PHPの脆弱性問題で何が起きた？一昨日からの対応記録とホームページ運用で今やるべきこと
こんにちは。株式会社アトマ 代表の坂田です。
いつもは朝9時にブログを更新していますが、今日は遅い時間の更新になりました。一昨日の夜から対応に追われ、ようやくひと段落したところで、この記事を書いています。
「PHPの脆弱性問題」が大きく報じられた22日は、朝から多くのお客様からお問い合わせをいただき、これほど電話に出続けたのは久しぶりでした。
今日は、そもそも何が起きたのかをやさしく整理したうえで、私たちの対応の流れをお伝えします。(2026年10月23日時点の情報です)
今回の問題を、やさしく解説します
PHPとは
ホームページを動かすための、裏方のプログラムです。WordPressなど、多くのホームページがPHPで動いています。
脆弱性とは
プログラムの弱点のことです。家にたとえると、玄関の鍵に欠陥が見つかったような状態です。
今回、何が問題だったのか
10月21日に公表された脆弱性は2件(CVE-2026-109618、CVE-2026-109619)です。ログインなしで、外部の第三者がサーバーに不正な命令を実行させられるおそれがあり、深刻度は最高の「Critical」とされました。報道によると、この弱点はAIが見つけたそうです。
どう直すのか
PHPの開発元が、10月21日の23時(日本時間)に修正版を公開しました。多くのホームページでは、サーバー会社が修正版を適用することで対応します。家にたとえると、鍵屋さんが新しい鍵を配り、管理会社が全戸分を交換していくイメージです。
21日夜から22日までの対応記録
21日 18時ごろ
懇意にしている方から、「PHPの脆弱性の緊急速報があり、23時に修正が公開される」という連絡をいただきました。会社へ戻り、さまざまなサイトで情報を集め、コーディング担当者の見解も聞きました。23時にならないと詳細は分からないので、できることとして、保守契約をいただいているお客様のサイトのバックアップを、先に取りました。
21日 23時〜22日 早朝
運命の23時を迎えました。速報サイトで状況を確認すると、大きな問題が起きている様子はなく、いったん仮眠。5時に起きて、世間の状況やお客様のサイトの表示を確認し、大きな問題がないことに一安心しました。ただ、大きく報じられているので、お客様からの連絡は必ずあると見て、いつもより早く出社し、備えました。
22日 朝〜昼
8時過ぎから、メールと電話で多くのご連絡をいただきました。前日にある程度の内容を理解していたので、お答えできる範囲でお答えしました。今回はサーバー側の問題なので、サイトをそのまま公開するか、いったん閉じるかの最終判断は、お客様にお願いしました。保守契約の有無にかかわらず、ご連絡をいただいた全てのお客様に、この日のうちに対応しました。
私たちがお勧めしているエックスサーバーとさくらインターネットは、推奨のPHP 8.2以上について、始業前に修正の適用が終わっていました。エックスサーバーは、8.2より前の旧バージョンにも順次対応してくださり、昼過ぎには、多くのお客様の問題は解消できました。
一部のお客様のホームページで、表示の崩れが出ましたが、すぐに対応して解決しました。一方で、別のサーバーのサイトが見られなくなっているというお話も聞き、大変なことが起きていると実感しました。
あわせて、朝から対応の合間に、確認できたお客様のPHPのバージョンを洗い出しました。バージョンを確認できなかったサイトもあります。心配な方は、お気軽にご連絡ください。さくらインターネットのお客様には、当初、旧バージョンは修正の対象外という情報があったため、急いでPHPの更新をご提案しました。その後、旧バージョンにも修正が適用されたという発表を確認しました。
制作した側の誠実さとして
お問い合わせの中には、別の制作会社に制作を頼んだものの、「サーバー会社に聞いてください」と言われて、どうすればいいか分からなくなっている方もいらっしゃいました。
今回はサーバー会社の問題ですから、その回答は間違いではないと思います。ただ、制作した立場として、今回の経緯と基礎的な情報くらいはお伝えするのが、誠実さではないかと感じました。お人好しかもしれませんが(苦笑)。
今回の件で、あらためて感じたメンテナンスの大切さ
今回のような緊急時には、時間との勝負になります。公表から修正までの数時間で、サイトのバックアップを取り、状況を見ながら動けたのは、日頃から保守契約をいただいているお客様のサイトでした。
今回、バージョンを確認できなかったサイトもありました。何かが起きる前から、サイトの状況を把握しておく。それが、緊急時に最初の一歩を早く踏み出せる理由だと、あらためて感じました。
ホームページは、公開して終わりではありません。何かが起きてから慌てるのではなく、起きる前から備えておく。そのために、保守契約という選択肢もあることを、ぜひ知っていただければと思います。契約の内容など、気になる方はお気軽にお問い合わせください。
今のうちにお願いしたいこと
今回、旧バージョンのPHPにもサーバー会社が独自の修正を行ってくれたため、当面の対策はできています。ただし、これは今後も安全が続くという意味ではありません。
- PHPの古いバージョンは、公式のサポートが終わると、新しいセキュリティ更新が原則として提供されなくなります。
- WordPress自体は、古いPHPでも動く場合がありますが、リスクが高まるうえ、WordPress本体やプラグインの更新に対応できなくなることがあります。
そのため、ご利用のサーバー会社が推奨しているバージョンへの更新を、ご検討ください。更新の際は、サイトの表示や機能への影響を事前に確認する必要があります。ご心配な方は、お気軽にご相談ください。
便利な世の中だからこそ
今回の弱点をAIが見つけたということは、今後も同じことが起きる可能性が高いということです。最近は、個人情報の流出のニュースも毎日のように目にします。便利になった反面、個人情報の扱いには、これまで以上に気を付けなければと思います。アナログの時代が少し懐かしくなった一日でした(苦笑)。
とはいえ、この流れは止まりません。私たちも、常にバージョンアップに取り組んでいきます。
最後までお読みいただき、ありがとうございました。
(参考：IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」)
株式会社アトマでは、Web・パンフレット・動画・広告運用など、企業の情報発信をお手伝いしています。代表の仕事に対する考え方や、実際の取り組みはこちらの記事でもご紹介しています。
