今回のPHP問題、結局どういうこと？ 中小企業のサイト担当者が今日やること

この記事は2026年10月22日時点の情報をもとにしています。

状況は日々動いているため、新しい情報が出たら追記します！

ニュースで「PHPに重大な脆弱性」「エックスサーバーが管理画面を緊急停止」と聞いて、

「うちのホームページは大丈夫？」と気になった社長さんや担当者さんも多いのではないでしょうか。

実はホットスポット編集部も、エックスサーバーを使っている当事者です。管理画面に入れなくなり、「何が起きているの？」「何をすればいいの？」を調べるところから始めました。

この記事では、専門知識がなくても最後まで読めるように、次の3つを順番に説明します。

• そもそも、PHP問題ってどういうこと？
• どのくらいヤバいの？
• じゃあ、うちは何をすればいいの？（ステップごとに解説）

そもそも、PHP問題ってどういうこと？

PHPってなに？

ホームページを見るとき、私たちのパソコンやスマホは、インターネットの向こうにある「サーバー」というコンピューターに「このページを見せて」とお願いしています。

PHP（ピー・エイチ・ピー）は、そのお願いを受けて、サーバーの中でページを組み立てる「職人」のようなプログラムです。

会社のホームページでよく使われている「WordPress（ワードプレス）」も、このPHPという職人が働くことで動いています。

つまり、WordPressで作ったホームページは、ほぼ間違いなくPHPを使っています。

世界中のホームページのかなりの割合が、PHPで動いていると言われています。

「脆弱性」ってなに？

脆弱性（ぜいじゃくせい）とは、プログラムの中にある「弱点」や「欠陥」のことです。

家にたとえると、「鍵をかけたつもりの裏口が、実はある方法で、余裕で開けられる状態だった」というイメージです。

今回、何が起きたの？

2026年10月、PHPそのものに、とても深刻な弱点が2つ見つかりました。

通称「php2shell（ピーエイチピー・トゥー・シェル）」と呼ばれています。

起きたことを時間の順に並べると、こうなります。

• 本来の予定：PHPの開発チームは、弱点を直した新しいバージョン（修正版）を用意し、10月22日に発表する予定だった。
• 予定外のこと：ところが、修正版が出る前に、弱点についての情報が外に漏れてしまった。悪用するためのプログラムまで出回り始めたと報じられている！
• 10月21日夕方：エックスサーバーは、予防のために公式サイトや管理画面などを一時停止！お客さん（我々ユーザー）のホームページやメールは止めずに動かしたままです。
• 10月21日夜：PHPの開発チームは予定を前倒しして、修正版を公開！
• 10月22日：エックスサーバーなどのレンタルサーバー会社が、お客さん（我々ユーザー）のサーバーに修正を当てる作業を進め、管理画面も順次再開中・・・

どのくらいヤバいの？

「鍵なし」で「家の中で好きなことができる」

今回の弱点のこわいところは、次の2つが重なっていることです。

1. ログインしなくても攻撃できる：IDもパスワードも知らない人が、外から攻撃できてしまう。
2. サーバーの中で、好きなプログラムを動かせてしまう：裏口から入った人が、家の中の家具を動かしたり、引き出しの中を見たりできる状態。

危なさを表す点数（CVSSという世界共通の物差し）は、10点満点中9.2点で、いちばん上の「緊急」レベルです。

アメリカの政府機関（CISA）も、すぐに修正版へ更新するよう呼びかけています。

さらに修正版が出る前に情報が漏れたため、海外のセキュリティ会社からは、すでに攻撃を試みる動きが見られると報告されています。

もし攻撃されたら、どうなる？

一般的に、このタイプの弱点を悪用されると、次のような被害が起こりえます。

• ホームページの中身を書きかえられる（知らない宣伝ページや、あやしいサイトへの転送など）
• お問い合わせフォームに送られてきた、お客さんの名前やメールアドレスを盗まれる
• 自社のサーバーが、迷惑メールを送ったり、ほかの会社を攻撃したりする「踏み台」に使われる

被害にあうと、クライアントからの信用にも大きく関わります。

大事なポイント：「WordPressを更新しても直らない」

ここがいちばん誤解されやすいところです。

今回の弱点は、WordPressやプラグイン（追加機能）ではなく、その土台であるPHPそのものにあります。そのため、WordPressやプラグインを最新にしても、この弱点は直りません。

直すには、サーバーの中にあるPHPを、修正済みのものにする必要があります。

じゃあ、うちは何をすればいいの？（ステップごとに解説）

ここからは、レンタルサーバーでWordPressのホームページを持っている会社を想定して、やることを順番に説明します。例として、エックスサーバーの画面の名前を使っています。

STEP1：自分のサイトの状況を知る

まず、次の2つを確認します。

• ホームページはWordPressで作られている？
  管理画面（ログインすると記事を書ける画面）に「ダッシュボード」と書いてあれば、WordPressです。
• どこのレンタルサーバーを使っている？
  エックスサーバー、さくらのレンタルサーバー、ロリポップ！、ConoHa WINGなど。毎月（または毎年）の支払いの明細を見るとわかります。

ホームページを制作会社に任せていて、どちらもわからない場合は、STEP1で一度、制作会社に聞いてみましょう（このあとの「制作会社に任せている場合」も参考にしてください）。

STEP2：PHPのバージョンを確かめる

PHPには「8.3」や「8.1」のようなバージョン（版の番号）があります。今回の対応は、このバージョンによって変わります。

WordPressの管理画面で、次の順にクリックすると確認できます。

1. 左のメニューの「ツール」
2. 「サイトヘルス」
3. 上のタブの「情報」
4. 「サーバー」を開く
5. 「PHPバージョン」の欄を見る

エックスサーバーの場合は、サーバーパネルの「PHP Ver.切替」からも、ドメインごとのバージョンを確認できます。

STEP3：バージョンで「やること」を確認する（まだ確認するだけ！）

PHPのバージョン	今回の状況	やること
8.2／8.3／8.4／8.5	修正版あり。エックスサーバーは10月22日朝に、修正の適用完了を発表	サーバー会社の「適用完了」の発表を確認する。8.2は2026年末でサポートが終わるので、近いうちに8.3以上へ切り替える予定を立てる
8.1以前（8.1／8.0／7.4など）	PHPの公式な修正版がない。サーバー会社が独自に修正を進めている段階	できるだけ早く、8.3以上へ切り替える（STEP4〜STEP7）

自分のサーバー会社が対応を終えたかどうかは、そのサーバー会社の「障害・メンテナンス情報」や公式Xで確認できます！

STEP4：バックアップがあるか確かめる

バージョンを切り替える前に、「もしもの時に元に戻せる」状態を確認しておきます。

• エックスサーバーは、1日1回、過去14日分のバックアップを自動で取っています（サーバーパネルの「自動バックアップの取得・復元」）。
• 心配な場合は、WordPressのバックアップ用プラグインで、手元にも保存しておくと安心です。

STEP5：WordPress本体・テーマ・プラグインを最新にする

先ほど「WordPressを更新しても直らない」と書きましたが、PHPを新しいバージョンに切り替える前には、WordPress側も最新にしておくのが基本です。古いプラグインは、新しいPHPで動かないことがあるためです。

• 管理画面の「ダッシュボード」→「更新」から、まとめて更新できます。
• 「最終更新が2年以上前」などと表示されるプラグインは、使っていなければ停止・削除を検討しましょう。

STEP6：PHPのバージョンを切り替える

エックスサーバーの場合の手順です。

1. サーバーパネルにログインし、「PHP Ver.切替」を開く
2. 対象のドメインの右にある、ペン（編集）のマークを押す
3. 「変更後のバージョン」で、新しいバージョンを選ぶ
4. 「設定する」を押す

ポイントは次の3つです。

• 作業は、ホームページを見る人が少ない時間帯に。画面を確認できる状態で行いましょう。
• 7.4などから一気に最新の8.5に上げると、不具合が出やすいと言われています。まず8.3に上げて様子を見て、後日さらに上げる「2段階」も安心な方法です。
• ドメインが複数ある会社は、ドメインごとに確認しましょう。使っていないドメインやサブドメインも忘れずに。

STEP7：切り替えたあと、ちゃんと動くか確認する

• トップページや、よく見られるページを開く（スマホでも）
• WordPressの管理画面に入り、記事の編集画面が開くか確かめる
• お問い合わせフォームから1件送ってみて、メールが届くか確かめる
• STEP2の「サイトヘルス」で、PHPバージョンが新しい番号になっているか確かめる

もし表示が崩れたら、「PHP Ver.切替」で元のバージョンに戻せます。ただし、戻したままだと弱点も残るので、制作会社などに相談して、改めて切り替える日を決めましょう。

STEP8：あやしい変化がないか見ておく

念のため、次のような変化がないか見ておきましょう。

• WordPressの「ユーザー」に、見覚えのない管理者がいる
• 書いた覚えのない記事やページがある
• ホームページを開くと、知らないサイトに飛ばされる
• サーバー会社から「不正なプログラムが見つかった」などの連絡が来ている

ひとつでも当てはまったら、自分で直そうとせず、すぐにサーバー会社や制作会社に相談してください。

STEP9：ニセのメールに気をつける

こうした騒ぎのときは、サーバー会社を名乗るニセのメールが増えがちです。「緊急」「今すぐログイン」といったメールのリンクは押さず、公式サイトはブックマークや検索から開くようにしましょう。

制作会社に任せている場合

ホームページの管理を制作会社に任せている場合は、次の3つを聞いてみてください。それだけで、状況がほぼわかります。

1. 「うちのサイトのPHPのバージョンはいくつですか？」
2. 「今回のPHPの脆弱性（php2shell）について、対応は済んでいますか？」
3. 「8.1以前なら、いつ新しいバージョンに切り替えますか？」

まとめ：今日やることチェックリスト

• ☐ WordPressのサイトかどうか、どこのサーバーかを確認した
• ☐ PHPのバージョンを確認した
• ☐ 8.2以上なら、サーバー会社の「適用完了」の発表を確認した
• ☐ 8.1以前なら、バックアップを確認し、8.3以上に切り替えた
• ☐ 切り替え後、ページ・管理画面・お問い合わせフォームが動くことを確認した
• ☐ 見覚えのない管理者や記事がないか確認した

今回の件は、「ホームページは作って終わりではなく、土台の手入れも必要」ということを改めて教えてくれる出来事でした。ホットスポット編集部も、自社の2つのサイトでこのチェックリストを順番に確認しています。

参考にした情報

• エックスサーバー公式X（2026年10月21日 管理画面停止のお知らせ）：https://x.com/xserverjp/status/2112817155804664098
• GMO Flatt Security Blog「PHPの重大な脆弱性『php2shell』の概要と対応指針」：https://blog.flatt.tech/entry/php2shell
• CISA「Critical Vulnerabilities in PHP Require Immediate Patching」：https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching