PHPに重大な脆弱性が発覚。
2026年10月21日、PHPに重大な脆弱性が発見されたことが公表され、修正版が緊急公開されました。PHPは、WebサイトやWebアプリケーションの開発に広く使われているプログラミング言語です。業界内では一時的にパニックが生じ、多くのWebサイトが予防的な閉鎖や緊急メンテナンスに追い込まれるなど、IT業界全体が対応に追われる事態となりました。
今回の問題で、特に深刻だったのは、日本のWebサイトの約87%がPHPで動いているという点です。（世界では、約69%がPHP）しかも、「W3Techsの調査データ」によると、PHPを使っているサイトの34.6%は、すでに公式サポートが終了した古い「PHP 7系」や「PHP 5系」のまま運用されているのです。サポートが切れた環境には修正プログラムが届かないケースが多く、無防備な状態に晒されています。
今回修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）が配布された「PHP 8.2」についても、2026年末にはサポート終了が迫っていますから、単に今回の脆弱性を塞ぐだけでなく、常に最新の動作環境を維持していく姿勢が求められています。
PHPが止まった日
一時的に、ウェブサイトが見れなくなり、身近な生活インフラや行政の現場にも、多く影響が出ました。被害を未然に防ぐための予防的停止によって、私たちの日常生活やビジネス機能が一時的にストップしてしまいました。社会のあちこちで予期せぬ不便や戸惑いが広がり、たった1つのプログラム言語の脆弱性が、社会機能の停止から制作現場の混乱まで、目に見えない技術基盤が私たちの日常といかに密接につながっているかを痛感させられました。
攻撃による主な被害と影響
PHPの脆弱性を放置し、悪意のある第三者から攻撃を受けてしまった場合、システムの乗っ取りや、情報の漏洩、Webサイトの改ざんや、強制的にダウンさせられたりします。また、身に覚えのないファイルが、サーバー上に繁殖することがあります。
さらに恐ろしいのは、自社のサーバーが他の企業や公的機関を攻撃するための「拠点」として悪用されるケースです。気づかないうちに加害者の立場となり、被害を受けた第三者から法的責任や損害賠償を追及されるリスクもはらんでいます。
保守の責任分担
Webサイトの運用には、サーバー会社や制作・保守担当者、そして運営元であるクライアントなど、数多くの担当者が関わっています。では、今回のようなサーバー内の重大な脆弱性が発覚した際、いったい誰が対応にあたればよいのでしょうか。
サーバー会社がPHPの修正パッチを適用してくれる場合もありますが、環境を新しくしたことでWebサイトが正常に動作するかどうかまでは保証されません。一方で、Web制作会社がWordPressなどの運用を代行していても、サーバー内部のソフトウェア環境を自由に改変できるわけではありません。
クライアント自身がサーバーを契約しているケースでは、契約内容や管理権限によって対応の承認や判断が不可欠となります。このように、責任範囲が多岐にわたる環境下では、一般的に次のような役割分担が基本となります。
| 担当 | 主な役割 | 具体的対応 |
|---|---|---|
| サーバー会社 | サーバー基盤の提供・維持・障害対応 | サーバー基盤の維持管理、PHP環境（修正版）の提供、WAF提供、障害対応 |
| 制作・保守担当者 | 専門技術によるサイトの運用・検証 | サイトへの影響確認、作業前バックアップ、PHP切り替え、CMS・テーマ・プラグイン更新、互換性確認・動作検証 |
| サイト所有者 | 保守体制の整備・対応方針の決定・承認 | 契約管理、保守体制の整備、緊急時の対応判断・指示・承認 |
もちろん、実際の責任範囲は契約内容やサーバー環境によって異なりますが、保守体制や責任の境界線が曖昧なまま運用されているWebサイトが少なくありません。
特に多いのが、数年前に制作して以来、放置状態になっているサイトです。制作当時の社内担当者が退職していたり、制作会社との保守契約が途切れていたりするケースでは、今回のような重大な脆弱性が発表された際に、「一応、Webサイトはあるけど、誰に相談すればいいのか分からない」「自社のシステムがどのバージョンで動いているか把握できていない」というパニックを引き起こしました。
組織内に「Webの裏側の仕組みを継続的に管理・把握している人材」が不在であるために、緊急時における「誰が判断し、誰が対応するのか」というエスカレーションラインの欠如が、今回の騒動で大きな構造課題として浮き彫りになりました。今回のインシデントを教訓に、自社のWebサイトが「誰によって、どのような体制で守られているのか」を今一度見直し、持続可能な管理体制を構築していくことが求められています。
PHP脆弱性への対応
今回の事態を受け、当方で実際に実施した対応手順をまとめました。Webサイトの安全を守るための具体的な一例として、少しでもご参考になれば幸いです。
- 作業前のバックアップ
- PHPの切り替え
- 不要な公開情報の整理
- 2段階認証の導入
- WAFの有効化
- CMS・プラグイン・テーマの更新
- サーバー会社の対応状況確認
PHPの更新は、単に新しいバージョンへ切り替えれば終わりというものではありません。上げた後に、思わぬ場所で不具合が出ることがあり、確認と切り分けが必要でした。Webサイトで使用しているCMSやテーマ、プラグインとの互換性を確認し、更新後に問題なく動作しているかを検証する必要がありました。
サーバー会社が修正パッチを適用する場合もあり、利用者側で必要な対応は契約環境によって異なります。渦中では、レンタルサーバーの管理画面にアクセスが集中し、何度もログインできない状態に陥りました。緊急時には、技術的な対応だけでなく、正確な情報を収集し、状況に応じて判断することも重要です。保守とは、更新作業そのものだけでなく、必要な対応を見極める仕事でもありました。
バックアップとセキュリティ
バックアップとセキュリティ対策は別のものです。バックアップは、万が一問題が発生したときに、データやWebサイトを復旧するための備えであり、PHPやCMSのアップデートは、既知の不具合や脆弱性を修正するための対策です。二要素認証は、管理画面への不正ログインを防ぐための対策です。
WAFは、不正な通信を検知し、攻撃のリスクを軽減するための仕組みであり、それぞれに役割があります。どれか一つを導入していれば、すべて安全になるというものではありません。また、バックアップが存在していても、実際に復旧できる状態かどうかを確認しておく必要があります。PHPの更新についても、新しいバージョンへ変更することで、古いテーマやプラグインが正常に動作しなくなる場合があるので、更新前のバックアップ、互換性の確認、更新後の動作検証が重要になります。
今回のような緊急時には、修正の必要性を優先しながら、サイトへの影響を見極めることも重要です。単に「更新してください」と言うのは簡単ですが、実際の保守現場では、その前後にも確認すべきことがたくさんあります。
Webサイトは、生きている。
これからの保守のあり方
Webサイトの制作に着手する際は、完成を目指し、デザインを考え、ページを組み立て、必要な機能を実装して公開になります。公開した時点から、Webサイトの時間が動き出します。刻々とサーバーの環境は変わり、プログラミング言語は更新され、ブラウザの仕様も変化します。新しい技術が生まれ、古い技術はサポートを終了していきます。
Webサイトそのものは何も変えていなくても、それを取り巻く環境は絶えず変化しています。定期的なアップデートや適切な保守管理は、「何も起きない状態」を維持するための投資であり、万が一の事態から企業の信用と事業を守る最大の盾となります。
わたしは、Webサイトは生きているものだと思っています。植物を育てるように、様子を見ながら手を入れる。必要なものを加え、ときには古いものを取り除く。問題が起きたら原因を調べ、対処する。そうした積み重ねによって、長く使い続けられるWebサイトになっていくのではないでしょうか。
近年はAIの進化によって、Webサイトを作ること自体のハードルが大きく下がっています。以前なら専門的な技術が必要だった機能も、AIを活用することで、比較的短い時間で実装できるようになりました。でも、作ることが簡単になったからといって、維持することまで簡単になったわけではありません。どのような技術を使っていても、公開したあとの管理や安全性を考える必要があります。
公開後のその先を支える。
今回のPHP脆弱性騒動は、私にとっても多くのことを考える機会になりました。長年Web制作に携わっていても、見落とすこともあります。定期的に確認し、必要な対策を積み重ねていかなければなりません。また、今回の騒動では、サーバー会社による対応の違いや、保守担当者とサイト所有者の役割分担についても考えさせられました。
Webサイトの安全は、誰か一人が守るものではなく、サーバー会社、制作・保守担当者、サイト所有者によって、支えられている。それぞれが役割を理解し、必要なときに連携できることが大切です。Webサイトは、公開したら完成ではありません。作ること。使い続けられるように維持すること。そして、変化に合わせて育てていくこと。これからも、その一つひとつを大切にしていきたいと思います。
Webサイトの保守・メンテナンスについて
WordPressをはじめとするWebサイトの保守・メンテナンスも承っています。PHPのバージョン確認、WordPressやプラグインの更新、バックアップ、セキュリティ設定の点検、動作確認など、サイトの運用環境に合わせて対応しています。長期間メンテナンスを行っていないサイトや、現在の管理状況が分からないサイトについても、お気軽にご相談ください。
お読みいただきありがとうございました。
MITSUYO NAKATA.
参考資料
関連記事一覧
