2026年10月21日、PHPというプログラミング言語の脆弱性が公表され、世の中が大騒動になりました。
首相がＸ（旧Twitter）で、警告を発信する事態となりました。
本件は、大企業だけでなく、中小企業にも関係する事案ですので、内容をまとめてみます。
10月21日に公表。公表から数日で、日本と世界の機関が警告しました
2026年10月21日、ホームページの裏側で動くプログラム「PHP」の開発元が、重大な欠陥2件の修正版を公開しました。前日には異例の事前予告も出ています。深刻度は10点満点中9.2で、パスワードを知らない第三者が、外からサーバーを勝手に操作できてしまう恐れがあります。影響は、かなり古い版（5.4以降とされる）にまで及びます。
日本のIPA（情報処理推進機構）、米国CISA、EUのCERT-EU、カナダのサイバーセキュリティセンターなどが、相次いで注意喚起を出しました。10月23日には、特殊な設定でのみ成立する追加の欠陥も明らかになっています。
攻撃の手順を示すコードがすでに出回り、公表直後から攻撃を観測したとする報告もあります。一方で、実被害は確認されていないとする報告もあり、情報は分かれています（確信度：中）。
気づかないうちに使っていることが多く、既存の防御では防ぎきれません
PHPは、WordPressなどのホームページ作成ソフトや、社内の業務アプリ、機器の管理画面にも使われています。「うちはPHPを使っていない」と思っていても、対象の可能性があります。
欠陥は、サイトのパスワード管理や入口の防御より手前にあります。そのため、アクセス制限や不正通信を防ぐ仕組みだけでは、防ぎきれません。更新が根本的な対策です。
今週中にやること：3ステップ
①インターネットに公開しているものを洗い出す
自社のホームページ、古いテスト用サイト、レンタルサーバー、社内の業務アプリ、ネットワーク機器の順に確認します。外から見えるものを最優先にします。PHPのバージョンは、レンタルサーバーの管理画面などで確認できます。
②新しい版に更新し、動かし直すところまで終える
PHPのバージョンを、8.5.12／8.4.27／8.3.36／8.2.35以上にします。WordPressは、7月にも重大な欠陥が修正されているため、7.0.2以上かを併せて確認します。
更新しただけでは、古い状態のまま動き続けることがあります。サーバーの再起動か、事業者への確認まで行います。更新後は、サイトの表示と問い合わせフォームが動くかを確かめます。
③更新できないものは、公開を絞るか止める
パスワードを知る人だけが見られる設定にして、外から到達できなくします。止めるかどうかは現場任せにせず、問い合わせが止まる影響を含めて経営者が先に決めます。
PHP 8.1以前は、公式の修正版がありません。公開を続けるか、廃止するかの判断が必要です。
保守契約が切れたホームページは、まず「管理者探し」から
制作会社との保守契約が切れている、担当者が退職した、ログイン情報が分からない。中小企業では珍しくない状況です。更新作業の前に、まず誰が管理できる状態かを確認します。
手順は次の順です。
（a）サーバーやドメインの請求書・契約メールから、契約者と事業者を特定する。
（b）事業者に、契約者として問い合わせ、PHPのバージョンと対応状況を聞く。
（c）更新できる人がいなければ、制作会社などに単発の作業として依頼する。
それも難しい場合は、一時的な非公開か、問い合わせ先だけを載せた簡易ページへの切り替えを検討します。集客や問い合わせは一時的に減りますが、乗っ取られた場合の復旧費用と信用低下のほうが、通常は大きな損失になります。ここは推測を含むため、自社の売上への影響と比べて判断してください。
「更新したのに危ない」を招く3つの落とし穴
動かし直し忘れ：更新後も、古い状態のまま動いていることがあります。事業者に「再起動まで済んだか」を必ず確認します。
暫定の設定変更に頼る：PHP開発元自身が「設定だけでは安全にならない」と明記しています。更新までのつなぎです。
8.2の期限：8.2は2026年12月31日でサポート終了です。今回の更新で期限は延びません。10月中に見積もり、11月に検証、12月上旬に切り替えが現実的な下限です。
外注先・レンタルサーバー事業者に確認を取る
制作会社やレンタルサーバー任せでは、対応済みか分かりません。四国経済産業局も、提供事業者への確認を呼びかけています。
最低限、次の3点をメールで聞きます。
（a）今回の欠陥の影響を受ける構成か
（b）修正版にした日と、動かし直しまで済んでいるか
（c）PHPが8.2以前なら、移行の予定はあるか。
侵入の疑いがあるときは、まず「触らない」
身に覚えのないファイルがある、サイトの表示が書き換わっている、深夜に不審な通信がある場合は、サーバーの再起動や削除をせず、記録（ログ）を残します。そのうえで外部との接続を切り、委託先・弁護士・保険会社に連絡します。
個人情報が漏れた恐れがあれば、個人情報保護委員会への報告義務が生じます。対応は法務の専門家にご確認ください。
次の一手：今日中に「ホームページ一覧表」を1枚つくる
表計算ソフトに「サイト名／管理者（自社か委託先か、不明か）／PHPのバージョン／保守契約の有無」の4列を作り、分かる範囲で埋めてください。「不明」の行が、最初に調べるべきサイトです。
中小企業が単独で対応するのが難しい分野でもありますので、早めに専門家に相談するのが吉です。
今後も生成AIの進化により、同様のことが起きると想定されます。今のうちから、現在使用しているシステム内容を洗い出しておく必要があると思います。
※本稿は2026年10月25日時点の資料に基づきます。状況は変わるため、PHP公式・IPAなどの一次情報もご確認ください。
コメント