2026年10月、ホームページやWebシステムの裏側で広く利用されている「PHP」に、重大な脆弱性が見つかりました。

今回公表されたのは「CVE-2026-109618」と「CVE-2026-109619」という2つの脆弱性で、組み合わせて「PHP2Shell」と呼ばれています。悪用された場合、遠隔から任意のコードを実行される可能性があり、PHP公式からも緊急のセキュリティアップデートが公開されました。

こうした話を聞くと、

「PHPって何？」
「うちのホームページも危ないの？」
「WordPressを更新すればいいの？」
「何か対応しなければいけない？」

と不安になる方もいると思います。

ただ、今回の記事で一番お伝えしたいのはPHP2Shellそのものの技術的な話ではありません。

ホームページは、公開して終わりではないということです。

普段ホームページが問題なく表示されていると、その裏側で何が動いているのかを意識することはほとんどありません。

しかし今回のような問題が突然発生したときには、自社サイトが影響を受けるのか、サーバー側で対策が行われているのか、追加対応が必要なのかを確認する必要があります。

こうしたときのためにあるのが、ホームページの「保守・管理」です。

2026年10月、PHPに重大な脆弱性が見つかった

PHPは、WebサイトやWebシステムを動かすために広く利用されているプログラミング言語です。

WordPressもPHPを利用して動作しています。

PHP2Shellと呼ばれる2つの脆弱性

2026年10月21日にPHPのセキュリティリリースが公開され、CVE-2026-109618とCVE-2026-109619という2つの重大な脆弱性が明らかになりました。

IPAによると、これらを悪用された場合、遠隔の第三者によって任意のコードを実行される可能性があります。

この2つの脆弱性の組み合わせが「PHP2Shell」と呼ばれています。

PHP公式も、認証なしでリモートコード実行につながる可能性のある重大な問題として、利用者へ速やかなアップデートを呼びかけました。

修正版のPHPも公開された

今回の問題を修正したバージョンとして、

  • PHP 8.2.35

  • PHP 8.3.36

  • PHP 8.4.27

  • PHP 8.5.12

などが公開されています。

IPAでは、それぞれこれらより前のバージョンが影響を受ける対象として案内しています。

ただし、実際のレンタルサーバーでは、PHPの表示上のバージョン番号を変更せずにセキュリティ修正を反映する「バックポート」という方法が取られることもあります。

そのため、単純にPHPのバージョン番号を見るだけではなく、利用しているサーバー会社がどのような対応を行っているのか確認することも重要です。

WordPressを使っている会社にも関係する

「PHPと言われても、自社ではPHPなんて使っていない」と思う方もいるかもしれません。

しかしWordPressで作られたホームページでは、その裏側でPHPが使われています。

WordPressはPHPの上で動いている

普段ホームページを更新するときに触るのは、WordPressの管理画面です。

そのため、PHPを意識する機会はほとんどありません。

しかし実際には、

  • Webサーバー

  • PHP

  • WordPress

  • テーマ

  • プラグイン

  • データベース

など、複数の仕組みが組み合わさってホームページが動いています。

ホームページに表示されている文章や写真だけがホームページではありません。

WordPress本体やプラグインだけ更新すればいいわけではない

セキュリティ対策というと、「WordPressやプラグインを最新版にしておけば大丈夫」と考えてしまいがちです。

もちろん、それらを更新することも非常に重要です。

しかし今回問題になったのはPHPそのものです。

つまり、WordPress管理画面からプラグインを更新するだけでは解決できない問題でした。

サーバー環境まで含めて確認する必要があります。

ホームページが普通に表示されていても安全とは限らない

今回のような脆弱性が発表されても、ホームページの見た目が突然変わるわけではありません。

昨日と同じようにトップページが表示され、お問い合わせフォームも動いているかもしれません。

だからこそ分かりにくい問題です。

見た目では判断できない

例えばPHPに脆弱性が見つかっても、

「会社概要のページが崩れる」
「写真が表示されなくなる」

といった分かりやすい症状が出るとは限りません。

ホームページは普通に動いていても、その裏側では対応が必要になっていることがあります。

「動いているから触らない」が正解とは限らない

ホームページについて、

「今ちゃんと表示されているんだから、そのままでいい」

という考え方もあります。

文章や写真については、それで問題ない会社も多いでしょう。

しかし、システムについては別です。

見た目を頻繁に変える必要はなくても、裏側のシステムは必要に応じて更新していく必要があります。

今回のような問題が起きたとき何を確認するのか

重大な脆弱性が発表された場合、単純に「危ないらしい」と判断してホームページを止めればいいわけではありません。

まず、自社サイトが本当に影響を受けるのか確認します。

自社サイトでPHPを利用しているか

最初に確認するのは、そのホームページがPHPを利用しているかどうかです。

WordPressサイトであれば基本的にPHPを使用していますが、すべてのホームページがPHPで動いているわけではありません。

利用しているシステムによって対応は異なります。

利用しているPHPの環境を確認する

PHPを利用している場合は、バージョンやサーバー環境を確認します。

ただし先ほど説明した通り、表示上のバージョン番号だけで修正済みかどうか判断できない場合もあります。

サーバー会社から発表されている情報も確認する必要があります。

サーバー会社の対応状況を確認する

レンタルサーバーを利用している場合、PHPそのものはサーバー会社側で管理されていることがあります。

その場合、ホームページ制作会社や利用者が直接PHPへセキュリティパッチを適用できるとは限りません。

サーバー会社から、

  • 影響の有無

  • 対応予定

  • 修正パッケージの適用状況

  • 利用者側で必要な作業

などが発表されていないか確認します。

WordPress側も確認する

今回の問題の中心はPHPですが、それとは別にWordPress本体、テーマ、プラグインも確認します。

一つの問題が発生したからといって、ほかの管理を止めてよいわけではありません。

ホームページ全体を安全に運用するためには、それぞれを適切に管理する必要があります。

不正アクセスや改ざんの兆候も確認する

必要に応じて、ホームページに不審な変更がないか、不正アクセスの兆候がないかも確認します。

ただし、脆弱性が公表されたことと、実際に自社サイトが攻撃されたことは別です。

IPAも10月21日の事前注意喚起時点では、今回の2つの脆弱性を悪用した攻撃を確認したわけではないと説明していました。

必要以上に不安を煽るのではなく、事実を確認しながら対応することが重要です。

今回、ESコンピューティングで行ったこと

今回のPHP脆弱性についても、ESコンピューティングでは管理しているホームページへの影響を確認しました。

お客様自身でPHPについて調べたり、サーバーへセキュリティパッチを適用していただいたりする必要がないよう、サーバー提供元の情報を確認しながら対応しています。

管理サイトへの影響を確認

まず、当社が管理しているホームページがどのような環境で動いているのかを確認しました。

PHPの利用状況やサーバー環境を確認し、今回の脆弱性との関係を調べています。

サーバー提供元の対応状況を確認

今回のようなPHP本体の問題では、利用者側だけでは対応できないことがあります。

そのため、サーバー提供元がどのような対応を行うのかを確認し、修正パッケージが適用されたことを確認しました。

WordPressの管理も継続

PHPの対応とは別に、WordPress本体やプラグインなどの管理も継続しています。

ホームページのセキュリティは、一つだけ対策すれば終わりというものではありません。

必要に応じてお客様からの問い合わせにも回答

今回の報道を見て、

「自社サイトは大丈夫ですか？」
「PHPのバージョンは何ですか？」
「必要な対策は終わっていますか？」

といったお問い合わせもありました。

こうしたときに現在の管理状況を確認し、説明できることもホームページ保守の役割だと考えています。

ホームページ保守は「毎月修正するため」だけではない

ホームページの保守管理について、

「今月は何も修正していないのに管理費がかかるの？」

と思う方もいるかもしれません。

確かに、ホームページの文章や写真を毎月変更する会社ばかりではありません。

しかし、保守管理の役割はページを修正することだけではありません。

何も起きていない月にも管理は必要

ホームページが正常に動いている間は、保守管理の仕事は見えにくいものです。

しかし裏側では、

  • WordPressの更新

  • プラグインの更新

  • サーバー管理

  • ドメイン管理

  • バックアップ

  • セキュリティ確認

などが必要になります。

毎月デザインを変更しなくても、ホームページを正常に使い続けるための管理はあります。

本当に重要なのは問題が起きたとき

そして保守管理の価値が最も分かりやすくなるのが、今回のような問題が起きたときです。

突然重大な脆弱性が公表されたとき、

「うちは関係ある？」
「何をすればいい？」
「もう対策されている？」
「ホームページを止める必要はある？」

と判断しなければなりません。

そのときに確認する人がいる。

必要であれば対応する人がいる。

状況を説明できる人がいる。

この体制を維持することも、ホームページの保守管理です。

「何も起きていないから保守はいらない」とは言い切れない

普段問題がないと、ホームページの保守をやめても大丈夫そうに見えます。

実際、数年間ほとんどトラブルなく動いているホームページもあります。

しかし、それは「今まで問題が起きなかった」というだけです。

脆弱性は突然発表される

今回のPHP2Shellも、利用者が事前に予測できるものではありませんでした。

PHP公式は10月20日に重大なセキュリティリリースを翌日に公開すると事前告知し、10月21日に修正版を公開しています。2件はいずれもCVSS v4.0で9.2と評価された重大な問題でした。

昨日まで問題なく使っていたシステムでも、新しい脆弱性が見つかれば対応が必要になります。

サイトが古くなるほど管理は重要になる

ホームページを5年、10年と利用すれば、その間にWordPress、PHP、サーバー環境なども変化します。

制作当時に問題がなかったからといって、その状態のまま永久に安全というわけではありません。

見た目を変える必要はなくても、裏側は時代に合わせて管理していく必要があります。

制作会社が「作って終わり」の場合はどうする？

ホームページ制作会社によって、公開後の対応は異なります。

制作費を支払い、ホームページを納品した時点で契約が終了する会社もあります。

それ自体が悪いわけではありません。

問題は、その後誰が管理するのかです。

自社で管理する

社内にWeb担当者やシステム担当者がいる会社なら、自社で管理する方法があります。

WordPressやサーバー、セキュリティ情報などを確認できるのであれば問題ありません。

別の保守会社へ依頼する

ホームページを制作した会社とは別の会社へ、保守だけ依頼する方法もあります。

現在の環境を確認してもらい、管理を引き継ぎます。

誰も管理していない状態は避けたい

一番避けたいのは、

「誰が管理しているのか分からない」

という状態です。

ホームページは表示されている。

でも、

  • サーバーの契約者が分からない

  • ドメインのログイン情報がない

  • WordPressが何年間も更新されていない

  • 制作会社とは連絡が取れない

というケースがあります。

普段は問題なくても、今回のような事態が起きたときに確認することが難しくなります。

社内担当者がいなくても管理できる体制を作る

中小企業では、専任のWeb担当者がいないことも珍しくありません。

社長や事務担当者がホームページを管理しているケースもあります。

その場合、PHPやWordPressについて詳しくなる必要はありません。

自分で全部できる必要はない

ホームページを所有しているからといって、経営者自身がPHPの脆弱性情報を毎日確認する必要はありません。

車を所有しているからといって、自分でエンジンを分解して整備する必要がないのと同じです。

必要なのは、誰が管理するのかを決めておくことです。

「何かあったら聞ける」が大切

ホームページで分からないことがあったとき、

「この件は誰に聞けばいいの？」

という状態にならないことが重要です。

今回のようなニュースが出たときに、管理会社へ一度確認すれば状況が分かる。

これだけでも、企業側の負担はかなり変わります。

保守管理費は「作業した回数」だけで考えない

ホームページ管理費について、「毎月どれだけ作業したのか」で考えたくなることがあります。

しかし、保守サービスは必ずしも作業量だけで価値が決まるものではありません。

トラブルが起きないこと自体が正常な状態

バックアップを取っていても、復元する機会が一度もないかもしれません。

セキュリティ管理をしていても、大きなトラブルが起こらないかもしれません。

むしろ、それが理想です。

毎月問題が起きて大量の復旧作業をしているホームページより、何も起きず普通に使えるホームページの方がよいでしょう。

対応できる状態を維持する

保守管理には、

「必要になったときに確認・対応できる状態を維持する」

という役割があります。

今回のPHP2Shellは、その意味が非常に分かりやすく表れた出来事だったと思います。

ホームページ保守で確認しておきたいこと

現在ホームページを持っている会社は、一度だけでも管理状況を確認してみてもよいでしょう。

特に重要なのは次のような点です。

  • サーバーは誰が管理しているか

  • ドメインは誰が管理しているか

  • WordPressは定期的に更新されているか

  • プラグインは更新されているか

  • バックアップは取られているか

  • セキュリティ上の問題が発生したとき誰が確認するか

  • 制作会社へ相談できる状態になっているか

すべて自分で管理する必要はありません。

「誰がやるのか」が明確になっていれば十分です。

ESコンピューティングでは公開後の管理まで行っています

ESコンピューティングでは、ホームページを制作するだけではなく、公開後の管理も継続して行っています。

ホームページに詳しい担当者がいない会社でも、そのまま利用していただけることを前提としています。

WordPress・システムの管理

WordPress本体やプラグインなど、ホームページを動かしているシステムを管理します。

必要なアップデートを確認しながら運用しています。

サーバー・ドメインの管理

サーバーやドメインについても、基本的にESコンピューティング側で管理します。

お客様自身でサーバーの管理画面を操作していただく必要はありません。

バックアップやセキュリティ対応

万が一のトラブルに備え、バックアップやセキュリティ面についても管理しています。

今回のように重大な脆弱性が公表された場合には、影響やサーバー提供元の対応状況などを確認します。

ホームページの内容修正にも対応

システムの保守だけではなく、文章や写真などの内容修正も月2回までご依頼いただけます。

ホームページの表側と裏側の両方を、継続して管理するサービスです。

ホームページは作った後の方が長い

ホームページ制作には数週間、数か月かかることがあります。

しかし、完成したホームページは、その後5年、10年と利用することがあります。

そう考えると、制作期間よりも公開後の期間の方が圧倒的に長くなります。

制作会社を選ぶときは公開後も見る

デザインや制作費はもちろん重要です。

しかし、

「完成後は誰が管理するのか」
「何かあったときに相談できるのか」

も制作会社を選ぶポイントの一つです。

ホームページは会社のインフラになっている

会社案内、問い合わせ、採用、メール、営業など、ホームページやドメインはさまざまな場面で利用されています。

普段は意識しなくても、止まったり問題が起きたりすると困るものです。

その意味では、ホームページは会社のデジタルインフラの一つと考えてもよいでしょう。

まとめ｜保守管理は「何か起きたとき」のためにもある

今回公表されたPHP2Shellは、PHPを利用している多くのWebサイトに関係する重大な脆弱性でした。

こうした問題は、ホームページの見た目から判断することはできません。

昨日まで普通に表示されていたホームページでも、

  • 利用している環境を確認する

  • サーバー会社の情報を確認する

  • 修正が適用されているか確認する

  • WordPress側も確認する

  • 必要に応じて不正アクセスや改ざんを確認する

といった対応が必要になります。

ホームページの保守管理というと、「文章を変更してもらうための料金」と思われることがあります。

しかし、それだけではありません。

普段は何も起きていなくても、何か問題が発生したときに状況を確認し、必要な対応ができる状態を維持する。

これもホームページ保守の重要な役割です。

今回のような大きなセキュリティ問題が発生したときに、

「うちのホームページは誰が見ているんだろう？」

となってしまうのであれば、一度管理体制を確認してみてもよいかもしれません。

ホームページは、作った瞬間よりも、その後使い続ける期間の方がずっと長いものです。

だからこそ、制作時のデザインや価格だけではなく、公開した後に誰が管理してくれるのかまで考えておくことが大切です。