサイトを乗っ取られるおそれがありました。
もし悪い人に使われると、こんなことが起きるかもしれません。
- サイトの中身を勝手に書きかえられる
- お客様の名前やメールアドレスなどを盗まれる
- あなたのサイトが、ほかの会社を攻撃する「道具」にされる
しかも今回は、直し方が配られる前に、欠陥の情報が外に漏れてしまいました。だから、多くの会社があわててサイトを止めて対応したのです。
欠陥を直した新しいPHPは、10月21日の夜11時に配られました。
私は何をすればいいの？ やることは3つだけ
レンタルサーバーでWordPressを使っている方は、次の3つを順番にやってみてください。
やること1：PHPの「バージョン（数字）」を確認する
WordPressの管理画面にログインして、次の順番でクリックします。
- 左のメニューの「ツール」
- 「サイトヘルス」
- 画面の上のほうにある「情報」
- 「サーバー」をクリックして開く
すると、「PHPのバージョン」というところに、「8.3.30」のようなバージョンが出てきます。
見るのは最初の2つの数字だけでOKです。「8.3.30」なら「8.3」です。この数字をメモしておきましょう。
やること2：サーバー会社の「お知らせ」を見る
今回の欠陥を直すのは、あなたではなく、サーバー会社のお仕事です。駐車場の整備工場が、預けている車のエンジンを直してくれるイメージです。
契約しているサーバー会社のホームページや管理画面で、「お知らせ」や「メンテナンス情報」を開いてみてください。「PHPの脆弱性（ぜいじゃくせい）への対応が完了しました」のような案内が出ていれば、ひと安心です。
たとえば大手のエックスサーバーやさくらのレンタルサーバは、10月23日までに対応が終わったと案内しています。
XServer：https://www.xserver.ne.jp/news_detail.php?view_id=19734
さくらサーバー：https://help.sakura.ad.jp/notification/n-2700/
Valu Domainサーバー：https://www.value-domain.com/information/detail/?no=20261022-1
LOLIPOP！：https://lolipop.jp/info/news/8239/
やること3：数字が古かったら、新しくする
やること1でメモした数字を、下の表に当てはめてみてください。
| あなたの数字 | どうする？ |
|---|---|
| 8.3／8.4／8.5 | ◎ 大丈夫です。サーバー会社の「対応完了」を確認できればOK。 |
| 8.2 | △ 今は大丈夫。ただし今年の12月末で古くなるので、年内に8.3以上へ変えましょう。 |
| 8.1／8.0／7.4など | × すでに古いエンジンです。できるだけ早く8.3以上に変えましょう。 |
PHPのバージョンは、サーバー会社の管理画面から、ボタンひとつで変えられることがほとんどです。「PHPバージョン設定」「PHP設定」といったメニューを探してみてください。
バージョンを変える前に、これだけは守って！
エンジンを新しくすると、まれに古いテーマやプラグインがうまく動かなくなることがあります。失敗しても元に戻せるように、次の順番でやりましょう。
- サイトのバックアップ（保存）を取る
多くのサーバー会社に、自動でバックアップを取る機能があります。 - WordPress・テーマ・プラグインを最新にする
管理画面の「更新」から、まとめて更新できます。 - PHPのバージョンを変える
- 自分のサイトを開いて、ちゃんと表示されるか見る
お問い合わせフォームが送れるかも、試しておくと安心です。
もし表示がおかしくなったら、あわてずにPHPのバージョンを元に戻せば大丈夫です。
念のため、こんなことが起きていないか見てみよう
今回は直し方が配られる前に情報が漏れていたので、念のため、次のことがないか確認しておきましょう。
- 管理画面の「ユーザー」に、知らない人が増えていない？
- 「プラグイン」に、入れた覚えのないものがない？
- 自分のサイトを開いたら、知らないサイトに飛ばされたり、変な広告が出たりしない？
ひとつでも当てはまったら、自分で何とかしようとせず、すぐにサーバー会社に相談してください。
よくある勘違い
「WordPressを更新したから大丈夫」
→ それだけでは直りません。
今回こわれているのは、WordPressではなく、その下で動いているエンジン（PHP）です。WordPressの公式サイトも「PHPを新しくしてください」と呼びかけています。
「小さなホームページだから狙われない」
→ そんなことはありません。
悪い人は、人の手ではなく機械を使って、世界中のサイトを片っぱしから調べています。サイトが大きいか小さいかは関係なく、古いままのサイトから狙われます。
「個人情報を取り扱っていないから大丈夫」
→ それでも狙われます。
悪い人の目的は、情報を盗むことだけではありません。乗っ取ったサイトを使って、訪れた人を偽サイトに飛ばしたり、ウイルスをばらまいたり、迷惑メールを送ったり、ほかの会社を攻撃する「道具」にしたりします。
つまり、盗まれるものがなくても、あなたのサイトが「悪いことの道具」にされてしまうのです。そうなると、サイト訪問者に迷惑がかかるうえ、検索結果に「このサイトは危険です」と表示されて、誰にも見てもらえなくなる可能性があります。
自分でサーバーを用意している人へ
レンタルサーバーではなく、自分でサーバーを借りて管理している人（VPSなど）は、サーバー会社が直してくれません。自分でPHPを新しいものに更新してください。
難しいと感じたら、サイトを作ってもらった会社や、詳しい人に早めに相談しましょう。
チェックリスト
- ☐ PHPのバージョン（数字）を確認した
- ☐ サーバー会社の「対応完了」のお知らせを見た
- ☐ バージョンが8.2以下なら、8.3以上に変える予定を立てた
- ☐ 変える前に、バックアップを取った
- ☐ 知らないユーザーやプラグインがないか見た
まとめ
今回のPHPの欠陥は、とても大きなニュースになりました。でも、レンタルサーバーでWordPressを使っている人がやることは、とてもシンプルです。
- PHPのバージョンを確認する
- サーバー会社のお知らせを見る
- 古かったら新しくする
車も、車検に出しますよね。ホームページも同じです。作って終わりにせず、ときどき点検することが、あなたとお客様を守る一番の近道です。
「自分での対応が難しい。」「何をしたら良いか分からない。」「HPを作った人と連絡がつかない。」という方は、シャムハムにご連絡ください。できる限りのお手伝いいたします。
シャムハム公式LINE
シャムハムお問い合わせフォーム
※参考：今回の欠陥は「PHP2Shell」とも呼ばれ、識別番号はCVE-2026-109618とCVE-2026-109619です。深刻度は2件とも10点満点中9.2（緊急）。修正版はPHP 8.5.12／8.4.27／8.3.36／8.2.35です。サーバー会社の対応状況は2026年10月23日時点の情報です。
出典：
コメント