お知らせ
PHPの脆弱性はなぜ怖い?大阪市も止めた今回の件と、WordPress運用で確認したい5つのこと
「ホームページは作ったけれど、公開してから中身を見ていない」。そんなサイトほど、ソフトウェアの脆弱性が公表されたときに、誰も動けなくなりがちです。2026年10月に公表されたPHPの重大な脆弱性を例に、何が怖いのか、運用で何をしておけばよいのかを、専門知識がない方向けにまとめました。
PHPとは:多くのWebサイトを裏側で動かすプログラム
PHPは、Webサイトの裏側で動くプログラム言語です。ページの表示やお問い合わせフォームなどの処理に使われます。WordPressもPHPで動いているので、WordPressのサイトをお持ちなら、PHPを使っていることになります。
今回のPHPの脆弱性は、なぜ怖いのか
今回の脆弱性(CVE-2026-109618、CVE-2026-109619)が重大とされた理由は、大きく3つあります。
1. ログインなしで狙われるおそれがある
PHPの開発元は、認証なしで遠隔からプログラムを実行されるおそれがあると説明しています。深刻度はCVSS v4.0で9.2です。
2. 公表後すぐに、悪用を試みる動きが出た
JPCERT/CCは、悪用できると主張する実証コードが多数公開され、悪用を試みる通信の観測も相次いでいると伝えています。
3. 痕跡がなくても、安全とは言い切れない
JPCERT/CCは、侵害の痕跡が見つからなくても、攻撃を受けていないとは断定できないとしています。更新と同時に、確認も必要になる理由です。
大きな組織でも、サービスを止めて対応した
今回の件は、大きな組織でも他人事ではありませんでした。
- 大阪市は、安全性の確認が完了するまで、関連するサービスの利用を停止しました。発表時点で、不正アクセスや情報漏えいは確認されていないとしています。
- 滋賀県は、公開しているWebシステムの状況を公表し続けました。2026年11月2日の第8報では、161件のうち3件が停止中です。
- Google Cloudは、自社の基盤は影響を受けないとしたうえで、PHPを使う利用者に更新と再デプロイを呼びかけました。
- ファイアウォール製品でも、侵害を示唆する痕跡が報告されています(JPCERT/CC、2026年10月29日更新)。サイトを守る側の機器でも、確認が必要だったということです。
ここで大切なのは、担当者がいる組織は、すぐに確認して止める判断ができたという点です。担当者がいないサイトは、その判断をする人がいません。
なお、IPAは国内での攻撃被害の事例は把握していないとしています(2026年11月2日更新時点)。WordPressについても、10月28日時点で侵害は確認されていないと報じられています。ただし、これは安全の証明ではありません。
WordPressサイトの運用で、確認したい5つのこと
PHPのバージョンを把握する
WordPressの管理画面の「サイトヘルス」や、レンタルサーバーの管理画面で確認できます。修正版は8.5.12、8.4.27、8.3.36、8.2.35です。PHP 8.2は2026年12月31日にサポートが終わります。
更新の担当者を決める
サーバー会社、制作会社、自社の担当者の誰が、PHPやWordPressを更新するのかを確認します。保守の契約がなければ、誰も更新していないこともあります。
バックアップと戻し方を確認する
バックアップは、取るだけでは足りません。保管場所と、実際に戻す手順まで確認しておくと安心です。
更新の前に、互換性を確認する
PHPを更新すると、古いテーマやプラグインが動かなくなり、サイトの表示や機能に不具合が出ることがあります。JPCERT/CCも、十分なテストを行ったうえでの更新を案内しています。
管理画面の入口を守る
パスワードの使い回しをやめ、可能なら多要素認証を使います。使っていないプラグインや管理者アカウントも整理しましょう。
更新で壊さないための手順
- 現在のバージョンと、使っているテーマやプラグインを書き出す
- バックアップを取り、戻し方を確認する
- 可能ならテスト環境で動作を確認する
- 更新し、主要なページとお問い合わせフォームを確認する
- 確認した日と内容を記録する
自社での確認が難しいときは
G.O.A.Tは北海道室蘭市を拠点に、Webサイトの制作と運用を行っています。現状が分からない場合は、税込5,000円のWebサイトセキュリティ診断で確認できます。修正、作り直し、リニューアルのご相談も承ります。当社で制作・保守を担当したサイトは、修正版の公開を受けて即日、確認と必要な対応を行いました。2026年11月7日時点で、被害の報告はありません。詳しくはお知らせをご覧ください。
参考情報
- PHP公式:セキュリティ情報(2026年10月21日)
- IPA:PHPの脆弱性対策について
- JPCERT/CC:注意喚起(JPCERT-AT-2026-0033)
- 大阪市:サービス等の利用停止について
- 滋賀県:PHPの重大な脆弱性に関する対応について(第8報)
- Google Cloud:Responding to core PHP vulnerabilities
- セキュリティ対策Lab:WordPressの状況(Wordfenceの報告の要約)
この記事の情報は2026年11月7日に確認したものです。最新の情報は各機関のページをご確認ください。
