2026年10月、ホームページなどで広く利用されているプログラミング言語「PHP」に、重大な脆弱性が見つかったことが公表されました。
今回問題となっているのは、CVE-2026-109618、CVE-2026-109619という2つの脆弱性です。
これらを組み合わせた攻撃は「PHP2Shell」と呼ばれており、悪用された場合には、外部から不正なプログラムを実行される可能性があります。
IPA（情報処理推進機構）は2026年10月22日に注意喚起を公表し、10月27日には、この脆弱性が米国CISAの「実際に悪用された脆弱性」のカタログに登録されたことを追記しています。
中小企業の経営者にとって、
「PHPと言われてもよく分からない」
というのが普通だと思います。
しかし、WordPressで作られたホームページもPHPを利用しています。
そのため、自社ホームページをWordPressで運営している企業は、一度状況を確認しておくことをおすすめします。WordPress公式も、現在はPHP 8.3以上の利用を推奨しています。
この記事では、ITの専門知識がない中小企業経営者向けに、今回の問題と確認しておきたいポイントを整理します。
今回問題になっている「PHP」とは？
PHPは、WebサイトやWebシステムを動かすために広く利用されているプログラミング言語です。
特に、中小企業のホームページでもよく使われているWordPressはPHPで動作しています。
そのため、
「自社ではPHPというシステムを導入した覚えがない」
という場合でも、WordPressを利用していれば、サーバー側ではPHPが使われています。
ただし、ここで一つ注意が必要です。
WordPressそのものの脆弱性ではありません
今回公表されたのは、WordPress本体の脆弱性ではなく、PHP側の脆弱性です。
WordPressを使っているから必ず被害を受ける、という意味でもありません。
一方、PHP公式は、Webリクエストを処理しているPHP環境について今回の脆弱性の影響を受ける可能性があるとして、速やかな更新を呼びかけています。
そのため、
「WordPressを最新版にしているから大丈夫」
だけではなく、ホームページを動かしているサーバー側のPHPについても確認する必要があります。
何が問題なの？
今回の2つの脆弱性が悪用された場合、外部から任意のコードを実行される可能性があります。
簡単にいうと、
本来ホームページを操作できない第三者に、サーバー上で不正な処理を実行される危険性がある
ということです。
PHP公式は今回の2件を重大な脆弱性として扱い、利用者に対して更新を強く推奨しています。
またIPAによると、2026年10月26日（現地時間）には、米国CISAがこれらを実際に悪用されたことが確認されている脆弱性の一覧へ追加しました。
したがって、
「今後攻撃されるかもしれない問題」ではなく、対応を確認しておいた方がよい段階に入っている
と考えた方がよいでしょう。
影響を受けるPHPのバージョン
IPAが公表している情報では、次のPHPが影響を受けます。
- PHP 8.2.35より前の8.2系
- PHP 8.3.36より前の8.3系
- PHP 8.4.27より前の8.4系
- PHP 8.5.12より前の8.5系
対策済みとして公開されているのは、
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
です。
また、PHP 8.1以前はすでにサポートが終了しています。
IPAは、サポート終了済みのPHPを利用している場合には、現在サポートされているバージョンへの移行を検討するよう案内しています。
自社ホームページのPHPバージョンを知らなくても珍しくない
中小企業では、
「ホームページを作ったのは数年前で、その後はほとんど触っていない」
「WordPressで作られていることは知っているが、PHPのバージョンまでは知らない」
「制作会社に全部任せている」
というケースも多いと思います。
これは珍しいことではありません。
むしろ今回の問題で重要なのは、
経営者自身がPHPを操作できるようになることではありません。
自社ホームページを誰が管理しており、今回の脆弱性への対応が行われているかを確認できる状態にしておくことです。
中小企業経営者がまず確認したいこと
1．自社ホームページがWordPressか確認する
まず、自社ホームページがWordPressで作られているかを確認します。
分からない場合には、ホームページを制作した会社や保守会社へ聞けば問題ありません。
2．現在利用しているPHPのバージョンを確認する
WordPressを利用している場合には、
「現在使用しているPHPのバージョンは何ですか？」
と制作会社・保守会社・サーバー会社へ確認してください。
自分でサーバーの設定画面を操作する必要はありません。
3．今回の脆弱性への対応が済んでいるか確認する
続いて、
「今回公表されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応は済んでいますか？」
と確認すると分かりやすいでしょう。
技術的な詳細まで経営者自身が理解する必要はありません。
「影響を受ける状態なのか」
「すでに対策済みなのか」
を確認することが重要です。
4．古いPHPを使い続けていないか確認する
今回の脆弱性だけでなく、PHPそのものが古すぎないかも確認しておきたいところです。
WordPress公式では現在、PHP 8.3以上を推奨しています。
古いPHPでもWordPress自体は動作する場合があります。
しかし、
「ホームページが表示されている」ことと「安全に運用できている」ことは同じではありません。
経営者が制作会社へ送るなら、この確認だけでも十分
ITに詳しくない場合は、難しい質問をする必要はありません。
制作会社や保守会社へ、例えば次の3点を確認してみてください。
① 当社ホームページは今回のPHP脆弱性の影響を受けますか？
② 現在使用しているPHPのバージョンは何ですか？
③ 必要なアップデート・対策は完了していますか？
まずはこれで十分です。
「分からないので調べてください」でも問題ありません。
自分でいきなりPHPを更新するのはおすすめしません
ここは特に注意してください。
PHPのバージョンは、サーバーの管理画面から変更できる場合があります。
しかし、
ITに詳しくない経営者が、今回の記事を見てすぐに自分でPHPを変更することはおすすめしません。
WordPressでは、
- 本体
- テーマ
- プラグイン
- 独自に追加されたプログラム
などが組み合わさって動作しています。
PHPだけを更新すると、古いテーマやプラグインなどとの相性によってホームページが正常に動作しなくなる可能性があります。
WordPress側でも、PHPの更新については利用環境全体を確認することが重要とされています。
制作会社や保守会社がある場合には、まず相談しましょう。
問題は「今回のPHP」だけではない
今回のニュースをきっかけに、中小企業経営者にぜひ確認していただきたいことがあります。
それは、
「自社ホームページを現在誰が管理しているのか」
ということです。
実際、中小企業では、
- 制作会社との保守契約が切れている
- 制作した担当者が退職している
- WordPressを何年も更新していない
- PHPのバージョンを誰も知らない
- サーバーの契約情報が分からない
- 管理者ID・パスワードの所在が分からない
というケースもあります。
IPAも今回の注意喚起の中で、長期間更新されていないシステムでは、担当者不在、資料・ノウハウ不足、保守契約終了などによって対策が難しくなる場合があると指摘しています。
これはPHPだけの問題ではありません。
ホームページも会社の「IT資産」
会社のホームページは、単なる会社案内ではありません。
現在では、
- 問い合わせ
- 採用
- 集客
- 信用確認
- 商品・サービス紹介
など、重要な役割を持つ会社も多くなっています。
ホームページが停止したり、改ざんされたりすれば、会社の信用や営業活動にも影響します。
そのため、
ホームページも会社の重要なIT資産の一つとして管理する
という考え方が必要です。
「誰かがやってくれているはず」が一番危ない
レンタルサーバー会社を利用している場合、
「サーバー会社が全部対応してくれているだろう」
と思う方もいるかもしれません。
しかし、契約内容によって、
- サーバー側が自動的に更新する範囲
- 利用者側で対応する範囲
- 制作会社が対応する範囲
は異なります。
そのため、
「誰かが対応しているはず」と考えるのではなく、一度確認する
ことが重要です。
更新できない古いホームページは今後どうする？
古いWordPressサイトでは、
「PHPを最新版にするとホームページが壊れるため更新できない」
という場合もあります。
このような場合、問題は今回の脆弱性だけではありません。
古いシステムを今後も使い続けるためには、
- 改修する
- サイトを作り直す
- 保守可能な環境へ移行する
- 必要性の低い機能を廃止する
など、中長期的な判断が必要になります。
IPAも、更新・移行が難しいシステムについて、経営層を含めて必要な人員・予算・保守体制を検討し、場合によってはシステムの縮小・廃止も含めて対応方針を決めるよう案内しています。
つまり、
今回のPHP問題は、会社のIT管理体制を見直すきっかけにもなります。
中小企業経営者向けチェックリスト
今回のニュースを受けて、次の項目だけでも確認してみてください。
- 自社ホームページがWordPressか分かる
- ホームページを管理している会社・担当者が分かる
- 使用しているPHPのバージョンを確認できる
- 今回のPHP脆弱性への対応状況を確認した
- WordPress本体も定期的に更新されている
- プラグイン・テーマも管理されている
- サーバーの契約先が分かる
- ホームページのバックアップ方法が分かる
- 管理者ID・パスワードの管理者が明確になっている
- 保守契約の有無・範囲が分かる
全部を経営者自身で作業する必要はありません。
「誰が管理しているのか」「問題が起きたとき誰に連絡するのか」が分かっていることがまず重要です。
まとめ｜WordPressのホームページを放置している会社は一度確認を
今回公表されたPHPの脆弱性は、外部から任意のコードを実行される可能性のある重大な問題です。
PHP公式は対策済みバージョンへの更新を強く推奨しており、IPAも2026年10月27日時点で、実際に悪用されたことが確認されている脆弱性として改めて注意を呼びかけています。
WordPressはPHPを利用しているため、WordPressでホームページを運営している中小企業も無関係ではありません。
ただし、経営者自身がPHPについて詳しく勉強したり、サーバーを操作したりする必要はありません。
まず、
「当社のホームページは今回の問題の影響を受けるか」
「必要な対策は済んでいるか」
を、制作会社・保守会社・サーバー会社へ確認してみてください。
そして今回をきっかけに、
自社ホームページを誰が管理し、今後も安全に維持できる体制になっているか
も一度確認しておくことをおすすめします。