先に結論
- 自分で何かを入れた覚えがなくても、WordPressで作ったサイトや、問い合わせフォームのあるサイトはPHPで動いていることが多いです。まず確かめる相手は、制作を頼んだ会社と、サーバーを借りている会社です。
- レンタルサーバーの中には、10月21日から22日にかけて、提供しているPHPに修正を当て終えたと発表しているところがあります。その場合、利用者が自分でする作業は多くありません。ただし、PHP 8.1以前を使っている場合や、自分で管理するサーバー（VPSなど）の場合は話が別です。
- 慌てて作り直す必要はありません。ただ、今回のような更新をこの先も誰が続けるのかは、この機会に決めておく価値があります。
1. 何が起きたのか
PHPは、ホームページをサーバー側で動かすためのプログラムの言語です。WordPressもPHPで動いています。
2026年10月21日、PHPの開発元が、重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを公開しました。深刻度はCVSS v4.0で9.2です。悪用されると、外部の第三者がサーバー上で任意のプログラムを実行できるおそれがある、という内容です。開発元は「ウェブのリクエストを処理しているすべてのPHP」が対象だとしています。
| 修正版 | 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 |
|---|---|
| 修正版が出ないもの | PHP 8.1以前。開発元のサポートがすでに終わっているため、今回の修正は提供されません（IPAの注意喚起による） |
| 開発元の案内 | 完全な回避策はなく、更新することだけが安全な選択肢だとしています |
国内では、IPA（情報処理推進機構）が10月21日と22日に注意喚起を出しました。更新がすぐにできない場合は、外部からのアクセスを遮断したりサービスを一時停止したりする必要があるか判断するよう求めています。いくつかのサイトやサービスが一時的に止まったのはこのためです。
2. 自分のサイトが関係あるかの見分け方
ホームページの作り方によって、確かめることが変わります。自分のサイトがどれに当たるか分からない場合は、次の目印を見てください。
- 管理画面にログインして文章を直している（WordPressなら、住所の末尾に「/wp-admin/」を付けるとログイン画面が出ることが多い）
- サイトのページの住所が「.php」で終わっている
- サイトの中に入力欄があり、送信するとメールが届く問い合わせフォームがある
- 予約やネットショップの機能が、そのサイトの中にある
どれかに当てはまれば、PHPで動いている可能性が高いと考えてください。ただし、これは目安です。確実なのは作った会社に聞くことです。
| 作り方 | 今回、確かめること |
|---|---|
| WordPressなどを、借りたレンタルサーバーで動かしている | サーバー会社のお知らせで、修正の適用が済んでいるか。使っているPHPのバージョンが8.1以前でないか。WordPress本体やプラグインを更新しても、PHPの問題は直りません。別の作業です |
| 自分（または制作会社）で管理するサーバー（VPS・クラウド）で動かしている | PHPの更新は管理している人の作業です。サーバー会社は基本的に代わりにやってくれません。制作会社に管理を任せているなら、対応の状況を聞いてください |
| Wix・ペライチなどの作成サービスを使っている | 利用者がサーバーのPHPを触る仕組みではないので、確かめる先は提供元のお知らせです |
| HTMLファイルだけで作られた静的なサイト | ページ自体はPHPを使っていないため、今回の更新作業は発生しません。ただし、同じサーバーに古いWordPressや別のフォームが残っていると、そちらは対象になります |
3. 確かめる順番
上から順に、済んだら次へ
- サーバーを借りている会社の「お知らせ」や「障害・メンテナンス情報」を開き、今回のPHPの件で修正が済んだと書かれているか確認する
- サーバーの管理画面で、サイトに設定されているPHPのバージョンを見る。8.1以前なら、修正の対象外になっている可能性がある。サーバー会社によっては古いバージョンにも独自に修正を当てているので、お知らせと合わせて確かめる
- 制作会社に管理を任せている場合は、下の文面で問い合わせる
- サイトが一時停止していたなら、再開したあとに問い合わせフォームから自分宛てに1通送り、届くことを確かめる。止まっていた間に届かなかった問い合わせがないかも見ておく
制作会社に送る確認の文面（そのまま使えます）
1. 当社のサイトはPHPを使っていますか。使っている場合、バージョンはいくつですか。
2. 修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）への更新、またはサーバー会社による修正の適用は済んでいますか。
3. バージョンが8.1以前の場合、今後の対応の予定と、費用がかかる場合はその目安を教えてください。
4. 今回の件でサイトを止めていた期間があれば、その期間と、問い合わせフォームが動いていることの確認状況を教えてください。
返事が来ない、または「分からない」と言われた場合は、その会社がサイトの更新を実際には担当していない可能性があります。それ自体が、次の章で考える材料になります。
4. これから、どうするか
今回の対応が済めば、ひとまずは終わりです。ただ、PHPやWordPressの更新はこの先も続きます。PHP 8.2も2026年12月31日に開発元のサポートが終わる予定です。誰が続けるかで、選べる道が変わります。
保守を頼んで続ける
制作会社などと保守契約を結び、更新を任せる。自分でブログやお知らせを頻繁に更新したいなら、これがいちばん現実的です。今回の文面にすぐ答えられる相手かどうかが、頼れるかどうかの目安になります。
自分で更新を続ける
サーバーのお知らせを見て、PHPのバージョンやWordPress、プラグインを自分で更新する。費用はかからないものの、今回のように急ぎの対応が求められる場面があります。
更新の要らない作りに変える
HTMLファイルだけの静的なサイトにする。PHPの更新作業が発生しません。その代わり、自分で文章を直す管理画面がなくなるので、内容の変更は作った人に頼むことになります。更新が年に数回で足りる事業所向けです。
どれが正解ということはありません。毎週ブログを書くなら保守契約、ほとんど書き換えないなら静的なサイト、というように、更新の頻度で決めるのが分かりやすいと思います。静的なサイトでも、サーバーやドメインのアカウントは乗っ取られることがあります。パスワードを使い回さない、ログインに2段階認証を設定するといった基本は、作り方に関係なく必要です。
更新がほとんど要らない事業所なら
当方では、職人・工事業、介護・障害福祉、教室・習い事の小さな事業所向けに、HTMLファイルだけで作る静的なホームページを制作しています。完成済みのデザインから選んで内容を差し替える方式です。WordPressは使わないため、PHPやプラグインの更新作業はありません。
その代わり、ご自身で文章を直す管理画面はありません。公開後の差し替えはこちらで承ります。ブログを頻繁に書きたい方には向かないので、その場合はWordPressの保守まで引き受けている制作会社をおすすめします。
デザイン見本帳を見る見本はすべて実際に動くサンプルです。事業所名・数値・料金はすべて架空のものです。