「制作会社から急に『PHPのバージョンアップが必要』と連絡が来たが、専門用語ばかりで判断できない」
「Webの知識がまったくないけれど、自社のホームページは今サイバー攻撃の標的になっているのだろうか……」
「自社のサイトは本当に大丈夫なのか？」と強い不安を抱えているWeb担当者様や経営者様に向けて、まず結論からお伝えします。
2026年10月21日、世界中のWebサイトの約7割で使われているプログラミング言語「PHP」において、極めて深刻な脆弱性（通称「PHP2Shell」、CVE-2026-109618 / CVE-2026-109619）が公表されました。国内でも大学、金融機関、公的機関など200以上の組織が予防的にサイトを緊急停止するなど、大きな警戒が広がっています。
結論からお伝えすると、PHPの脆弱性とは「Webサイトを動かすプログラムに生じた防犯上の隙間（穴）」のことです。この穴を放置すると、サイトの改ざんや顧客情報の漏洩だけでなく、自社サイトが他社へのサイバー攻撃の踏み台（加害者）にされる重大なリスクが生じます。今すぐ取るべき対策の基本は「自社サイトのPHPバージョンを確認し、サポート期限内の安全なバージョンへ更新すること」です。
「専門知識がないから何を基準に判断すればよいか分からない」
「下手に触ってホームページの画面が真っ白になったら取り返しがつかない」
こうした不安を抱えるWeb担当者様や企業経営者様に向けて、本記事では難しいIT用語を日常のたとえ話に置き換えながら、PHP脆弱性の仕組み、放置するリスク、そして知識ゼロから自社サイトを守る具体的な手順を分かりやすく解説します。
1. 知識ゼロから理解する「PHP脆弱性」の基本と緊急事態
Webサイトの保守・運用の現場で、いま最も緊急性の高いテーマとなっているのがPHPのセキュリティです。まずは直近で起きた出来事と、「PHP」「脆弱性」という言葉の本来の意味をわかりやすく整理していきましょう。
1-1. 重大な脆弱性「PHP2Shell」とは？何がそれほど危険なのか
2026年10月21日に公表された通称「PHP2Shell」は、セキュリティの危険度を表す国際指標（CVSS v4.0）で「9.2（緊急）」という最高レベルに近いスコアを記録しました。
この問題の最大の特徴は、「管理者のログインIDやパスワードを一切知らなくても、外部から特殊な通信を送りつけるだけで、サーバーを勝手に遠隔操作（リモートコード実行）される恐れがある」という点です。
情報処理推進機構（IPA）やJPCERT/CCによる緊急告知を受け、国内でも多数の組織がWebサイトを一時停止する異例の対応を取りました。すでに修正パッチが提供されていますが、古いバージョンのPHPを放置しているサイトは、現在も無防備な危険にさらされ続けています。
1-2. そもそもPHPとは？（Webサイトの「裏方スタッフ」）
Webサイトには、看板のように誰が見ても同じ画面が表示される「静的なページ」と、利用者の操作に応じて画面が変化する「動的なページ」の2種類があります。
たとえば、私たちが普段利用しているWebサイトの以下の機能は、すべて裏側でプログラムがリアルタイムにデータを処理しているからこそ動作しています。
- お問い合わせフォームに情報を入力して送信すると、自動返信メールが届く
- 会員サイトにログインすると、マイページに自分の名前や過去の注文履歴が表示される
- ブログのトップページを開くと、最新記事が自動的に並んで表示される
- サイト内検索でキーワードを入れると、該当する記事だけが抽出される
この「裏側で休むことなくデータを処理し、ページを組み立てて表示させるプログラミング言語」の代表格がPHPです。
店舗に例えるなら、HTMLやCSSといったデザイン言語は「店舗の外装や内装、看板」です。それに対してPHPは、「お客様から注文伝票を受け取り、バックヤードの倉庫から商品を取り出してレジで正しく計算する裏方の店員スタッフ」にあたります。表からは見えませんが、Webサイトが動くための心臓部です。
1-3. 脆弱性とは何か？（オフィスの「鍵の欠陥や隙間」）
IT用語の「脆弱性（ぜいじゃくせい）」とは、プログラムの設計ミスや予期せぬ不具合によって生じた「セキュリティ上の欠陥やすき間（セキュリティホール）」のことです。
これもオフィスビルに例えると直感的に理解できます。どれほど頑丈な鉄筋コンクリート造のビルであっても、次のような状態になっていたらどうでしょうか。
- 正面玄関のオートロックに特定の暗証番号を入れると、誰でも解錠できてしまう不具合がある
- 非常階段のドアの建付けが悪く、外から針金を差し込むと内側のレバーが下りてしまう
- 換気用の小窓の留め具が緩んでおり、外から軽く押すだけで外れてしまう
こうした「防犯上の欠陥」こそが脆弱性です。どんなに優秀な開発者が作ったシステムであっても、機能が複雑になるにつれて予期せぬ隙間が生じることがあります。その隙間を攻撃者に発見されると、ビル（サーバーやサイト内部）へ侵入されてしまいます。
1-4. なぜ世界中のWebサイトでPHPが集中的に狙われるのか？
最大の理由は、「世界中のWebサイトのおよそ7割でPHPが使われているから」です。
とりわけ、世界で最も普及しているWebサイト構築システム（CMS）である「WordPress（ワードプレス）」は、PHPを基盤に作られています。全Webサイトの4割以上がWordPress製であるため、Webの世界においてPHPは圧倒的な市場シェアを占めています。
攻撃者の視点で考えると、利用者の少ないマイナー言語の穴を探すよりも、数億サイトで共通して使われているPHPの穴を1つ見つけるほうが、はるかに効率よく大量の標的を攻撃できます。普及率が桁違いに高いからこそ、世界中のサイバー犯罪者から常に狙われやすい環境にあります。
2. 「うちは大丈夫」は危険！PHP脆弱性を放置すると起こる4大リスク
「うちは地方の中小企業だし、特別な機密情報もないから狙われないはず」
そう考えて対策を後回しにしてしまうケースが後を絶ちません。しかし、現代のサイバー攻撃の主流は、特定の企業を狙う標的型攻撃だけではありません。「脆弱性を放置した無防備なサイトを自動ツールで巡回し、手当たり次第に攻撃を仕掛ける無差別攻撃」が日常化しています。
2-1. Webサイトの改ざん（勝手にページを書き換えられる）
最も目に見えやすい被害が「サイト改ざん」です。サーバーの管理者権限を奪われることで、以下のような被害が発生します。
- トップページの画像や文言が、不審な主張や攻撃者のマークに書き換えられる
- 偽ブランド通販や違法カジノへ誘導するスパムページが、サイト内に何百ページも勝手に作成される
- ユーザーが自社サイトを閲覧した瞬間、強制的に詐欺サイト（フィッシングサイト）へ転送される
取引先や顧客が自社のホームページを開いた際に怪しげな警告や詐欺画面が表示されれば、長年築き上げた企業の社会的信用は一瞬で失墜します。
2-2. 個人情報・顧客データの漏洩
PHPは、顧客情報やお取引履歴を保存している「データベース（電子金庫）」と直接やり取りを行っています。脆弱性を突かれると、金庫の扉が勝手に開けられ、以下のような重要情報が抜き取られる危険性があります。
- お問い合わせフォームから送信された個人情報（氏名、住所、電話番号、メールアドレス）
- 会員サイトのログイン情報（ID、パスワード）
- 見積もり依頼内容や購入履歴、企業の機密取引データ
個人情報が流出した場合、個人情報保護法に基づき、監督官庁への報告および本人への個別通知が法律上義務付けられます。損害賠償や謝罪会見、原因調査費用など、中小企業であっても数千万円単位の損失に発展するケースがあります。
2-3. 他社へのサイバー攻撃の「踏み台（加害者）」にされる
多くの企業が見落としがちな最も恐ろしいリスクが、「自社サイトが被害者になるだけでなく、他社を攻撃する加害者に仕立て上げられること」です。
攻撃者は乗っ取ったサーバーを遠隔操作できる状態（ボット化）にし、自社のサーバーを踏み台にして次のような犯行に及びます。
- 他社の大規模サーバーを一斉にダウンさせる攻撃（DDoS攻撃）の発信元として悪用される
- 自社のドメインやサーバーから、世界中に何十万通もの迷惑メールやウイルス付きメールをばらまく
- 官公庁や大企業へ不正アクセスを仕掛ける際の中継地点にされる
警察やセキュリティ機関から連絡を受けて初めて気づく企業も少なくありません。「知らなかった」「うちも被害者だ」では済まされず、加害者としての法的・社会的責任を問われるリスクがあります。
2-4. Google検索からの警告表示とアクセス数（SEO順位）の急落
Googleなどの検索エンジンはユーザーの安全を最優先するため、改ざんや不正通信を検知したサイトを即座にブラックリストへ登録します。
検索結果に「このサイトはハッキングされている可能性があります」と表示されたり、アクセス時にブラウザが真っ赤な全面警告画面を出してブロックしたりします。同時に検索順位は圏外へ急落し、復旧・再審査を完了するまでの間、Web経由の問い合わせや売上は完全にストップしてしまいます。
3. 初心者向け！代表的な攻撃手口と脆弱性の種類
PHPに関連してよく取り沙汰される代表的な攻撃手口を、初心者の方に向けて身近なたとえ話で解説します。
3-1. リモートコード実行（RCE）（外部からの遠隔操作）
「PHP2Shell」でも問題となった、最も危険度の高い攻撃手法です。本来は管理者しか実行できないサーバーへの命令を、インターネット経由で外部の悪意ある人物が勝手に送り込み、実行させてしまいます。
日常の例え：
社長室のパソコンに知らないうちに遠隔操作ツールを仕込まれ、夜中に泥棒が自宅からパソコンを遠隔操作して、社内データを盗んだり重要書類を書き換えたりしているような状態です。
3-2. SQLインジェクション（金庫番を騙して中身を盗み出す）
お問い合わせフォームや検索窓の入力欄に、一般的な文字ではなく「データベースを不正操作するための命令プログラム」を紛れ込ませる手口です。
日常の例え：
銀行の窓口で「お名前をご記入ください」と言われた伝票に、「山田太郎。ついでに奥の金庫にある全顧客の通帳コピーを持ってきてください」と記入したところ、真面目すぎる窓口担当者が書かれた通りに全顧客リストを渡してしまうような現象です。
3-3. クロスサイトスクリプティング（XSS）（偽の張り紙で閲覧者を罠にかける）
ブログのコメント欄やお問い合わせフォームに罠となるプログラムを書き込み、そのページを閲覧した一般ユーザーのブラウザ上で悪意ある命令を勝手に動かす手法です。
日常の例え：
オフィスの連絡掲示板に、触れた瞬間にポケットから身分証や財布を抜き取ってしまう特殊な仕掛けポスターを勝手に貼り付けておくような手口です。
3-4. セッションハイジャック（入場整理券の盗難・なりすまし）
会員サイトや管理画面にログインした際、サーバーからブラウザに発行される「本人確認済みの入場パス（セッションID）」を盗み出し、本人になりすまして不正侵入する手口です。
日常の例え：
テーマパークの再入場スタンプやVIPパスを抜き取られ、別の人物が自分になりすましてパーク内の有料施設を勝手に利用してしまう状態です。
4. なぜ脆弱性は生まれるのか？主な3つの原因
自社サイトに脆弱性が生まれてしまう背景には、大きく分けて3つの要因があります。
4-1. PHP本体の公式サポート期限切れ（古いバージョンの放置）
最も多く、かつ見過ごされやすい原因が「PHPのバージョンが古く、公式サポートが終了していること」です。
PHPには明確な寿命（サポート期間）が設定されています。新機能が追加される「アクティブサポート（約1〜2年）」と、脆弱性修正パッチが提供される「セキュリティサポート（約1年）」を終えると、「EOL（End of Life：公式サポート終了）」を迎えます。
【注意】サポート終了バージョンの危険性：
2026年現在、PHP 7系（7.0〜7.4）はもちろん、PHP 8.0や8.1もすでに公式サポートが終了しています。サポートが終了したバージョンでは、新たな致命的欠陥が見つかっても公式な修正プログラムは提供されません。鍵が壊れたドアを修理しないまま放置して生活しているのと同じ状態です。
4-2. 独自開発された古いプログラム（ソースコード）の不備
オーダーメイドで開発された独自のお問い合わせフォームや検索機能などに、現在のセキュリティ基準を満たさない古いコードが残っているケースです。入力された文字列を安全に処理する「サニタイズ（無害化）」処理が抜けていると、格好の侵入口となります。
4-3. WordPress本体やプラグイン・テーマの更新放置
WordPressを利用している場合、導入している「プラグイン」や「テーマ」の更新放置が侵入経路になる事例が多発しています。使っていない無効化プラグインであっても、サーバー内にファイルが存在するだけで攻撃の標的になり得るため注意が必要です。
5. Web知識がなくてもできる！自社サイトを守る5つの安全確認・セキュリティ対策
専門的なプログラミング知識がなくても、以下の5つの基本対策を確認・実施するだけで、自社サイトの防犯強度は大幅に向上します。
5-1. 【最重要】自社のPHPバージョンをレンタルサーバー画面で確認・更新する
最も根本的な対策は、Webサーバーで稼働しているPHPのバージョンを、現在公式サポートが提供されているバージョン（PHP 8.3、8.4、8.5など）に保つことです。
エックスサーバー、さくらインターネット、ロリポップなどのレンタルサーバー管理画面にログインすると、「PHPバージョン設定」という項目があります。現在の数字を確認し、「7.x」や「8.0」「8.1」などのサポート終了バージョンになっている場合は、早急な更新が必要です。
5-2. WordPress本体・プラグイン・テーマを最新版に更新する
WordPressの管理画面に表示される更新通知を定期的に適用しましょう。また、過去に導入して現在は使っていない「無効化されたプラグイン」は、サーバーから完全に削除することが鉄則です。
5-3. WAF（Web Application Firewall）を有効化する
WAFとは、Webサイトに向けられる不正な通信を門番のように検知してブロックする「Web専用の防火壁」です。主要なレンタルサーバーでは、管理画面のスイッチを「ON」にするだけで無料で利用できる機能が標準搭載されています。
5-4. 管理画面のログイン保護（二要素認証・強固なパスワード）
管理者IDを推測されやすい「admin」にしないこと、パスワードを16桁以上の英数記号混在にすること、スマートフォンアプリによる「二要素認証」を導入することで、力ずくの不正ログイン（総当たり攻撃）を確実に防ぎます。
5-5. 定期的な自動バックアップ体制を構築する
未知の脆弱性が突然発見されることもあるため、セキュリティに「100%絶対安全」はありません。万が一被害に遭った場合でも、「昨日の正常なデータ」があれば短時間でサイトを復旧できます。サーバーの自動バックアップ機能やプラグインを活用し、安全な復旧ラインを確保しておきましょう。
6. Webディレクターが明かす「自社でPHPバージョンアップをしてはいけない理由」と安全な移行手順
「PHPのバージョンを上げれば安全になるのは分かった。でも、管理画面のボタン一つ押すのが怖くてできない」
実は、これが現場の担当者様から最も多く寄せられる本音です。
実際、ビーズクリエイト（長野・群馬）がこれまでに保守・診断を担当した中小企業サイトでも、「社内担当者がサーバー管理画面でバージョンを更新した直後、画面全体が真っ白になり、復旧までに丸2日を要した」「問い合わせ完了画面が表示されず、見込み客からの連絡が1ヶ月間ゼロになっていた」といった深刻なトラブル事例が実際に発生しています。古いプラグインや非推奨関数が1箇所残っているだけでも、システム全体は容易に停止してしまいます。
古いPHPの文法で作られたプラグインや独自プログラムは、最新のPHPに対応できずエラーを起こすことがあります。その恐怖から「動いているのだから触らないでおこう」と何年も放置してしまうのは、現場目線では無理のない判断です。
しかし、脆弱性を突かれて企業信頼を失うリスクに比べれば、事前の検証にかかる工数はわずかなものです。安全にアップデートを行うためには、「本番サイトをいきなり触らず、必ず『テスト環境（検証用の複製サイト）』を作って事前検証を行うこと」がプロの現場における絶対条件となります。
- 本番サイトのデータを丸ごと複製したテスト環境を構築する
- テスト環境上でPHPのバージョンを引き上げる
- 画面表示、問い合わせフォーム、管理画面の動作などを網羅的にテストする
- エラーが発生するプラグインや古い記述を修正・差し替える
- 安全を確認した上で、アクセスの少ない時間帯に本番サイトへ反映する
この手順を徹底すれば、ホームページを停止させることなく、安全確実に最新のセキュリティ基準へ移行できます。
[ご案内] 「社内にテスト環境を作る技術がない」「自社サイトの安全性を確かめたい」担当者様へ
ビーズクリエイトでは、本番サイトを止めずに安全な移行が可能かを診断する「PHPバージョン・セキュリティ無料チェック」を実施しています。
自社サイトのPHP安全性・移行手順をプロに相談する（無料）
7. PHPの脆弱性に関するよくある質問（Q&A）
Q1. PHPを更新するとWebサイトのデザインが崩れると聞きましたが本当ですか？
A. はい、古いテーマや長年更新されていないプラグインを使っている場合、不具合が発生する可能性は十分にあります。
新しいPHPでは廃止された古いプログラム記述が原因でエラーになります。そのため、本番環境でいきなり更新するのではなく、事前にテスト環境で安全性を確認してから作業を行うことが不可欠です。
Q2. 個人情報を扱っていない小規模なコーポレートサイトでも狙われますか？
A. はい、狙われます。むしろ中小企業や小規模サイトこそが格好の標的となっています。
攻撃者は自動巡回ツール（ボット）を使い、インターネット全体から「古いPHPを放置している無防備なサイト」を機械的に探しています。実際にビーズクリエイトへ寄せられる被害相談の多くも、特別な個人情報を保持していない一般的な中小企業のコーポレートサイトです。自社に機密情報がなくても、他社を攻撃するための「中継地点（踏み台）」や「迷惑メールの配信拠点」として悪用されるリスクがあるため、規模を問わずすべてのサイトで対策が必要です。
Q3. レンタルサーバー側で勝手に安全なバージョンに更新してくれないのですか？
A. サーバー会社が勝手にバージョンを変更することはありません。最終的な管理責任はサイト運営者にあります。
急なバージョンアップによって利用者のWebサイトが表示されなくなるリスクを避けるため、サーバー会社側で強制的に切り替えることは原則ありません。自社で管理・判断して更新を行う必要があります。
8. まとめ：PHPの安全な運用が企業の信頼とWeb戦略の土台になる
Webサイトのセキュリティ対策は、デザインリニューアルや新規集客と比べると、どうしても優先順位を下げられがちです。
しかし、たった一つのセキュリティホールを突かれるだけで、長年積み上げてきた企業のブランド、検索エンジンでの順位、そして顧客からの信頼が一夜にして失われてしまいます。セキュリティの確保とは、単なる守りではなく「ビジネスを安定して成長させ続けるための強固なインフラ」です。
まずは一度、自社サイトが利用しているサーバーの管理画面を確認し、PHPが安全なバージョンにあるかを確かめてみてください。
9. 参考・引用文献
- JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（CVE-2026-109618、CVE-2026-109619） https://www.jpcert.or.jp/at/2026/at260033.html
- IPA（情報処理推進機構）：PHPのセキュリティリリース公開について https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- PHP.net：PHP Supported Versions（公式サポート期限一覧） https://www.php.net/supported-versions.php
- W3Techs：Usage Statistics and Market Share of PHP for Websites https://w3techs.com/technologies/details/pl-php
「自社のPHPバージョンが分からない」「更新でサイトが崩れるのが怖い」とお悩みの企業様へ
PHPのバージョンアップは、手順を誤るとサイト全体のレイアウト崩れやお問合せフォームの停止を引き起こす繊細な作業です。
コア・イノベーション株式会社（ビーズクリエイト）では、専門知識を持つ担当者が不在の企業様に代わり、「現在のPHP環境・脆弱性の無料診断」から「検証用テスト環境の構築」「安全なバージョンアップ作業代行」までをワンストップでサポートしています。
- 自社サイトが攻撃対象となる危険なバージョンか診断してほしい
- 過去に制作会社と連絡が取れなくなり、何年も放置状態になっている
- 本番サイトを止めることなく、安全確実に最新バージョンへ切り替えたい
【無料相談】自社サイトのPHP安全性チェック・移行相談はこちら
お電話でのお問い合わせ：0268-71-0751（平日 9:00〜18:00 / 群馬・長野全域対応）
