MedakaService 無料で相談する
緊急・重要 セキュリティ PHP / WordPress / 業務システム

【緊急】PHPに重大な脆弱性。ホームページも業務システムも、PHPで動くものは今すぐ更新が必要です

公開 ／ MedakaService（広島県東広島市）

結論：PHPで動いているWebサイト・業務システムは、修正版への更新が必要です。

2026年10月21日、PHP開発チームが「認証なしで外部から任意のプログラムを実行される恐れがある」重大な脆弱性2件（深刻度 CVSS v4.0 で 9.2）を修正したバージョンを公開しました。公式は「すべてのPHP利用者は直ちに更新を」と強く呼びかけています。

東広島市・広島県内の企業さま、店舗さま、団体さまのホームページの多くは、WordPressなどPHPというプログラムの上で動いています。 ホームページだけではありません。受発注・在庫・顧客管理などの社内システム、予約・会員・ECなどのWebサービスも、PHPで作られているケースが数多くあります。 今回の脆弱性はそのPHP本体に見つかったもので、「放っておくとサイトやシステムを乗っ取られかねない」レベルの問題です。 この記事では、専門知識がなくても判断できるように、何が問題なのか・自社のサイトやシステムが該当するか・何をすればいいかを整理しました。

1. 今回のPHP脆弱性の概要

公開日2026年10月21日 23:00（日本時間）／ The PHP Group による緊急セキュリティリリース
脆弱性CVE-2026-109618（メモリ不足時の処理に起因する遠隔コード実行）
CVE-2026-109619（解放済みの内部状態が次のリクエストに残ることによる遠隔コード実行）
深刻度Critical（緊急） CVSS v4.0 で 9.2 ／ 10
影響ログインなどの認証なしに、外部からサーバー上で任意のプログラムを実行される恐れ
対象Webリクエストを処理するすべてのPHP環境（PHP-FPM、Apache + mod_php、php-cgi、FrankenPHP、LiteSpeed など）。公式は特に mod_php 環境のリスクが高いとしています。CERT-EU の注意喚起では「PHP 5 以降が影響を受ける」とされています。
根本対策修正版へのアップデートのみ（公式：「完全な回避策はなく、更新が唯一の安全な選択肢」）

日本でも、独立行政法人 情報処理推進機構（IPA）がリリース前日に「事前準備のお願い」として注意喚起を出しており、 サポートが終了した古いPHPを使い続けているサイトやシステムは特に注意が必要、 攻撃者が「極めて短時間で攻撃を実行する可能性もある」と指摘しています。 また、悪用できるとされるコードが出回り始めているとの報道もあり、対応は時間との勝負です。

2. 何が問題になるのか（起こりうる被害）

「遠隔コード実行（RCE）」とは、簡単に言えば第三者があなたのサーバーを自由に操作できてしまう状態です。具体的には次のような被害につながります。

ホームページの改ざん

トップページが書き換えられる、詐欺サイトや不正広告へ勝手に転送される。会社の信用に直結します。

顧客情報の流出

お問い合わせフォームの履歴、会員・予約情報、データベースの中身が盗まれる恐れ。個人情報保護法上の報告義務が生じる場合もあります。

攻撃の「踏み台」にされる

乗っ取られたサーバーから迷惑メール送信や他社への攻撃が行われ、加害者側として扱われてしまうことも。

業務停止・社内ネットワークへの侵入

社内システムが乗っ取られると、受発注・在庫・顧客管理などの業務が止まるだけでなく、そこを足がかりに社内の他のサーバーやPCへ被害が広がる恐れがあります。

同じサーバーの他サイトにも波及

レンタルサーバーで複数サイトを運用している場合、1つが乗っ取られると同じアカウントの他サイトまで被害が広がる恐れがあります。

検索順位・集客への悪影響

改ざんやマルウェア配布が検出されると、検索結果やブラウザに「危険なサイト」と警告表示され、集客が止まります。

復旧コストと営業停止

被害後の調査・復旧・お客さまへの説明には、事前の更新よりはるかに大きな手間と費用がかかります。

3. 影響を受けるサイト・システム・環境

次のどれかに当てはまる場合は、確認・対応が必要です。

特に注意が必要なのは「PHPが古い × WordPressやプラグイン、フレームワークも古い」サイトやシステムです。 PHPだけ新しくすると、古いプラグインやプログラムが動かず画面が真っ白になる、業務システムの一部機能がエラーになる……ということが起こりやすく、 「怖くて触れないまま放置」になりがちなパターンです。 業務システムは、レンタルサーバーのようにサーバー会社が自動で修正版を当ててくれないことも多く、自社（または委託先）での対応が必須になります。

4. 修正版とバージョン別の対応

現在のPHP修正版必要な対応
PHP 8.5 系8.5.12修正版へ更新
PHP 8.4 系8.4.27修正版へ更新
PHP 8.3 系8.3.36修正版へ更新
PHP 8.2 系8.2.35修正版へ更新＋早めに上位版へ移行
2026年12月31日でサポート終了。以降は修正が提供されません。
PHP 8.1 以前
（8.0 / 7.x / 5.x）		公式リリースなしPHPのバージョンアップが必須
公式の更新対象外。WordPress・プラグインやシステム側プログラムの互換性確認・改修が必要です。

公式は一時的な緩和策として session.upload_progress.enabled=0 などの設定変更も案内していますが、 あくまで更新までの時間かせぎであり、根本的な対策にはなりません。 Cloudflare などのWAF（Webアプリケーションファイアウォール）も防御を追加していますが、完全ではなく、PHPの更新が前提とされています。

5. 今すぐやるべき対応 5ステップ

  1. PHPのバージョンを確認する

    WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。レンタルサーバーの管理画面の「PHP Ver.切替」等でも確認可能です。業務システムはサーバー上で php -v を実行するなどして確認します。分からなければ制作会社・開発会社か当社にご相談ください。

  2. バックアップを取る

    ファイルとデータベースの両方を保存します。万一の表示崩れや不具合に備え、すぐ元に戻せる状態をつくります。

  3. WordPress・プラグイン、システムのプログラムを新しいPHPに対応させる

    WordPressは本体・テーマ・プラグインを更新し、更新が止まっているプラグインは代替を検討します。業務システムはフレームワークやライブラリの更新、動かなくなる箇所の改修を行います。

  4. PHPを修正版・サポート中のバージョンへ上げる

    8.2〜8.5系は修正版へ、8.1以前は8.3以降などサポート中のバージョンへ移行し、表示・フォーム送信・管理画面、業務システムなら主要な業務フローが正常に動くか確認します。

  5. すぐ対応できない場合は一時停止も検討

    .htaccess で外部アクセスを遮断する等の応急処置があります。ただし下位フォルダの設定で素通りしてしまうケースもあるため、スマホの回線など外部から本当に止まっているかの確認が欠かせません。

6. MedakaServiceの対応サポート（東広島・広島）

MedakaServiceは、広島県東広島市を拠点にWebシステム・業務システムの開発・保守を行っています。 「自社サイトや社内システムが該当するか分からない」「制作会社・開発会社と連絡がつかない」「PHPを上げたらシステムが動かなくなりそうで怖い」——そんな東広島・広島の事業者さまの状況を伺い、 調査から更新・改修、動作チェックまで対応します。ホームページはもちろん、業務システムのPHP対応もお任せください。

① 状況の確認

サイトのURLやシステムの概要・サーバー情報を伺い、PHP／WordPress／フレームワーク等のバージョンと影響の有無を確認します。

② 更新・バージョンアップ

バックアップ取得のうえ、PHPの更新と、WordPress・プラグインや業務システムのプログラムの互換性対応・改修を行います。

③ 動作確認・応急処置

表示・フォーム・管理画面、業務システムの主要機能を確認。すぐ更新できない場合の一時停止なども相談に応じます。

④ その後の保守・移行

定期的なセキュリティ更新を含む保守・運用、古いサイトのリニューアルや老朽化した業務システムの再構築もご提案できます。

当社が制作・開発していないサイトやシステムでも、まずはご相談ください。

PHPの脆弱性対応、まずはお気軽にご相談ください

東広島・広島のホームページ／WordPress、社内システム・業務システムのPHP更新、保守のご相談を受け付けています。

  • ご相談・お見積りは無料
  • 他社制作のサイト・他社開発の業務システムもご相談可能
  • レンタルサーバー・VPS・自社サーバー・クラウドいずれも対応
  • 東広島市内はもちろん、広島県内・オンラインで全国対応
お問い合わせフォームで相談する → LINEで相談する メールで相談する

お問い合わせの際は「対象（ホームページ／業務システム等）」「サイトのURLやシステムの概要」「利用中のサーバー（分かれば）」をお知らせいただくとスムーズです。

7. よくあるご質問

自社のホームページやシステムがPHPを使っているか分かりません。

WordPressで作られたサイトは必ずPHPで動いています。それ以外でも、お問い合わせフォームや予約・会員機能があるサイト、ブラウザで使う社内システム・業務システム（Laravel、CakePHP、独自開発など）はPHPを使っていることが多いです。URLやシステムの概要を伺えば確認からお手伝いします。

レンタルサーバーなら自動で更新されるのでは？

修正版への更新はサーバー会社が行う場合もありますが、PHP 8.1以前を選択したままのサイトは修正版が提供されないため、利用者側でバージョンを上げる必要があります。古いWordPressやプラグインは新しいPHPで動かないこともあり、事前の確認が必要です。

他社が開発した業務システムでも対応してもらえますか？

はい。開発会社と連絡がつかない、担当者が退職して仕様が分からないといったシステムでも、ソースコードとサーバーを調査したうえでPHPの更新・改修・動作確認に対応します。VPSや自社サーバー、クラウドで動くシステムもご相談ください。

東広島市外でも対応してもらえますか？

はい。東広島市を拠点に、広島県内はもちろんオンラインで全国の事業者さまからのご相談にも対応しています。

参考情報

※本記事は2026年10月22日時点の公開情報をもとに作成しています。最新の情報は上記の公式発表をご確認ください。

PHP脆弱性対応を無料で相談する