ホームページを運営していると、WordPressやプラグインの更新通知が届くことがあります。
その都度、更新している方もいれば、制作会社や管理会社に任せている方もいらっしゃると思います。
では、ホームページを動かしている「サーバー」の管理状況は把握できていますか？
2026年10月21日、PHPというプログラムに深刻な脆弱性が公表されました。
PHPは、WordPressや問合せフォームなど多くのWebサイトで使われているプログラミング言語です。今回の問題は、悪用されるとサーバー上で不正なプログラムを実行される可能性があるというもので、国内外で大々的に注意喚起が行われています。
PHP脆弱性の公表後、私たちもクライアント様たちのホームページ（Webサイト）について確認や修正対応を進めました。
その中で、PHPの脆弱性とは別に、ホームページの管理体制そのものに問題があるケースが見つかりました。
今回は、PHPの脆弱性の概要と、ホームページを安全に運営するために確認しておきたいことをまとめてみます。
PHPの脆弱性とは？
PHPは、WordPressをはじめとするホームページやWebシステムを動かすために使われているプログラミング言語です。
今回、PHPに深刻なセキュリティ上の弱点が2件見つかり、2026年10月21日に修正版が公開されました。
この脆弱性を付かれると、悪意を持った攻撃者が外部からサーバー上で不正なプログラムを実行できる可能性があります。
その結果、次のような被害トラブルにつながるおそれがあります。
- ホームページの改ざん
表示内容を書き換えられたり、不正なページを設置されたりする。 - 不正なプログラムの設置
サーバー内に不正なプログラムを置かれ、別の攻撃に利用される。 - 情報漏えい
サーバー内のファイルや設定情報などを不正に取得される可能性がある。個人情報をサーバーで保管していた場合、最悪の場合、個人情報の流出も想定されます。
今回の脆弱性については、攻撃に悪用された事例も報告されており、早急な対策が必要とされています。
ただし、PHPのバージョンが古いからといって、すべてのWebサイトが同じ状況にあるわけではありません。サーバー会社が修正プログラムを適用している場合もあるため、利用環境ごとに確認する必要があります。
WordPressを更新するだけでは不十分です
WordPressを使っている場合、WordPress本体やテーマ、プラグインの更新は日常的に行っているかもしれませんが、PHPはWordPressとは別に、サーバー側で動いているプログラムです。
そのため、WordPressを最新にしただけでは、PHPの脆弱性への対策が完了したことにはならないのです。
確認したいのは、現在利用しているPHPのバージョンと、契約しているサーバー会社が今回の脆弱性に対してどのような対応を行っているかです。
今回、修正されたPHPのバージョンは次のとおりです。
| PHPの系列 | 修正版 |
|---|---|
| PHP 8.2系 | 8.2.35 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.5系 | 8.5.12 |
レンタルサーバーを利用している場合は、サーバー会社側で修正プログラムを適用していることがありますので、その場合、利用者が自分でPHPのバージョンを変更する必要はありません。
反対に、VPSや専用サーバーなど、自分たちでPHPを管理している環境では、修正版への更新が必要になります。
大切なのは、バージョン番号だけを見て判断するのではなく、自分のサーバー環境で必要な対策が実施されているかを確認すること。
サーバー会社の対応状況を確認しましょう
今回のような脆弱性が公表された場合、まずは契約しているサーバー会社の公式サイトやお知らせをまず確認します。
代表的なレンタルサーバーでは、次のような管理画面を利用します。
Xserverの場合
サーバーパネルにログインし、「PHP Ver.切替」から現在のPHPバージョンを確認できます。
ただし、今回のような脆弱性については、サーバー会社側で修正対応が行われている場合もあります。
PHPのバージョンを変更する前に、公式のお知らせで対応状況を確認してください。
さくらインターネットの場合
サーバーコントロールパネルからPHPのバージョンや設定を確認できます。
こちらも、サーバー会社側での修正対応と、自分で管理しているPHP環境があるかどうかを確認することが大切です。
その他のレンタルサーバーの場合
ConoHa WINGなど、他のレンタルサーバーでも基本的な考え方は同じです。
各社の公式サイトでセキュリティに関するお知らせを確認し、今回の脆弱性への対応が完了しているかを確認しましょう。
なお、VPSや自社サーバーなど、自分でPHPをインストール・管理している場合は、サーバー会社のお知らせだけでは対応が完了しないことがあります。
自分の環境でPHPがどのように動いているかを把握したうえで、必要な更新を行う必要があります。
今回の対応で、サーバーの管理体制にも問題が見つかりました
今回、PHPの脆弱性への対応を確認する中で、もうひとつ気になったことがあります。
それは、Webサイトを動かしているサーバーの管理状況です。
実際に、今回の対応をきっかけに、前任者が管理していたサーバーに初めてログインしたというクライアント様がいらっしゃいました。
IDやパスワードがどこにあるかを探し出し、ログインをトライ。2段階認証のどこに届いているかいくつものメールアカウントを確認して発見できたので、PHPバージョンを確認することができました。
また、別のクライアント様では、そもそもサーバーの管理画面にログインできないという問題も発覚したり…
Webサイトは問題なく表示されているので、普段はサーバーの管理画面にログインする機会はあまりありません。
しかし、いざセキュリティ上の問題が発生したとき、管理画面に入れなければ、必要な確認や対応ができないことを再認識しました。
- サーバーの契約者は誰なのか
- ログイン情報はどこに保管されているのか
- 管理を担当しているのは誰なのか
- 前任者から必要な情報が引き継がれているのか
- サーバーの契約や更新状況を把握できているのか
こうした基本的なことが曖昧になっているホームページは、決して珍しくないのかもしれません。
今回のPHPの脆弱性は、サーバーの管理体制を見直す良いきっかけになったと感じています。
ホームページの安全管理で確認しておきたいこと
今回の問題をきっかけに、あらためて次の項目を確認してみてください。
- サーバー会社と契約内容を把握している
- サーバーの管理画面にログインできる
- ログイン情報を安全な場所に保管している
- サーバーの管理担当者が明確になっている
- PHPのバージョンとサーバー会社の対応状況を把握している
- WordPress本体、テーマ、プラグインを適切に更新している
- 定期的にバックアップを取っている
すべてを自社で管理する必要はありません。
制作会社や保守会社に任せている場合でも、誰が何を管理しているのか、必要なときに確認できる状態になっていることが大切です。
ホームページは公開して終わりではありません
ホームページは、会社の大切な資産です。
集客や採用、情報発信など、さまざまな目的で活用しているWebサイトが、セキュリティ上の問題で改ざんされたり、突然表示できなくなったりしてしまっては困ります。
今回のPHPの脆弱性は、技術的にはサーバー側の問題です。
しかし、今回の対応を通じて感じたのは、技術的な対策だけでなく、サーバーの契約やログイン情報、管理担当者といった基本的な管理体制も重要だということです。
Webサイトは作って終わりではありません。
安全に運用し続けるためには、定期的な確認と適切な保守・更新が必要です。
今回の問題をきっかけに、一度ご自身のホームページの管理状況を確認してみてください。