2026年10月21日、ホームページを動かすプログラム「PHP」に、外部から認証なしで乗っ取られるおそれのある重大な脆弱性が2件公表され、修正版が出ました。あわせて、まだ多くのサイトで使われているPHP 8.2は、12月31日でセキュリティ修正の提供が終わります。この記事では、技術に詳しくない経営者の方が、自社のホームページについて「何を、いつまでに確認すればよいか」を整理します。

期限と、やること

  • 期限・施行日：修正版の公開は2026年10月21日（日本時間23時）。PHP 8.2のセキュリティサポート終了は2026年12月31日
  • 対象：WordPressなど、PHPで動くホームページ・予約システム・ネットショップを持つすべての会社
  • やること：自社サイトのPHPのバージョンと、修正が適用済みかを確認する。8.2以前なら、年内に8.3以上へ移る段取りをつける

何が起きたのか

PHPの開発チームは10月21日、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。深刻度は10点満点で9.2とされ、悪用されると外部から任意のプログラムを実行されるおそれがあります。開発チームは「更新が唯一の完全な対策」としています。

注意が必要なのは古いバージョンです。PHP 8.1以前はすでにサポートが終わっており、正式な修正版は出ていません。情報処理推進機構（IPA）も、8.1以前は今回の修正の対象外であるとして、サポートされている版への移行を求めています。

レンタルサーバー各社は、すでに対応を進めています。たとえばエックスサーバーは、10月22日6時45分までにPHP 8.2〜8.5、同日12時までに7.4〜8.1への修正を、対象の全サーバーに適用したと発表しました。一方、自分で管理するVPSなどのサーバーは、利用者が自分で更新する必要があるとしています。

WordPressの公式発表によると、2026年2月時点で、PHP 8.1以前で動いているWordPressサイトは約47%、8.2で動いているサイトは約27%でした。この割合のまま年が明ければ、7割前後のサイトがサポート切れのPHPで動くことになります。

【用語解説】PHP・脆弱性・サポート終了とは

PHPとは、ホームページの表示やお問合わせフォームの送信などを、サーバーの上で処理するプログラム言語のことです。WordPressもPHPで動いています。

脆弱性とは、プログラムの欠陥のうち、悪意のある第三者に悪用されうるもののことです。見つかると開発元が修正版を出し、利用者がそれに入れ替えることで塞ぎます。

サポート終了（EOL）とは、開発元が修正版の提供をやめることです。サポートが終わった版は、新しい欠陥が見つかっても塞がれないまま使い続けることになります。

中小企業の経営にどう効くか

一つ目は、売上の入口が止まることです。乗っ取られたサイトは、復旧まで公開を止めることが少なくありません。仮に、ホームページからの問合せが月4件、成約率25%、平均受注額50万円の会社なら、1か月止まるだけで50万円分の受注機会を失う計算です。さらに、お問合わせフォームで預かった個人情報が漏れれば、お客様への説明と信用の回復に、売上以上の時間がかかります。

二つ目は、「誰が分かっているのか」が問われることです。御社のサイトのPHPのバージョンを、社内の誰が答えられるでしょうか。作ったのは数年前の制作会社、管理画面のパスワードは前任者しか知らない、という会社は珍しくありません。これは技術の問題ではなく、業務が一人に貼りついている属人化の問題です。

三つ目は、事業の継続です。ホームページや予約システムが止まったときに、電話やメールでどう受け付けるかを決めていない会社は、意外と多いものです。サイトも「止まったら困る設備」として、BCP（事業継続計画）の対象に入れておく必要があります。

いつまでに、何を確認するか

□ 自社サイトのPHPのバージョンと、サーバーの種類を確かめる（期限の目安：10月中）
レンタルサーバーの管理画面で「PHPバージョン」を見れば分かります。分からなければ、制作会社か保守会社に「今のPHPのバージョンと、10月21日の修正が適用済みか」をメールで聞いてください。VPSや自社サーバーなら、更新作業が済んでいるかもあわせて確認します。

□ 8.2以前なら、8.3以上へ移る段取りをつける（期限の目安：8.1以前はすぐ、8.2は12月中旬まで）
バージョンを上げると、古いテーマやプラグインが動かなくなることがあります。でらぐーのサイトも今月PHPを8.3に上げ、切り替えた直後に全ページの表示とお問合わせフォームの送信を確かめました。年末は制作会社も混み合うので、余裕をもって依頼してください。

□ サイトの管理者と連絡先を、紙1枚にまとめる（期限の目安：11月中）
サーバー会社、ドメインの契約者、制作・保守会社の連絡先、保守契約の範囲、管理画面に入れる人。これを社長以外の社員も見られる場所に置きます。止まったときに電話で受け付ける手順も一行書いておきます。

この話の本質

ホームページは「一度作れば終わり」の資産ではなく、毎年手入れが必要な設備です。PHPの各版は、公開からおおむね4年でサポートが終わります。PHP 8.3も、2027年12月31日には同じ状況になります。つまり、数年に一度のバージョンアップは「起きたら対応する事故」ではなく、最初から予定に入れておくべき定期整備です。IPAも、更新を続けるための管理・予算・保守の体制があるかを確認するよう求めています。保守の費用と担当者を、経営計画や年間予算に最初から組み込んでおくこと。それが、次に同じことが起きたときに慌てないための一番の備えです。

よくある質問

Q. レンタルサーバーを使っていれば、何もしなくてよいのですか？

A. 今回の修正そのものは、多くのレンタルサーバー会社が自社で適用しています。ただし、どのバージョンを使うかの切り替えは、多くの場合、利用者側の操作です。8.2以前のままなら、年内に8.3以上へ切り替える必要があります。まずはサーバー会社のお知らせを確認してください。

Q. 制作会社に任せきりです。何を聞けばよいですか？

A. 三つで十分です。「今のPHPのバージョン」「10月21日の修正は適用済みか」「12月末以降はどのバージョンで、いくらで運用するか」。答えがすぐ返ってこない場合は、保守契約の範囲そのものを見直す時期かもしれません。

Q. バージョンを上げたら、サイトが壊れませんか？

A. 古いテーマやプラグインが動かなくなることはあります。だからこそ、事前に複製を取り、表示とお問合わせフォームの送信を試してから切り替えるのが安全です。壊れることを恐れて古い版を使い続けるほうが、乗っ取りのおそれを抱えたままになり、危険は大きくなります。

まとめ

10月中に自社サイトのPHPのバージョンと修正の有無を確かめ、8.2以前なら12月31日までに8.3以上へ移ってください。あわせて、サイトの管理を誰が担っているかを紙1枚にしておくと安心です。自社ではどうか、一度確認してみてはいかがでしょうか。

あわせて読みたい

出典

本記事は中小企業の経営に関する一般的な情報提供を目的としたものです。制度・法令・期限の内容は掲載時点のものであり、実際の適用は個別の事情により異なります。詳細は所管官庁または専門家にご確認ください。個別のご相談はお問合わせから承っております（初回60分無料）。