2026年10月21日の夜、「PHPの脆弱性」という言葉がニュースやSNSを一気に流れました。ゲームやウェブサービスが相次いで緊急メンテナンスに入り、首相もXで対応を呼びかけました。
ただ、何が起きていて、誰が何をすべきなのかは、少し見えにくかったと思いますので順に整理します。
PHPとは何で、何が見つかったのか
PHPは、ウェブサイトの裏側で動くプログラムの言語です。ページを組み立てたり、データを出し入れしたりする処理をサーバー側で担っています。本ブログ及び事務所ホームページもWordPressで作成しており、WordPressもまたPHPで作られています。
今回見つかった欠陥は2件です。深刻度は10点満点で9.2と評価され、最も重い「緊急」に分類されました。悪用されると、外部の第三者がサーバー上で好きな命令を実行できるおそれがあります。サイトの乗っ取り、顧客データの持ち出し、他への攻撃の踏み台など、被害の範囲は広くなり得ます。
なぜ「23時」があれほど緊迫したのか
PHPの開発チームは10月20日、修正版を日本時間21日の23時に公開すると予告しました。
修正版が出ると、攻撃する側も修正の前と後を見比べられます。どこを直したかが分かれば、どこに穴があったかも分かります。修正版の公開は、まだ対応していないサーバーにとっては、危険が高まる合図でもあります。
加えて、近年はAIを使った分析で、穴の特定や狙うサイトの洗い出しが速くなっていると一般に言われます。今回の欠陥そのものも、セキュリティ企業がAIを用いて見つけたと報じられています。守る側も攻める側も、同じ道具で速くなっているということです。
このため多くの事業者は、修正版を待たずにサービスを止める判断をしました。政府も注意を呼びかけ、すぐに修正できない場合はサイトを一時停止することもリスクを下げる手段の一つだ、という趣旨の発信がありました。
WordPressでサイトを運営している人がやること
23時を過ぎれば安全、ではありません。修正版は公開されただけで、各サーバーに当てられるまでは穴が残ります。
WordPressで動くブログや事務所のサイトは、当事者です。直す対象はWordPressではなく、サーバーに入っているPHPそのものです。WordPressの更新ボタンを押しても、この件は片付きません。
レンタルサーバーを使っている場合、多くはサーバー会社が修正を当てます。ただ、その進め方は会社ごとに違います。
エックスサーバーは、管理画面を一時止めたうえで、新しいバージョンから順に修正を当て、古いバージョン向けには独自の修正を用意していると案内しています。
このブログが置いてあるConoHa WINGは、利用中のPHPのバージョンはそのままに、会社側で修正を当てると案内しています。利用者がバージョンを変える必要はない、という説明です。10月22日18時の時点では、修正を順次当てている段階でした。
利用者がまずやるのは、契約先のお知らせを確認することです。「対応中」なのか「完了」なのかまで見ておくと、状況がつかめます。
あわせて、自分のサイトがどのバージョンのPHPで動いているかを把握しておくと判断しやすくなります。公式の修正版が出たのは8.2以降の系列です。それより古いバージョンをどう扱うかは、上のとおり会社によって異なります。
自分でサーバーを組んでいる場合は、自分で更新するしかありません。制作会社などに管理を任せている場合は、対応したかどうかを一度確認しておくと安心です。
確認の手順が分からなければ、AIに聞いてみるのも一つの方法です。ただ、最後はサーバー会社や公式の案内と照らし合わせて確かめるのが安全です。
サイトを持っていない人は、何もしなくてよい
今回の問題は、サーバー側の仕組みの話です。自分でサイトを公開・運営していない人が、個別にできる対策は基本的にありません。
SNSでは「パソコンやルーターの電源を切る」「今夜はネットを使わない」といった話も見かけました。これは別の話との混同とみられ、今回の件の対策としては意味がありません。狙われているのはサーバーで、閲覧する側の端末ではないからです。
