PHPの脆弱性、自社のホームページも対象？確認先と対応の順番

PHPの脆弱性が自社のホームページに影響するかは、PHPを使っているか、必要な修正が適用されているかで確認します。制作・保守会社やサーバー事業者へサイトのURLを伝え、公開中の環境を調べてもらってください。WordPress本体を更新済みでも、PHPの対応は別に確認が必要です。

この記事では、プログラムやサーバー設定に詳しくないホームページ担当者に向けて、連絡先と確認する内容をまとめます。途中に、そのまま使える問い合わせ文も用意しました。

PHPの脆弱性は、WordPressのホームページにも関係する

PHPは、サーバー上でページを作ったり、フォームから届く内容を処理したりするために使われます。WordPressを動かすためにも必要なソフトウェアです。WordPress公式の動作要件

2026年10月21日、PHP公式は、外部から認証なしでプログラムを実行されるおそれがある重大な脆弱性2件の修正版を公開しました。識別番号はCVE-2026-109618とCVE-2026-109619です。公式は、Webサイトへのアクセスを処理するPHP環境を対象として挙げています。PHP公式告知

公式には10月23日の追加情報と、10月26日のWindows向け配布物の更新も掲載されています。この記事の情報確認日は2026年11月2日です。対応を依頼するときは、最初の告知だけで終わらせず、提供元の後続情報も確認してもらいます。

PHPとWordPressは別々に更新されます。「WordPressは自動更新しています」という回答を受けたら、サーバー側のPHPについても修正の適用状況を聞いてください。普段のWordPress保守は、本体・プラグイン・PHPの更新を確認するガイドで整理しています。

自社サイトでPHPを使っているか、誰に聞けばよいか

最初の連絡先は、現在のホームページを保守している会社です。サーバーを自社で契約しているなら、その事業者にも対象サービスの対応状況を確認できます。IPAも、利用している製品やサービスの影響について、開発者・提供元の情報を確認するよう案内しています。IPAの注意喚起

サイトのURL、届いた通知、分かればサーバーの契約名をそろえると、相手が確認する対象を絞れます。サーバー事業者の「修正を提供しました」という告知と、自社が使っている環境への適用が終わったことは、分けて確認します。

URLに「.php」がなくても、裏側でPHPを使うことがあります。トップページはHTMLだけで、問い合わせフォームにPHPを使っている場合もあります。「会社案内しか載せていないから対象外」と見た目で決めず、フォームや管理画面も含めて聞いてください。

連絡先が見つからないときは、ホームページのサーバー・管理会社を調べる手順を参照してください。公開情報の調査だけで契約者や保守担当者まで判明するとは限らないため、社内の請求書や納品資料も確認します。

制作会社へは、対象URLと確認事項をまとめて送る

「うちのサイトは大丈夫ですか」だけでは、相手が何を調べて回答するかが曖昧になります。次の文面にURLと通知の情報を入れて、現在の保守窓口へ送れます。

件名：ホームページのPHP脆弱性への対応状況の確認

対象サイト：［自社サイトのURL］
確認した通知：［通知名・日付・公式告知のURL］

公開中のホームページについて、以下をご確認ください。

1. ページ・フォーム・管理画面でPHPを使っていますか。
2. 今回の脆弱性と追加情報に対し、必要な修正は適用済みですか。
   確認した環境と、対応日・根拠となる提供元の案内を教えてください。
3. 残る作業があれば、担当者と実施予定を教えてください。
   それまでに必要な対応もご案内ください。
4. 更新後の表示と問い合わせ送信は、誰が確認しますか。

調査に時間がかかる場合は、次のご回答予定をお知らせください。

当てはまるか判断できない項目も、削らずに「不明」として確認を依頼できます。社内で版番号や構成を調べ切ってから連絡する必要はありません。

「対応済み」の回答では、自社の公開環境まで確認する

回答が届いたら、自社のURLが確認対象に含まれているか、修正が実際の公開環境へ反映されたかを読みます。「更新予定」「修正版を選択可能」は、適用完了とは違います。未完了の作業には担当者と予定を付けてもらってください。

PHPのバージョンの数字だけで、対応済みかを決められない場合もあります。OSやサーバーの提供元が、元の版に修正を取り込んで配布することがあるためです。担当者には、提供元の案内と実際の環境を照合してもらいます。PHP公式の更新案内

URLを入力する外部の診断サービスも、確認の参考にはなります。ただし、外から見える情報には限りがあり、結果だけで安全性を確定できません。トレンドマイクロも、自社の診断について同様の制約を説明し、運用担当者や提供元への最終確認を求めています。診断の対象と制約に関する説明

ページがいつもどおり表示されることも、修正が済んだ証明にはなりません。表示・送信の動作確認と、脆弱性への修正適用は、それぞれ結果を残します。

更新すると動かなくなると言われたら、未対応期間の扱いも決める

古いフォームやプラグインが新しいPHPで動くか、検証が必要な場合があります。保守担当者には、更新前のバックアップ、確認するページと機能、不具合が出たときの対応を整理してもらいます。ホームページ担当者は、止めると困る問い合わせや予約などを伝えてください。

検証のために時間がかかる場合も、その間の対応を決めます。IPAは、更新まで脆弱な状態で放置せず、環境に応じた暫定対策やアクセス制限を検討するよう案内しています。公開を一時停止する必要があるかも、技術担当者と事業責任者で判断します。修正対応が難しい場合のIPAの案内

連絡がつかない場合は、契約先の別のサポート窓口や社内の情報システム担当にも相談します。見覚えのないページや不審な送信があるときは、その状況も伝え、調査・復旧が必要かを確認してください。

対応後は、PHPを使い続ける必要があるかを見直せる

会社案内や店舗情報、お知らせが中心なら、公開ページをあらかじめファイルにして配信する「静的サイト」も選べます。ページを見せるためのPHPを公開環境から外せれば、その部分の脆弱性を調べ、更新する負担を減らせます。

お知らせの編集画面や問い合わせは、別の仕組みとして残せます。必要な機能と保守の範囲は、静的サイトのセキュリティとWordPressとの違いで説明しています。

静的化を検討している間も、今のサイトへの対応は続けます。今回の修正が済んだことを確認したうえで、日々使っている機能と、今後も管理できる範囲を整理してください。会員機能や独自の予約システムを運営している場合は、Webサービスの改修・再構築の判断を参考にできます。