2026年10月21日、Webサイトの運営に広く使われているプログラミング言語「PHP」に、重大なセキュリティ上の問題（脆弱性）が2件見つかり、緊急の修正版が公開されました。

深刻度は、最高10.0のうち9.2。非常に重大な問題として、国内外のサーバー会社やWebサービスが緊急対応を進めています。

• 「PHPって何？」
• 「自分のホームページは大丈夫？」
• 「メンテナンス中と表示されるけれど、何か問題が起きたの？」

そんな疑問を持つ方に向けて、今回はパソコン講師の視点から、PHPの基本的な仕組み、今回の問題、私たちが確認したいことをわかりやすく解説します。

公式情報・参考資料

PHP Foundation｜今回の脆弱性と修正版公開の経緯

CERT-EU｜PHPの重大な脆弱性に関する勧告

ConoHa WING｜PHPの脆弱性への対応について

ConoHa WING｜対応状況（第2報）

① PHPとは？ホームページの裏側で働くプログラミング言語

PHPは、ホームページの裏側で情報を処理するプログラミング言語です。

1995年に登場し、約30年にわたってWebサイトの制作や運営に利用されてきました。

例えば、WordPressでブログの記事を公開すると、PHPなどの仕組みが必要な情報を読み出し、ブラウザに表示するページを組み立てます。

PHPは、ホームページの見た目を直接デザインするものではなく、見えないところで情報を処理する役割を持っています。

ホームページを3つに分けて考えてみよう

初心者の方には、次のように考えるとわかりやすいでしょう。

※実際にはPHPはサーバー上で動作し、データベースなどとも連携しています。

普段ホームページを見ているとき、PHPの存在を意識することはほとんどありません。

しかし、WordPressをはじめ、多くのWebサイトを支える重要な仕組みの一つです。

② 2026年10月、PHPに重大な脆弱性が2件見つかった

今回、PHPに2件の重大な脆弱性が公表されました。

脆弱性とは、プログラムやシステムに存在するセキュリティ上の弱点のことです。

今回の問題は、一定の条件下で、外部から不正なプログラムを実行される可能性があるというものです。

深刻度は10段階で9.2

セキュリティ上の問題には、危険性を評価する「CVSS」という指標があります。

今回の2件は、CVSS v4.0でそれぞれ9.2と評価されています。

※CVSSの一般的な深刻度区分です。

今回の9.2は、最も深刻な「緊急」に分類されます。

ただし、深刻度が高いからといって、すべてのWebサイトが攻撃されたという意味ではありません。

重大な弱点があることと、実際に不正侵入を受けたことは別の問題です。

③ なぜ今回は緊急対応になったの？

通常、重大な脆弱性が発見されると、開発元などが修正プログラムを準備し、関係者と調整しながら公開することがあります。

これは、修正前に攻撃方法が広く知られる危険を減らすためです。

しかし今回は、修正版が公開される前に脆弱性の識別番号などが外部に広まりました。

その後、攻撃を再現する動画の一部や修正済みソフトウェアも予定より早く公開され、攻撃者が問題を分析できる可能性が高まりました。

修正版の公開が1日前倒しに

当初、修正版の公開は10月22日に予定されていました。

しかし、情報が予定より早く広まったことなどを受け、10月21日に前倒しして公開されました。

日本時間では、10月21日23時ごろです。

今回の大きな問題は、修正プログラムがすべての利用者に届く前に、脆弱性に関する情報が広まり始めたことです。

そのため、各サーバー会社やWebサービスの運営会社は、急いで安全対策を進める必要がありました。

④ 緊急メンテナンスは危険なサーバー会社という意味？

今回、レンタルサーバー会社やWebサービスでは、緊急メンテナンスや一部機能の利用停止などが行われました。

その影響で、次のような状況が発生する場合があります。

• ホームページが一時的に表示されない
• サーバーの管理画面に入れない
• ファイル管理などの機能が使えない
• 一部のWebサービスが停止する

こうした表示を見ると、「サーバーが攻撃されたのでは？」と不安になるかもしれません。

しかし、メンテナンス中だからといって、不正アクセスを受けたとは限りません。

今回の緊急メンテナンスには、利用者を守るための予防的な対応も含まれています。

サーバー会社の迅速な対応が安全を支えている

重大な問題が見つかったとき、サーバー会社では修正プログラムの適用や安全確認などを行います。

場合によっては、一時的にサービスを制限する判断も必要になります。

利用者にとっては不便に感じられることもありますが、安全性を確保するために必要な措置である場合もあります。

普段、私たちが安心してホームページを利用できる背景には、こうした技術者や運営会社の取り組みがあります。

メンテナンスのお知らせを見たときは、慌てずに公式情報を確認しましょう。

⑤ WordPressを使っている人は何をすればいい？

WordPressはPHPを利用して動くため、今回の問題と無関係ではありません。

ただし、WordPressを使っているからといって、すぐにPHPの設定を変更すればよいわけではありません。

利用しているサーバー会社によって、対応方法が異なります。

まずはサーバー会社の公式お知らせを確認

ConoHa WING、エックスサーバー、さくらインターネットなど、利用中のレンタルサーバー会社の公式サイトや管理画面を確認しましょう。

例えば、ConoHa WINGでは2026年10月22日付のお知らせで、利用中のPHPバージョンを維持したまま、サーバー側で修正を適用すると案内しています。

そのため、ConoHa WINGの利用者は、今回の問題への対応として慌ててPHPバージョンを変更する必要はないとされています。

ただし、これはConoHa WINGの案内であり、すべてのサーバー会社に共通するわけではありません。

WordPressの安全確認も忘れずに

サーバー会社の対応とは別に、WordPressの管理状況も確認しておきましょう。

• WordPress本体・テーマ・プラグインの更新状況
• 見覚えのない管理者アカウントの有無
• 不審なプラグインの有無
• バックアップの保存状況
• 二段階認証などのログイン対策

なお、管理画面で異常が見つからなくても、不正侵入がないと断定できるわけではありません。

不審なファイルや動作が見つかった場合は、制作会社やサーバー会社などに相談しましょう。

⑥ サイトを持っていない人も便乗詐欺に注意

今回のPHPの問題は、主にWebサイトやサーバーを運営する側が対応するものです。

しかし、大きなセキュリティニュースが報じられると、それに便乗して不安をあおる詐欺メールやSMSが送られてくる可能性もあります。

例えば、

不審なメールやSMSが届いたら

メールやSMSに書かれたリンクからログインするのではなく、自分で公式サイトや公式アプリを開いて確認しましょう。

また、普段から次のような対策を行っておくことも大切です。

今回の脆弱性によって、これらの詐欺が実際に増加したと断定するものではありません。あくまで予防的な注意喚起です。

⑦ PHPの脆弱性についてよくある質問

PHPの脆弱性が見つかったら、すべてのサイトが危険なの？

いいえ。影響はPHPのバージョンや利用環境、修正プログラムの適用状況などによって異なります。

PHPを利用していないサイトもあります。

PHPを8.3にしていれば安全？

PHP 8.3というだけでは判断できません。

同じ8.3系でも修正前と修正後のバージョンがあり、サーバー会社が独自に修正パッチを適用する場合もあります。

バージョン番号だけで判断せず、サーバー会社の公式案内を確認しましょう。

メンテナンス中なら何もしなくていい？

まずは公式のお知らせで、利用者側の操作が必要か確認しましょう。

サーバー会社が修正を行う場合もあれば、自分で更新が必要な環境もあります。

WordPressを更新すれば今回の問題は解決する？

WordPress本体の更新と、PHP本体の脆弱性への対応は別です。

WordPressを最新版にすることも大切ですが、それだけでPHPの問題が修正されたとは限りません。

⑧ まとめ｜PHPの脆弱性は正しく知って、落ち着いて対応しよう

2026年10月21日、PHPに重大な脆弱性が2件見つかり、緊急の修正版が公開されました。

今回のポイントを整理すると、次のとおりです。

セキュリティの問題は、今後も起こり得ます。

大切なのは、すべての専門知識を覚えることではありません。

何が起きているのかを正しく知り、自分に必要な対応を落ち着いて判断することです。

ITリテラシーを高めることは、難しい技術を覚えるだけでなく、情報を見極め、安全に使う力を身につけることでもあります。

日頃から少しずつ確認する習慣をつけて、安心してインターネットを利用していきましょう。

あわせて読みたい｜