ホームページを運営していると、「脆弱性が見つかりました」「セキュリティ更新が必要です」「修正プログラムを適用してください」という言葉を目にすることがあります。2026年10月21日、情報処理推進機構（IPA）が、PHPの重大な脆弱性に関する注意喚起を公開しました。PHP公式は、2件の脆弱性に対応するセキュリティ更新を、日本時間の10月21日23時に公開する予定だと事前に告知しており、事前告知では深刻度はCVSS v4.0で9.2・Criticalとされています。専門用語を全部理解する必要はありません。大切なのは、自分のホームページに関係するのか、何を確認すればいいのかを知っておくことです。
目次
そもそもPHPって何？WordPressにも関係するの？
PHPは、WebサイトやWebサービスを動かすために使われるプログラム言語のひとつです。WordPressで作られたホームページやブログも、PHPを利用しています。そのため、WordPressでお店のホームページや会社のサイトを運営している方にも関係する可能性があります。ただし、WordPressを使っているからといって、必ず今回の脆弱性の影響を受けるわけではありません。利用しているPHPのバージョンやサーバー環境などによって、確認すべきことが変わります。自分でPHPをインストールした覚えがなくても、サーバー側で使われている場合があります。「よく分からないから関係ない」と考えるのではなく、まずは自分のサイトの管理状況を確認してみましょう。なお、IPAは、この注意喚起の時点で当該脆弱性を悪用した攻撃を確認したとは発表していません。つまり「すべてのホームページが今すぐ危険」という話ではないので、必要以上に慌てず、公式情報を確認して対応することが大切です。
今、確認したい4つのこと
①ホームページを管理しているのは誰？自分で管理しているのか、制作会社に依頼しているのか。まずは、サイトの更新や保守を担当している人・会社を確認しましょう。制作した会社と、現在の管理担当者が違う場合もあります。②どこのサーバーを使っている？Xserverやさくらインターネットなど、ホームページを置いているサーバー会社を確認し、公式のお知らせやメンテナンス情報が公開されていないかも確認します。サーバー会社が対策を行っていても、サイト側で必要な対応が残る場合があります。③PHPやWordPressの更新はどうなっている？PHPのバージョン、WordPress本体、プラグイン、テーマなどの管理状況を確認しましょう。レンタルサーバーの管理画面にPHPのバージョンを確認する項目があることが多いですが、分からない場合は無理に設定を変更せず、サーバー会社や保守担当者に「今回の脆弱性について、私のサイトで必要な対応はありますか？」と聞けば大丈夫です。④バックアップと相談先はある？更新の前に、サイトを復元できるバックアップがあるか確認しておくと安心です。「バックアップあり」と書いてあるだけでなく、保存期間や復元方法まで確認しておくのがポイントです。また、表示がおかしくなったり問い合わせフォームが動かなくなったりしたとき、誰に相談すればよいかも整理しておきましょう。
まとめ｜ホームページは、作って終わりじゃない
修正プログラムが公開されたら、対象となる環境で必要な対応を進めることが重要です。ただし、PHPのバージョンを変更すると、古いプログラムやプラグインなどが正常に動作しなくなる場合があります。よく分からないまま設定を変更するのではなく、公式の案内を確認し、必要に応じて管理担当者に相談してください。特に、予約やネット販売など、サイトが日々の売上に関係している場合は、更新後の動作確認まで考えておきましょう。ホームページを作るときは、デザインや文章、集客方法に意識が向きます。一方で、公開したあとの更新や管理は、つい後回しになりがちです。特に小さなお店や個人事業では、Webの専門担当者がいないことも珍しくありません。だからこそ、すべての専門知識を自分で身につける必要はなく、まず「自分のホームページはどこで動いているのか」「誰が更新や保守を担当しているのか」「困ったとき、どこに相談すればよいのか」の3つを把握しておくこと。この3つが分かっているだけでも、いざというときに動きやすくなります。必要以上に怖がるのではなく、必要な情報を確認して、できることから整えていく。それも、Webサイトを長く活用するために欠かせないことです。※本記事はIPAの事前注意喚起に基づいています。最新の修正版、影響するバージョン、対応方法はPHP公式および利用しているサーバー会社の案内をご確認ください。
