PHPの問題、何をすればいい？ 大きな話題になった理由と、慌てず確認したいこと
2026年10月21日に修正版が公開されたPHPの重大な問題について
「PHPに重大な問題が見つかった」と聞いて、「スマホを触らないほうがいい？」「パスワードを全部変えるべき？」と不安になっていませんか。
まず、このニュースを見ただけで、インターネットの利用をすべてやめる必要はありません。今回は主に、Webサイトを動かす側が修理をする必要のある問題です。
ただし、会社やお店のホームページを持っている方は、制作会社や管理担当者に「うちのサイトは影響がありますか？ 対策は終わっていますか？」と、早めに確認してください。
何が起きたのか、なぜ大きな話題になったのか、そして自分は何をすればよいのか。難しい仕組みを知らなくてもわかるように、順番に説明します。
※2026年10月22日時点の情報です。最新の対応状況は、利用しているサービスやサーバー会社の公式案内をご確認ください。
PHPとは、サイトの裏側で働く仕組み
ネットで商品を探す、会員ページにログインする、お問い合わせを送る。こうした操作をすると、サイトの裏側では、必要な情報を取り出したり、入力内容を受け取ったりしています。
PHPは、その裏側の仕事を動かすためのプログラミング言語の一つです。プログラミング言語とは、コンピューターに仕事の手順を伝えるための言葉のこと。ホームページやブログを作る「WordPress」にも使われています。
また、サイトの情報を保管し、画面を届けるコンピューターを「サーバー」と呼びます。今回、主に修正が必要なのは、このサーバーで動いているPHPです。
何が問題なの？ お店の裏側に、入り込まれる弱点が見つかった
たとえば、ネットのお店を一つの店舗だと考えてみてください。お客さんは正面の入口から入り、お店の人だけが裏側の設備を操作します。
ところが、その設備に弱点があり、外部の人が、本来できない操作をできてしまうとしたらどうでしょうか。お客さんが自分の会員証を大切に保管していても、お店側で設備を直す必要があります。
今回のPHPの問題も、このように利用者の注意だけでは直せない、サイトの裏側の弱点です。条件がそろうと、攻撃者がログインせずに、サーバー上で不正な処理を動かせる可能性があります。
悪用されると、サイトの内容を書き換えられたり、保存された情報を盗み見られたり、サービスが使えなくなったりするおそれがあります。できることや被害の範囲は、そのサーバーの設定や扱える情報によって異なります。
こうした安全上の弱点を「脆弱性（ぜいじゃくせい）」といいます。今回の2件は、まとめて「PHP2Shell」とも呼ばれています。
なぜ、こんなに大ごとになったの？
今回の2件は、危険度を0〜10の数字で評価する仕組み「CVSS」で、どちらも9.2点とされています。分類は最も重大な「Critical（緊急）」です。これは弱点の深刻さを示す数字で、「92％の人が被害に遭う」という意味ではありません。
多くのサイトに共通する仕組みだったから
一つのお店だけの問題なら、そのお店で修理すれば済むかもしれません。しかし、同じ設備が多くのお店で使われていたら、それぞれのお店で確認と修理が必要になります。
PHPも、多くのWebサイトで使われています。今回の問題は一部のサイトの作り方だけに限った話ではなく、広い範囲で確認が必要な、土台の問題だったため、大きな注意喚起につながりました。すべてのサイトがPHPを使っているわけではなく、実際の危険性も環境によって変わります。
被害が出たときの影響が大きいから
文字がずれる、画面が少し遅くなる、といった不具合とは違います。外部の人が不正な処理を動かせれば、情報やサイトの運営そのものに被害が及ぶおそれがあります。
しかも、利用者が強いパスワードを使っていても、サーバー側の弱点そのものは直りません。管理する側が、早く対策することが重要です。
修理の準備と、情報を出すタイミングが重要だから
重大な弱点が見つかった場合、修理方法を用意する前に、侵入の手がかりが広まってしまうと危険です。守る側の準備が整う前に、悪用する側が動けてしまうからです。
そのため、関係者の間で先に修正の準備を進め、詳しい情報を出す時期を調整することがあります。今回もPHP公式が更新版の公開予定を事前に知らせ、IPA（国の情報セキュリティ対策などを支援する機関）も、公開後すぐに対応できるよう準備を呼びかけました。
修正が公開された後も、まだ更新していないサイトは対策を急ぐ必要があります。修正方法の公開は、世の中のサイトすべての修理完了を意味しないためです。
「決まった時刻になった瞬間に、全員が被害に遭う」という話ではありません。管理者が早く対応できるよう、多くの人が注意を呼びかけていた、と受け止めてください。
ネットを使う側の人は、何をすればいい？
まずは、いつもの公式サイトやアプリで案内を確認
利用している通販サイトや会員サービスが気になる場合は、公式のお知らせを確認しましょう。影響の有無や、利用者がするべきことが案内されていれば、それに従ってください。
ニュースを見たという理由だけで、すべてのサイトの利用をやめたり、片っ端から問い合わせたりする必要はありません。「弱点が発見された」ことと、「自分の情報が流出した」ことは別です。
一方で、「発表がないから絶対に安全」とも言い切れません。調査中のお知らせがある場合は、その後の案内も確認しましょう。
パスワードを全部変えるより、必要な対応を確認
今回のニュースだけを理由に、すべてのパスワードを一斉に変える必要はありません。ただし、利用サービスから変更を求められた場合や、身に覚えのないログイン・購入があった場合は、公式の窓口で確認して対応してください。
同じパスワードを複数のサービスで使わないことや、「二段階認証」を設定することは、普段から役立つ備えです。二段階認証とは、パスワードに加え、認証アプリなどでも本人かを確認する仕組みです。
ただし、二段階認証を設定しても、今回のサーバー側の弱点が直るわけではありません。自分のアカウントを守る備えと、サイト側の修理は、両方必要なものとして考えましょう。
「今すぐ対策してください」という偽の案内に注意
不安なときほど、「こちらから安全確認」「対策ソフトをダウンロード」といった案内に従いたくなるものです。でも、その案内自体が偽物かもしれません。
メールや広告のリンクを急いで開く前に、いつもの公式アプリや、保存してある公式サイトから確かめてください。パスワードや、本人確認のために届く数字のコードを、相手に教えないことも大切です。
ホームページを持っている人は、管理者へ連絡を
会社やお店のホームページ、WordPressのブログを持っている方は、自分が詳しくなくても確認が必要です。「作ってもらったから大丈夫」「サーバー代を払っているから自動で直るはず」で終わらせないでください。
まずは、制作会社、保守をお願いしている相手、社内のIT担当者などに連絡しましょう。難しい聞き方をする必要はありません。
ニュースになっているPHPの問題について、うちのホームページにも影響があるか確認をお願いします。必要な対策は終わっていますか？ まだの場合は、いつ対応できるか、それまでに何をすればよいか教えてください。
返事をもらったら、「影響なし」「対策済み」「対応中」のどれなのかまで確認してください。「調べておきます」という返事なら、後で結果も聞いておきましょう。
担当者がわからない場合は、契約しているサーバー会社の案内や問い合わせ窓口から確認を始めてください。
画面が普通に見えていても、対策済みとは限らない
サイトがいつもどおり表示されることと、安全上の弱点が直っていることは別です。また、WordPress本体を更新することと、その裏側で動くPHPを更新することも別の作業です。
サーバー会社が自動で対応する範囲も、利用環境によって異なります。提供会社の案内に加え、自分のサイトで使っている環境にも対策が適用されたかを確認しましょう。
詳しくないまま設定を変えると、サイトが動かなくなる場合があります。自分で無理に変更するより、管理者に任せて結果を確認することが大切です。
なお、更新が終わったことだけで、更新前の被害がなかったとまでは判断できません。気になる点があれば、不審なアクセスやサイトの書き換えがないかも、管理者に相談してください。
慌てなくて大丈夫。でも、確認はしておこう
今回の問題は、軽く考えてよいものではありません。ただ、ネットを使うすべての人が、自分で専門的な作業をしなければならないわけでもありません。
- サービスを使う方：公式のお知らせを確認し、必要な案内があれば対応する。
- ホームページを持つ方：管理者に連絡して、対策が済んだか確認する。
専門用語がわからなくても、「うちのサイトは大丈夫ですか？ 対策は終わっていますか？」と聞くことには意味があります。不安を抱えたままにせず、確認するところから始めてみてください。
確認先がわからないときは、インターネットわくへ
「ホームページの管理を誰に頼んでいたかわからない」「今回だけ確認を手伝ってほしい」。そんなときは、現在の契約先や管理状況を整理するところからご相談いただけます。必要な調査・作業と料金は、内容を確認してご案内します。
当サイトのサーバー環境については、PHPの重大な脆弱性への対応完了のお知らせをご覧ください。
管理担当者に伝えるための補足・参考情報
今回の問題を識別する番号は、CVE-2026-109618／CVE-2026-109619です。管理担当者に伝えると、どの問題のことか確認しやすくなります。
PHP公式の修正版は、8.2.35、8.3.36、8.4.27、8.5.12です。提供会社が既存の版に修正を組み込む場合もあるため、番号だけで判断せず、提供元の対応状況も確認してください。設定変更だけで完全に解決できる問題ではなく、修正の適用が必要です。
AIに相談