2026年10月下旬、ニュースで「PHPに重大な脆弱性が見つかった」と大きく報じられました。官公庁や企業のWebサイトが予防のために一時停止したという話も出ており、「自分のホームページは大丈夫？」と不安になった方も多いと思います。この記事では、専門用語をできるだけ使わずに、何が起きたのか、そして何をすればよいのかを図解で説明します。

PHPとは？ なぜ影響が大きいの？

PHPは、Webサイトの裏側で動くプログラム言語です。お問い合わせフォームの処理、会員ページ、ネットショップ、そして世界中で使われているWordPressも、PHPで動いています。報道では、世界のWebサイトの多くがPHPを使っていると言われており、それだけに今回の問題の影響範囲も広くなります。

何が見つかったの？

報道によると、今回見つかったのは、CVE-2026-109618とCVE-2026-109619という2件の脆弱性です。脆弱性とは、プログラムの弱点のことです。どちらもPHPが使うメモリ（データを一時的に置いておく場所）の扱いに関わる欠陥だと伝えられています。深刻度を表す評価（CVSS v4.0）は、どちらも9.2という高い値でした。

難しい話ですが、作業机にたとえると分かりやすくなります。本来は、使い終わった書類をきれいに片付けてから次の人が机を使います。ところが、片付けが不十分なまま書類が残っていると、次に来た人にそれを悪用される恐れがあります。今回の欠陥は、この「片付け忘れ」のようなものです。報道では、特定の条件下で、サーバー上で意図しない操作をされる危険があると説明されています。

使い終わったメモ用紙が机に残り、次の人に悪用される、というメモリ管理の欠陥のたとえを三段階で示した図
片付け忘れのような欠陥なので、サイトの中身ではなく、PHP自体を直す必要があります。

なぜサイトが止まったの？

報道では、財務省の一部のサイトや、政治家の公式サイトなどが、予防のために一時停止したと伝えられています。これは、実際に被害が出たからというより、修正版に切り替えるまでの間、念のためサイトを止めておくという判断だと考えられます。IT専門メディアの記事には、記事の執筆時点では実際の悪用は確認されていないという趣旨の記載もあります。

一方で、SNSなどでは、被害や悪用に関する様々な情報が飛び交っています。出どころのはっきりしない話に振り回されず、公式の情報とご利用のサーバー会社の案内を確認することが大切です。

修正版はどれ？ 自分のPHPを確認しよう

報道によると、修正された版は次のとおりです。ご利用中の系統（8.5、8.4など）の欄で、この番号以上になっていれば、修正済みと考えられます。

PHP 8.5は8.5.12以降、8.4は8.4.27以降、8.3は8.3.36以降、8.2は8.2.35以降が修正版であることを示した表の図
番号がこれより小さい場合や、8.1以前のように古い系統の場合は、更新または相談が必要です。
  • PHP 8.5系：8.5.12以降
  • PHP 8.4系：8.4.27以降
  • PHP 8.3系：8.3.36以降
  • PHP 8.2系：8.2.35以降

PHP公式サイトの更新履歴では、8.5.12と8.4.27の公開を確認できました。8.3.36と8.2.35は、本記事の執筆時点では、報道の記載をもとにしています。最終的な番号と対象範囲は、必ずPHP公式サイトの情報でご確認ください。

また、サポートが終了した古い系統（8.1以前など）の扱いは、情報源によって記述が異なります。古いPHPを使い続けている場合は、早めの移行を検討してください。

サイト運営者が今すぐやること

PHPのバージョン確認、修正版かの判断、更新の依頼、動作確認という4つの手順を示した図
まずは「今のPHPのバージョンを知る」ことから始めます。

1. 今のPHPのバージョンを調べる

  • レンタルサーバーの管理画面（PHP設定の項目）で確認できる場合が多いです。
  • WordPressなら、管理画面の「ツール」から「サイトヘルス」を開き、「情報」の「サーバー」欄でPHPのバージョンを確認できます。

2. 修正版かどうかを判断する

先ほどの表と見比べます。分からない場合は、サーバー会社のサポートに「PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況」を問い合わせるのが確実です。

3. 更新する（その前にバックアップ）

PHPの更新は、サイトの動作に影響することがあります。更新の前に、ホームページのファイルとデータベースのバックアップを取ってください。レンタルサーバーでは、PHPのバージョン切り替えをサーバー会社が行う場合と、管理画面から自分で切り替える場合があります。案内に従ってください。

4. 更新後に動作確認する

トップページ、お問い合わせフォーム、ログイン画面、ネットショップの購入画面など、主な機能が動くかを実際に試します。古いプラグインなどが原因で、更新後に表示が崩れることもあります。

よくある勘違い

  • WordPressを最新にしたから安心：WordPress本体を更新しても、PHPは更新されません。PHPはサーバー側のソフトです。
  • 自分のサイトは小さいから狙われない：脆弱性は、規模に関係なく、自動的に探されて試されることがあります。
  • phpinfoのページを公開したままにしている：サーバーの設定情報を外部に見せる状態は避けてください。不要なページは削除します。

自分で対応するのが不安な場合

「自分のサイトのPHPが何なのか分からない」「更新して表示が崩れたら困る」という場合は、無理に自分で操作せず、専門の業者やサーバー会社にご相談ください。フリーサポートエンジニアリングでも、バージョンの確認、バックアップ、動作確認のご相談を承っています。

まとめ

今回のPHPの脆弱性は、PHP自体の弱点であり、サイトの中身を直しても防げません。修正版（8.5.12、8.4.27、8.3.36、8.2.35以降）へ更新することが基本の対策です。慌てずに、次の順番で進めましょう。

  1. 今使っているPHPのバージョンを調べる
  2. 修正版かどうかを確認する
  3. バックアップを取って、更新する
  4. 更新後に、サイトの動作を確認する

なお、この記事は、2026年10月23日時点の報道と公開情報をもとにしています。状況は変わることがあるため、最新の情報はPHP公式サイトとご利用のサーバー会社の案内をご確認ください。