2026年10月21日21:55、高市総理がXに「大至急のお願い」を投稿しました。
PHPという、多くのWebサイトが動いている土台のプログラムに、重大な脆弱性が2件見つかった件です。投稿は、23時に公開される修正パッチを速やかに当てること、それが難しければWebサイトを一時的に止めることも有効な手だ、という内容でした。国家サイバー統括室も同じ日に3回、注意を呼びかけています。
WordPressは、このPHPで動いています。
宮城県塩竈市で、AIを使ってWebサイトを作っている制作会社として、WordPressのサイトを持つ社長と、会社のWeb担当の方に向けて、今日やることを書きます。
この記事の要点
目次
何が起きたのか
PHPの公式サイトが発表した脆弱性は、次の2件です。
- CVE-2026-109618（メモリ不足の処理の途中で、中途半端な状態のデータが正しいものとして扱われてしまう）
- CVE-2026-109619（前の通信で使い終わったはずの内部の状態が、次の通信で使われてしまう）
深刻度はどちらも9.2（10点満点）。どちらも、外から命令を実行されてしまう種類の穴です。PHP側は、mod_phpという動かし方では特に危険が高く、ログインしていない相手が、サイトのプログラムが動き出す前に攻撃を始められる例を確認したと書いています。
修正版は次の4つです。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1以前には、もう修正版が出ません。
そしてPHP側は「完全な回避策は無い。更新だけが安全」と書いています。設定で一時的に危険を下げる方法も示されていますが、あくまで更新までのつなぎです。
社長が今日やること
- サーバー会社の管理画面で、PHPのバージョンを見る
- 8.2以上なら、上の修正版のどれかへ更新する
- 8.1以下なら、サイトを一時的に止めるか、今日中に制作会社へ連絡する
自分でサーバーを触ったことがない社長も多いと思います。その場合は、サイトを作った制作会社か、サーバーを契約している会社に「PHPのバージョンと、今回の更新の予定を教えてください」と聞くのが一番早いです。
会社のWeb担当が今日やること
会社が持っているサイトは、コーポレートサイト1つとは限りません。
- 自社サイト・採用サイト・キャンペーンのLPを全部書き出す
- WordPressで作ったものに印を付ける
- 印の付いたものごとに、制作会社かサーバー会社へPHPのバージョンと更新予定を聞く
- 8.1以下で更新できないものは、止めるか、移すかを上に判断してもらう
忘れられた昔のLPほど、更新されずに残っています。
「制作会社に任せているから大丈夫」ではない
サイトの更新を制作会社に任せている会社は多いです。それ自体は普通のことです。
ただ、今回の総理の投稿にあった「サイトを一時的に止める」という判断は、サイトを持っている会社にしかできません。制作会社は、止めるかどうかを決める立場にはいません。
更新が今日中に終わるのか、終わらないなら止めるのか。この2つは、会社の側で答えを持っておく必要があります。
パッチの夜は、これからも来る
今回の更新を当てれば、今回の穴はふさがります。
ただ、PHPで動くサイトは、裏でプログラムが動きつづけています。プログラムが動いている限り、次の重大な更新はまた来ます。そのたびに「当てるか、止めるか」の判断が会社に回ってきます。
うちの作り方は、PHPが無い作り
Web春が作るサイトは、できあがったページをCloudflareから配るだけです。裏で動きつづけるプログラムがありません。PHPを使っていないので、今回のような更新の夜もありません。
- サイトの中身はコードとして手元のGitHubに残る。ツールの会社に何かあっても引っ越せる
- 作るのもAI、見張るのもAI。自社サイトの維持費は、年10万円弱から年1,500円になった
- WordPressからの移行は、記事100本を超えるサイトでも経験がある
無料の緊急診断をしています
WordPressのサイトを持っていて、自分ではどうしていいか分からない方へ。
サイトのURLを送ってもらえれば、外から見えるPHP・WordPressの状態を調べて、次の3つのどれかを1営業日以内に返します。
- 今すぐ止めるべきか
- 更新で足りるか
- PHPが無い作りへ移すべきか
申し込みは、Web春のお問い合わせフォームから。本文に「PHP診断」と書いてください。
出典
制作実績
よくある質問
WordPressは今回のPHPの脆弱性の対象ですか？
WordPressはPHPで動いているため、サーバーのPHPが修正版より古ければ対象です。サーバー会社の管理画面でPHPのバージョンを確認してください。
PHP 8.1以下の場合はどうすればいいですか？
PHP 8.1以前には修正版が出ません。サイトを一時的に止めるか、制作会社やサーバー会社に連絡して、8.2以上への更新か移行を判断してください。
設定で回避できますか？
PHP公式は一時的に危険を下げる設定を示していますが、完全な回避策は無く、更新だけが安全としています。
