PHP脆弱性騒動を振り返る。制作会社はどう行動すべきだったか？

2026年10月21日、ホームページを動かすプログラム「PHP」に、重大な脆弱性（弱点）が見つかったと公表されました。ニュースでも大きく取り上げられ、国内でも多くのWebサービスが一時停止や緊急メンテナンスを行いました。あれから3週間ほどが経ち、状況は落ち着いています。

一方で、「あのとき、うちのホームページは何をされたのだろう」「本当に大丈夫だったのだろうか」と、今も気になっている方がいらっしゃるのではないでしょうか。

この機会に、ホームページをつくりお預かりする立場として、スタジオミライが行った対応や、私たち制作会社がどう行動すべきだったかを振り返ります。あわせて、サイトをお持ちの方に確認していただきたいこともまとめてみました。

結論から言うと、共用のレンタルサーバーを使っているサイトの多くは、慌ててサイトを止めたり、手を加えたりする必要はありませんでした。

10月21日に公表されたPHPの脆弱性について

PHPは、WordPressをはじめ多くのホームページで使われているプログラムです。
お問い合わせフォームなど、サイトの一部だけで使われていることもあります。

今回見つかった脆弱性は2件で、深刻度は10点満点中9.2点。
悪用されると、ログインしていない第三者が、サーバー上でプログラムを動かせるおそれがありました。

原因はPHPそのものにあるため、WordPressやプラグインを更新しても直りません。
直すには、PHP本体を修正版に入れ替える必要がありました。
修正版は、日本時間の10月21日23時に公開されています。

共用レンタルサーバーでは、サーバー会社が対応（PHPの更新）

＜PHPを修正するのはサーバー会社＞

共用のレンタルサーバーでは、PHP本体はサーバー会社が管理しています。
利用者や制作会社がPHP本体を直すことはできませんし、その必要もありません。

今回も多くのサーバー会社が修正を適用し、利用者側の作業は不要と案内していました。
ただし、対応の仕方や時期は会社によって違いがありました。

＜主なサーバー会社の対応＞

多くのサーバー会社は、PHPのバージョン番号を変えずに修正だけを当てています。
WordPressの画面で番号が古く見えても、修正済みのことがあります。

＜利用者側の対応が必要だったケース＞

すべてのサイトが「待つだけ」でよかったわけではありません。
次の場合は、利用者側での対応が必要でした。

• VPSや自社で管理しているサーバー（PHPの更新は利用者自身が行う）
• サーバー会社が修正を提供しなかった、古いPHPを使っていた場合
• PHPが長期間止められたり、別のサーバーへの移行を求められたりした、一部のサーバー

スタジオミライが管理するサイトでの対応

保守契約をいただいているお客様のサイトは、普段からPHP・WordPress・プラグインを最新の状態に保っています。

今回も、サーバー会社が修正を当てるのを確認したうえで、当日に追加の作業は行いませんでした。
修正の適用後には、改ざんされていないかの確認を行っています。

お問い合わせフォームなど一部でPHPを使っていて、PHPのバージョンが古かったサイトは、修正の適用後に、必要に応じてPHPのバージョンを上げました。独自のWebアプリを使っているサイトも、順次対応しています。

サイトを止める場合に気をつけること

一方で、一部のサーバーでは、サーバー会社の判断でPHPが止められました。
スタジオミライが管理するサイトにも、その影響を受けたものがあります。

このときは、当方のウェブサイト監視システム「CRAS」を入れていたため、エラーにすぐ気づくことができました。

状況を確認してすぐにお客様へご連絡し、20分以内にメンテナンス中の案内を表示しました。
そのうえで数日かけて、推奨されるPHPが使えるサーバーへ移しています。

止めることは、サイトを守るための手段の一つです。
ただ、データを消してしまうと元に戻すのに時間がかかり、最新の状態に戻せないこともあります。

制作会社はどう行動すべきだったか

今回の件を振り返って、制作会社が取るべきだった行動を、順番にまとめます。

これらを慌てずにできるかどうかは、平時の備えで決まります。

• どのサイトがどこにあるかを把握しておくこと
• PHPやWordPressを最新に保っておくこと
• バックアップから実際に戻せるかを確かめておくこと

保守をお預かりしているサイトで、当日に何もせずに済んだのは、この備えがあったからです。

制作会社にサイトの管理を任せている方は、あのとき、この5つが行われていたかを照らし合わせてみてください。

お客様の利益を守ることを優先する

今回のようなニュースが出ると、「何か対応しなければ」と焦る気持ちが生まれます。私たち制作会社も同じです。

ただ、何もしないことが最善の場面では、何もしないのが正しい判断です。
必要な場面では、すぐに動く。そして、お客様を混乱させない。

私たちには、自分たちの面子よりも、お客様の利益を守る義務があると考えています。

10月下旬にサイトが止まった・古い状態に戻った方へ

10月下旬にサイトが表示されなくなった、復旧したけれど以前と様子が違う、という場合は、次の点を確認してみてください。

一連の騒動を振り返ってみて

あのとき私たち制作会社に必要だったのは、慌てて動くことではなく、まず状況を確かめることだったと考えています。

今回いちばん心配だったのは、お客様の機会損失などの不利益を発生させること。
サイトが止まってしまうと、訪問者がお問い合わせできなくなるからです。

日頃から備えておくのはもちろんのこと、このようなケースにおいてもお客様の利益を考慮した行動を心がけていきます。

スタジオミライにできること

今回の騒動のあと、ご自身のサイトに不安が残っている方もいらっしゃると思います。
スタジオミライでは、次のようなお手伝いをしています。

• サイトの点検
  改ざんされていないか、古い状態に戻っていないかを確認します。
• 保守
  PHP・WordPress・プラグインを、普段から最新の状態に保ちます。
• 静的サイトへの移行
  WordPressそのものが不安な方には、PHPを使わない「静的サイト」への移行をご提案します。お知らせの更新など、今の使い方に合わせてご相談します。

「うちのサイトはどうなっているのだろう」という段階でも、当方で制作したサイトでなくとも構いません。
お気軽にご相談ください。