10月21日の夜から、Webサイトの多くで使われているプログラミング言語「PHP」の重大な脆弱性が大きな話題になっています。
国内でも有名なWebサービスやゲームが相次いで一時停止し、首相が公式Xで対応を呼びかける事態にもなりました。
LAUGHSにも「うちのサイトは大丈夫？」「何をすればいいの？」というお問い合わせを多くいただいています。
そこで本記事では、専門知識がない方にもわかるように、
①何が起きているのか、
②今すぐできる対策、
③エックスサーバーなどのレンタルサーバーを使っている企業がこれからやるべきことを整理しました。
※本記事は2026年10月22日時点の公開情報をもとにしています。
状況は刻々と変わっているため、最新情報はPHP公式、IPA（情報処理推進機構）、ご利用中のサーバー事業者の公式発表をあわせてご確認ください。
まず結論：企業が今やるべき3つのこと
- 自社のサイトがPHPで動いているかを確認する（WordPressで作ったサイトは、ほぼ確実にPHPで動いています）
- サーバー事業者や制作・保守会社の告知を確認する（レンタルサーバーなら、PHP本体の修正は基本的に事業者側が対応します）
- PHPのバージョンが古い場合は、サポート中のバージョンへの切り替えを計画する（PHP 8.1以前は、今回の通常の修正版の対象外です）
慌ててサイトを削除したり、出どころのわからない「対策ツール」を入れたりする必要はありません。順番に確認していきましょう。
何が起きているのか：現状の整理
PHP本体に「乗っ取り」につながる2件の欠陥
見つかったのは、PHPそのもの（Webサーバー上でプログラムを動かす土台の部分）にある2件の脆弱性です。
識別番号はCVE-2026-109618とCVE-2026-109619で、海外では「PHP2Shell」とも呼ばれています。
深刻度はいずれも10点満点中9.2（CVSS v4.0）の「緊急（Critical）」レベルです。
悪用されると、ログインなどの認証なしに、外部からサーバー上で任意のプログラムを実行される（＝サーバーを乗っ取られる）おそれがあります。
技術的には、メモリ不足時の処理や、リクエスト処理後に内部データが残ってしまう問題が原因とされています。
影響を受けるのは「Webで動いているほぼすべてのPHP」
- 報道や各セキュリティ企業の分析では、PHP 5.4から8.5.11までの幅広いバージョンが影響を受けるとされています
- PHP-FPM、Apacheのモジュール版（mod_php）、php-cgi、LiteSpeedなど、一般的な動かし方の多くが対象です。
とくにmod_phpは、アプリケーションのコードが動く前に攻撃できるため、最も危険とされています - WordPressやプラグインを更新しても、この問題は解消しません。直すべきはPHP本体です
修正版は公開済み。ただし古いバージョンには注意
PHPの開発チームは、日本時間の10月21日23時ごろに修正版を公開しました。
- 修正版：PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
- PHP 8.1以前はすでにサポートが終了しているため、通常の修正版は出ていません。
開発チームは7.4・8.0・8.1向けに最小限の修正を加えたソースコードを公開していますが、サーバー事業者やOSのベンダーがそれを適用しているかは個別に確認が必要です
なお、修正版が出るまでの緩和策としていくつかのPHP設定の変更も紹介されていますが、開発チームは「攻撃を受ける範囲を減らすだけで、安全にするものではない」とし、アップデートが唯一の安全な選択肢だとしています。
悪用の状況は？
本来は修正版の公開と同時に詳細が公表される予定でしたが、その前に情報がインターネット上に流出したと報じられています。
実際の悪用については、10月22日時点で「攻撃の兆候が報告された」とするセキュリティ企業がある一方、「悪用は確認していない」とする企業もあり、情報が分かれています。
また、SNS上では真偽不明の攻撃コードも出回っています。
「まだ大丈夫」とも「もう手遅れ」とも決めつけず、早めに対応を進めるのが現実的な姿勢です。
国内の動き
10月21日の夕方以降、BASE、コドモン、pixiv、niconico、DMM.com、Cygamesのゲームなど、多くのサービスが予防的なメンテナンスや一時停止を行いました。
レンタルサーバーでも、さくらインターネット、エックスサーバー、GMOペパボ（ロリポップ！など）などが緊急メンテナンスを実施したと報じられています。
IPAや国家サイバー統括室も、PHPを使っているかの確認と、修正の速やかな適用を呼びかけています。
今すぐできる対策
ステップ1：自社サイトの「中身」を確認する
- PHPを使っているか：WordPress、EC-CUBE、Laravelなどで作ったサイトは基本的にPHPで動いています。
採用サイトやキャンペーンサイト、問い合わせフォームだけ別の仕組み、ということもあるので、運用中のサイトをすべて洗い出しましょう - どこで動いているか：レンタルサーバー（エックスサーバー、さくら、ロリポップ！、ConoHa WINGなど）なのか、VPSやクラウド（自社でサーバーを管理）なのかで、やるべきことが変わります
- PHPのバージョン：レンタルサーバーなら、多くの場合サーバーの管理パネルから確認できます。
WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」でも確認できます
ステップ2：サーバーの種類ごとの対応
レンタルサーバー（共用サーバー）の場合
- PHP本体の更新は、基本的にサーバー事業者が行います。
まずは事業者の公式のお知らせ・障害情報・公式SNSを確認しましょう - 管理パネルでPHPのバージョンを選べる場合、PHP 8.2以降を選べるならそちらに切り替えるのが一般的な推奨です。
ただし、古いテーマやプラグインが新しいPHPに対応していないと、サイトが表示されなくなることがあります。
切り替える前にバックアップを取り、可能であればテスト環境で確認してから行いましょう
VPS・クラウドなど自社でサーバーを管理している場合
- OS（Ubuntu、Debian、RHEL系など）のベンダーやリポジトリが提供している修正済みパッケージを適用し、PHPのプロセスを再起動します。
確認はPHPのバージョン番号だけでなく、各ベンダーのアドバイザリに記載されたパッケージの版で行うのが確実です - すぐに適用できない場合は、公式に示された緩和策（php.iniでの設定変更など）を検討しつつ、重要度の高いサイトは一時停止も選択肢になります。ただし緩和策は完全な対策ではありません
ステップ3：修正後に「侵入されていないか」を確認する
修正を当てても、それ以前に侵入されていた場合は、仕掛けられたものが残っている可能性があります。次のような点を確認しましょう。
- サーバー上（公開フォルダやアップロード用フォルダなど）に、見覚えのない
.phpファイルが増えていないか - WordPressなどの管理者ユーザーに、知らないアカウントが追加されていないか
- サイトの表示内容が書き換えられていないか、身に覚えのないメールが送信されていないか
- アクセスログに、短時間に大量の不審なリクエストが記録されていないか（自社で確認が難しい場合は、制作・保守会社に依頼しましょう）
あわせて注意したいこと
- 便乗した詐欺メールに注意：大きなニュースの直後は、サーバー事業者や公的機関を装って「緊急対応のためログインしてください」と誘導するメールが届くことがあります。
リンクは開かず、ブックマークや公式サイトから確認しましょう - 出回っている攻撃コードや「対策ツール」を安易に試さない：真偽不明のコードやツールそのものが、新たな被害の入口になることがあります
エックスサーバーなどレンタルサーバー利用企業の、これからの対応
事業者の対応と、利用者の役割を分けて考える
エックスサーバーは10月21日16時から、予防的な安全対策として公式サイトや管理画面などへのアクセスを一時停止しました。
同社は公式Xで、不正アクセスの発生によるものではないこと、Webサイトの表示やメールの送受信は引き続き利用できること、利用中のサーバーについても稼働を続けながら安全対策を進めていることを案内しています（管理画面の再開見込みは10月22日未明と告知）。
このように、レンタルサーバーではPHP本体やサーバーの保守は事業者の役割です。一方で、次の点は利用者側の役割として残ります。
- 管理パネルで選んでいるPHPのバージョン（古いバージョンのまま放置しない）
- WordPress本体・テーマ・プラグインの更新と、新しいPHPへの対応状況の確認
- 管理パネルやWordPressのアカウント管理、バックアップ
- 事業者からのお知らせを確実に受け取り、指示があれば対応すること
今後1〜2週間で進めたいこと
- 事業者の続報を追う：修正の適用状況や、古いPHPバージョンの扱い（提供終了・強制切り替えなど）について追加の案内が出る可能性があります。
連絡先メールアドレスが退職者などになっていないかも確認しましょう - PHP 8.1以前で動いているサイトの移行計画を立てる：今回のように、サポートが終わったバージョンには修正が届きにくくなります。
テーマやプラグインの対応状況を確認し、PHP 8.2以降への切り替えをスケジュール化しましょう - 「使っていないサイト」を整理する：過去のキャンペーンサイトやテスト環境など、更新されていないサイトは攻撃の入口になりやすいため、不要なものは削除を検討しましょう
- バックアップを事業者の外にも保存する：事業者の自動バックアップに加え、定期的にサイトのファイルとデータベースを自社でも保管しておくと、万が一のときの復旧が早くなります
- 誰が対応するかを決めておく：今回のような緊急時に、社内の誰が判断し、制作・保守会社やサーバー事業者とどう連絡を取るのか。この機会に体制を確認しておきましょう
「サイトは作って終わり」から「運用し続けるもの」へ
今回の件は、どれだけ広く使われている技術にも重大な欠陥が見つかりうること、そしてWebサイトは公開後も継続的な保守が欠かせないことを改めて示しました。
PHPのバージョンやプラグインの更新は目立たない作業ですが、企業の信用を守るための大切な土台です。
まとめ
- PHP本体に、認証なしでサーバーを乗っ取られるおそれのある「緊急」レベルの脆弱性が2件見つかり、10月21日夜に修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）が公開された
- WordPressの更新では解消しない。PHP本体の更新が必要で、PHP 8.1以前は通常の修正版の対象外
- レンタルサーバー利用企業は、事業者の告知を確認しつつ、PHPのバージョン確認・切り替え、侵入の痕跡チェック、便乗詐欺への注意を
- 今後は、古いPHPからの移行、不要サイトの整理、外部バックアップ、緊急時の連絡体制づくりを進めたい
LAUGHSでは、WordPressなどを使った企業サイト・ECサイトの制作や運用に携わっています。
「自社サイトのPHPのバージョンがわからない」「バージョンを上げたいけれど、サイトが崩れないか心配」「制作会社と連絡が取れず、誰に相談すればいいかわからない」といったお悩みがあれば、お問い合わせページからお気軽にご相談ください。
現状の確認から、無理のない対応の進め方まで一緒に整理します。