まず結果から申し上げますと、カワセミデザイン舎で管理しているWebサイトについて、今回のPHPの脆弱性による被害や異常は確認されておりません。サイトは一時閉鎖することもなく、現在も通常どおり公開されています。
2026年10月21日、Webサイトを動かすプログラム言語「PHP」に、深刻な脆弱性（セキュリティ上の弱点）が2件見つかったと発表されました。ニュースやSNSで目にして、ご心配になった方もいらっしゃると思います。この記事では、何が起きたのか、当社の管理サイトがどのような状況だったのかをご報告します。
何が起きたのか
PHPは、WordPressをはじめ多くのWebサイトの裏側で動いているプログラム言語です。今回見つかった2件の脆弱性は、通称「php2shell」と呼ばれ、悪用されると、外部の第三者がログインせずにサーバー上で不正なプログラムを実行できるおそれがあるものでした。深刻度を示す指標（CVSS）では、10点満点中9.2という非常に高い評価がつけられています。
PHPの開発チームは、10月20日に修正版の公開を予告し、日本時間の10月21日夜に修正版（PHP 8.2.35、8.3.36、8.4.27、8.5.12）を公開しました。予告の段階から、国内でも多くのWebサービスが予防のために一時停止するなど、大きな影響が出ました。
なお、PHP 8.1以前の古いバージョンは、すでに公式のサポートが終了しているため、通常の修正版は提供されていません。古いバージョンを使い続けているサイトほど、危険性が高い状況でした。
当社管理サイトの状況
当社が管理しているサイトについて、次の4点を確認しています。
1. サーバー会社による修正が完了しています
当社の管理サイトは、主にエックスサーバーで運用しています。レンタルサーバーでは、PHP本体の更新はサーバー会社が行います。エックスサーバーは10月21日夕方から予防のために管理画面などを一時停止し、その間もWebサイトの表示とメールは通常どおり動いていました。その後、10月22日朝の時点で、PHP 8.2〜8.5を使っているすべてのサーバーへの修正の適用を完了したと発表しています。
2. 全サイトでサポート中のPHPを使っていました
当社の管理サイトは、すべてPHP 8.2以上で動いていました。いずれも公式の修正版が提供されるバージョンのため、サーバー会社の修正がすぐに行き渡る状態でした。日頃からPHPのバージョンを新しく保つようにしていたことが、今回の早い対応につながりました。
WordPressで使用中のPHPバージョンを確認するには、WordPressの管理画面でツール＞サイトヘルス＞情報＞サーバーを開くと見ることができます。
3. サイト内部に異常は見つかっていません
修正の前後で、各サイトの管理画面や内部の状態を確認しましたが、不審なユーザーの追加やファイルの変更など、不正アクセスを示す異常は見つかっていません。
4. 万一に備えたバックアップを確保していました
最悪の場合を想定し、サーバーとは別の場所にサイトのバックアップを保管しています。サーバーそのものに問題が起きた場合でも、サイトを元の状態に戻せる体制を整えていました。
お客様へのお願いと今後の取り組み
当社で管理しているサイトについては、お客様に作業していただく必要はありません。
今後の取り組みとして、PHP 8.2が2026年12月31日に公式サポートを終了するため、該当するサイトは年内にPHP 8.3以上へ移行する予定です。移行の際は、事前にテスト環境で動作を確認してから切り替えます。対象となるお客様には、個別にご連絡いたします。
当社が管理していないサイトをお持ちの方で、PHPのバージョンや対応状況がわからずご不安な場合は、お気軽にご相談ください。
また、これらの情報をキャッチアップしたい方はお近くのコミュニティに参加されることをおすすめいたします。徳島県でサイバーセキュリティに関してはTOKUSHIMA Cyber Security Meetup、WordPressやWebに関してはTOKUSHIMA WordPress Meetupがございますので、関心のある方は参加してみてください。
おわりに
Webサイトの安全は、問題が起きてから対応するのではなく、日頃の備えで大きく変わります。カワセミデザイン舎では、今後もサーバー会社や公的機関の情報を確認しながら、お客様のサイトを安全に保つための保守を続けてまいります。