「WordPressもプラグインも最新に更新してるから、うちはセキュリティ万全でしょ！」
もし今、そう高を括っている経営者さんやWeb担当者さんがいたら、今すぐその考えを捨ててください。マジで危険です。
2026年10月21日（水）23:00、Webサイトの裏側で動いているプログラミング言語「PHP」で、国家レベルで警戒すべきレベルの重大な脆弱性2件（CVE-2026-109618 / CVE-2026-109619）が公表され、緊急パッチが配布されました。
一部のセキュリティ企業や技術者の間では、今回の問題は「PHP2Shell（ピーエイチピー・ツー・シェル）」という名称で呼ばれ、世界中で速報が駆け巡っています。
「PHPの脆弱性」と聞いて、ピンと来た方もいるかもしれません。数ヶ月前（2026年6月）にも、Windows環境下のPHPを狙った深刻な脆弱性（CVE-2024-4577）が発見され、大規模な攻撃が観測されて大きなニュースになりました。今回の「PHP2Shell」は、まさにその悪夢を彷彿とさせる、あるいはそれ以上に広範囲のサーバー環境へ影響を及ぼす非常に極悪な脆弱性です。
どれくらい緊急事態かというと、高市早苗氏も自身の公式X（旧Twitter）で、夜遅くにわざわざこんな異例の緊急呼びかけを行っているレベルです。
皆様に、今夜に対応して頂きたい大至急のお願いです。 多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。 公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。 修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。 国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
— 高市早苗 (@takaichi_sanae) October 21, 2026
どんなリスクがあるのか？「鍵なし」でサーバーに入られる恐怖
「で、結局PHP2Shellって何がやばいの？」
専門用語で言うと「リモートコード実行（RCE）」の脆弱性なんですが、噛み砕いて言うなら「鍵を持っていない不審者が、ドアを通り抜けて自社サーバーの金庫室まで勝手に入り込める状態」です。
通常、管理画面に入るにはログインIDとパスワードが必要ですよね。ですが今回のバグ（PHP2Shell）を悪用されると、ハッカーはログイン認証なんて一切経由せずに、サーバー上で好きなプログラムを勝手に実行（Shell操作）できてしまいます。
放置すると、具体的にこんな地獄絵図が待っています。
- サイトの改ざん： 自社のトップページが勝手に怪しい海外サイトや詐欺画面に書き換えられ、アクセスした顧客をウイルス感染させる「加害者」になる。
- 個人情報の大量漏えい： 問い合わせフォームやECサイトに溜まった顧客情報、クレジットカード情報がごっそり盗まれる。
- サーバーの乗っ取り（踏み台化）： 自社のサーバーがハッカーに完全に乗っ取られ、他社や官公庁を攻撃するための「サイバー攻撃の拠点」として勝手に悪用される（※普通に警察沙汰になります）。
最大の落とし穴：「WordPressの更新」だけじゃ1ミリも防げない！
冒頭でも言いましたが、ここが一番多くの経営者さんが勘違いしている最大の落とし穴です。
「うちはWordPressを最新版にしてるから大丈夫」
……全然大丈夫じゃありません！
例えるなら、WordPressは「家（建物）」で、PHPはその家が建っている「地盤・土台」です。今回の問題は、建物の鍵（WordPressやプラグイン）ではなく、土台そのものに巨大な穴が空いている状態なんですよ。
どれだけ玄関の鍵を頑丈な最新式に取り替えても、土台に穴が空いていれば泥棒は床下から入ってきますよね。WordPressの管理画面から更新ボタンをポチッと押すだけでは1ミリも解決しないため、サーバー環境そのもののPHPバージョンを更新・修正する必要があるんです。
今すぐ自社で確認すべき「3つのこと」
自社サイトをサイバー攻撃の標的にさせないために、経営者が今すぐ現場に確認させるべきは次の3点です。
- 自社サイトが使っている「PHPのバージョン」
- サーバー会社による「修正パッチの適用状況」
- 誰が対応し、いつ完了を確認するか（責任者と期限の明確化）
エックスサーバーやさくらインターネットなどの大手レンタルサーバーを使っている場合でも、契約プランや利用環境によって対応が分かれます。「大手だから勝手に裏で直してくれるでしょ」と高を括らず、必ずご利用中のサーバー会社の公式アナウンスをチェックしてください。
「作業を依頼した」「サーバー会社が動いている」という途中の段階と、実際に自社の環境に修正が反映されて動作確認まで終わった状態はまったく別物です。完了までしっかり追跡してください。
具体的な対応手順とバージョン一覧
PHP公式から公開された修正パッチ適用済みのバージョンは以下の通りです。
- PHP 8.2系列 ── 8.2.35
- PHP 8.3系列 ── 8.3.36
- PHP 8.4系列 ── 8.4.27
- PHP 8.5系列 ── 8.5.12
※サーバー会社によっては、既存のバージョンに修正だけを取り込む「バックポート」を行う場合もあるので、番号だけで判断せず事業者の案内も確認してください。
【緊急警告】PHP 8.1以前を使っている企業は即アウトです
現在、PHP 8.1以前の古いバージョンは公式サポート（EOL）がすでに終了しています。
今回は異例中の異例として、PHP公式から7.4や8.0、8.1向けにも最低限の修正コードが出されていますが、サポート終了済みの古い環境を使い続けること自体が、泥棒に「どうぞお入りください」と看板を掲げているようなものです。今回の件を機に、サポート対象である「8.2以上」への移行計画を至急立ててください。
自社で更新作業をする際の注意点
自社でPHPのバージョンを上げるとき、よくあるのが「バージョンを上げた瞬間にサイトが真っ白になって動かなくなった！」という互換性エラーです。
作業するときは、必ず以下の手順を守ってください。
- STEP 1：全ファイルとデータベースのバックアップを必ず取る（※バックアップは復旧用であって、脆弱性を直す作業ではないので注意！）
- STEP 2：PHP更新後、主要機能が動くかテストする（問い合わせフォームの送信、管理画面、ECの決済処理など）
- STEP 3：すぐに更新できずリスクが高いなら「一時的にサイトを公開停止」にする（高市早苗氏の呼びかけ通り、乗っ取られて大損害を出すくらいなら、修正完了までサイトを止める方が遥かに賢い危機管理です）
制作会社や保守担当に任せている場合
「Webサイトは制作会社に丸投げしてるから分からないよ」という方は、今すぐ担当者にこの文章をそのままチャットで送ってください。
【制作会社・保守担当への確認文テンプレート】
「2026年10月21日に公表されたPHPの重大な脆弱性『PHP2Shell』（CVE-2026-109618/109619）について、当社サイトの対応状況をご確認いただけますでしょうか。
① 当社サイトのPHPバージョンと、今回の脆弱性の影響の有無
② 修正の適用状況（未対応の場合は対応予定スケジュール）
③ 更新後の動作確認と, 完了報告の予定
当社側で必要な判断や作業があれば、あわせてお知らせください。」
ここで一つ注意してほしいのは、「サイトを作ってもらった会社＝セキュリティ保守まで永久に面倒を見てくれる会社」ではないということです。月額の保守契約を結んでいない場合、相手が勝手に直してくれることはまずありません。「任せてるから大丈夫」と思い込まず、経営者側から能動的に確認を入れましょう。
【デマ注意】スマホの電源を切っても何の意味もありません！
SNS上では今回の騒動に乗じて、「Wi-Fiを切れ」「スマホの電源を落とせ」といった謎のデマ情報が拡散されています。
今回の問題は、あくまで「Webサイトを管理しているサーバー側」の脆弱性です。個人のスマホやPCの電源を切ったところで何の意味もありませんので、デマに惑わされず冷静に対応してください。
まとめ｜放置されたサイトはハッカーの「絶好の標的」になります
どれだけWeb広告やSEOにお金をかけて集客を強化していても、サイトが乗っ取られたり、顧客情報が流出したりすれば、一瞬で企業の信頼は失墜し、事業に深刻なダメージが残ります。
「うちみたいな中小企業のサイトなんて狙われないでしょ」
その油断が一番危険です。ハッカーは人間が手作業で探しているのではなく、自動攻撃プログラム（ボット）を回して無差別に穴のあるサイトを探し出しています。
今回を機に、まずは自社サイトの修正状況を今すぐ確認してください。
私たちWebminare（ウェブミナーレ）でも、自社管理サイトおよびクライアント様の環境において、順次状況の確認と緊急セキュリティ対応を進めております。
- 自社サイトのPHPバージョンが分からなくて不安だ
- PHPを上げたらサイトが崩れそうで手が出せない
- 制作会社と連絡が取れず、どう対応すべきか困っている
という経営者・Web担当者様は、万が一の被害が発生して手遅れになる前に、いつでもご相談ください。
サイバー攻撃の被害者・加害者になる前に。自社サイトの緊急点検を。
Webサイトのセキュリティ対策、PHPバージョンアップに伴う動作検証、サーバー環境の最適化について、Webminareがサポートいたします。対応でお困りの際はお気軽にお問い合わせください。
[WebminareにWebサイトのセキュリティ・保守について相談する（無料）]
参考情報・出典元
- PHP公式： 重大なリモートコード実行の脆弱性「PHP2Shell」に関する告知（CVE-2026-109618 / CVE-2026-109619）
- IPA（独立行政法人 情報処理推進機構）： PHPのセキュリティリリース公開に関する注意喚起
- 高市早苗氏 公式X： 2026年10月21日 投稿（@takaichi_sanae）
