【2026年10月】PHPの脆弱性とは？Web担当者が確認すべき3つのこと

2026年10月に公表されたPHPの脆弱性とは？

今回の脆弱性の概要と影響

今回公表されたのは、CVE-2026-109618とCVE-2026-109619の2件です。この2つを組み合わせた攻撃は「PHP2shell」と呼ばれており、悪用されると遠隔の第三者によって任意のコードが実行されるおそれがあります。

PHPの開発元は2026年10月21日に修正版を公開しました。IPAは10月22日に注意喚起を掲載し、その後も10月27日・11月2日に内容を更新しています。また米国CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、10月26日（現地時間）に、実際に悪用が確認された脆弱性の一覧（KEVカタログ）にこの2件を登録しました。なお、IPAは10月27日の更新時点で、国内の攻撃被害の事例は把握していないとしています。

出典：IPA、PHP公式「News Archive 2026」

PHP 8.1以前はすでにサポートが終了しており、今回の修正版は提供されません。古いバージョンを使っている場合は、サポート中のバージョンへの更新や、対策済みのサービスへの移行を検討する必要があります。

Webサイトにも影響する可能性はある？

WordPressをはじめ、多くのCMSや問い合わせフォームはPHPで動いています。そのため、企業のWebサイトも影響を受ける可能性があります。

ただし、PHPを使っていることが、そのまま「影響を受けている」「対策されていない」という意味にはなりません。実際の影響は、使っているPHPの系列や稼働環境、すでに適用された修正によって異なります。レンタルサーバーでは、事業者がバージョン番号を変えずに修正を当てている場合もあるため、判断は保守会社やサーバー事業者の情報をもとに行いましょう。

今回のPHPの脆弱性に対する修正版は公開されていますか？

はい、2026年10月21日に公開されています。影響を受ける環境では、修正版への更新などの対策が必要です。

Webサイトが正常に表示されていれば、脆弱性の心配はありませんか？

いいえ、正常に表示されていることだけでは、対策が済んでいるとは判断できません。対策状況は保守会社・サーバー管理者に確認しましょう。

自社Webサイトは大丈夫？Web担当者が確認すべき3つのこと

確認することは、「PHPを使っているか」「対策は済んでいるか」「誰が担当しているか」の3つです。PHPのバージョン変更などの技術的な作業は、バックアップや動作確認が必要になるため、自分で操作せず保守会社や管理者に任せましょう。

1．自社サイトでPHPを使用しているか

まず、自社サイトがPHPを使っているか、使っている場合はどのバージョンかを確認します。

WordPressの場合は、管理画面から次の順に開くとPHPのバージョンを確認できます（WordPress公式の解説）。

1. 「ツール」→「サイトヘルス」を開く
2. 「情報」タブを開く
3. 「サーバー」の項目にある「PHP バージョン」を見る

レンタルサーバーを使っている場合は、サーバー会社の管理画面でも確認できます（例：エックスサーバーのサーバーパネル「PHP Ver.切替」）。確認だけにとどめ、設定の変更はしないようにしましょう。

管理画面の権限がない場合や、どこを見ればよいか分からない場合は、保守会社・サーバー管理者に聞くのが確実です。なお、表示されたバージョン番号だけで「対策済み」「未対策」を決めつけないようにしましょう。

2．脆弱性への対応状況はどうなっているか

次に、必要な対策が済んでいるかを確認します。対策済みであれば、実施した内容を聞いておくと安心です。未対応の場合は、対応予定と必要な作業を確認し、速やかに進めてもらいましょう。

PHPを更新すると、サイトの一部が正しく動かなくなることがあり、事前の動作確認が必要になる場合があります。また、サーバー事業者側で修正を適用しているケースもあります。

3．誰がWebサイトの保守・管理を担当しているか

最後に、PHPの更新や脆弱性対応を誰が担当するのかを確認します。Webサイトを作った制作会社、保守会社、サーバー会社がそれぞれ別の会社であることは珍しくありません。また、制作を依頼した会社に、セキュリティ対応まで含まれているとは限りません。

Webサイトの「保守」と「更新」は何が違う？

Webサイトの管理には、大きく分けて「保守」と「更新」の2つの仕事があります。今回のPHPの脆弱性対応は「保守」にあたります。

セキュリティ保守・システム管理の役割

保守は、Webサイトを安全に、止まらずに動かし続けるための仕事です。PHPやCMSの脆弱性対応、サーバーの管理、不具合の対応などが含まれます。

コンテンツ更新・軽微な修正の役割

更新は、掲載している内容を新しく、正しく保つための仕事です。テキストや画像の差し替え、お知らせの追加、レイアウトの修正、HTML/CSSの修正などが含まれます。

※WordPress本体やプラグインのアップデートのように、両方にまたがる作業もあります。1社が両方を担当している場合もあり、実際の範囲は契約によって異なります。

セキュリティへの対応と同じように、日々の更新も「誰が担当するのか」を決めておくことが大切です。

担当者不在や更新の遅れを防ぐには？Webサイトの管理体制を見直そう

IPAは今回の注意喚起の中で、長く更新していないシステムでは、資料やノウハウの不足、担当者の不在、保守契約の終了などによって対策が難しくなっている場合があると指摘しています。今回の確認をきっかけに、Webサイトの管理体制を見直しておきましょう。

1．業務ごとに担当者と外注先を明確にする

次の3つについて、担当者・外注先・緊急時の連絡先を一覧にしておくと、異動や契約の終了があっても対応が止まりにくくなります。

• セキュリティ保守（PHP・CMSの脆弱性対応など）
• サーバー管理（契約・設定・障害対応など）
• 日常の更新（テキスト・画像の差し替え、ページ修正など）

2．日常的な更新・修正を継続的に外注する選択肢

テキストや画像の差し替え、ページの修正、コーディングなどは、継続的に発生する仕事です。社内の担当者だけで回していると、忙しい時期に後回しになりがちです。こうした業務を制作会社に任せることで、更新が滞りにくい体制を作れます。

DesignBoxでは、テキスト・画像の更新、既存ページの修正、HTML・CSS・JavaScriptのコーディングに加え、WordPress本体・プラグインのアップデートや更新前のバックアップといったメンテナンスにも対応しています。

まとめ｜PHP脆弱性への対応を機にWebサイトの管理体制を見直そう

2026年10月に公表されたPHPの脆弱性を受けて、まずは「PHPを使っているか」「対策は済んでいるか」「誰が担当しているか」の3つを確認しましょう。あわせて、セキュリティ保守と日常の更新をそれぞれ誰が担うのかを明確にしておくと、今後も安心してWebサイトを運用できます。日々の更新に手が回らない場合は、外注も選択肢の一つです。