西澤です。
PHPの重大な脆弱性に関する事前告知が出ています。WordPressを使ったホームページだけでなく、PHPで動く業務システムの担当者も、利用環境と提供元の案内を確認してください。
この記事の確認時点：2026年10月21日 22:00（日本時間）。修正版の公開前に確認できた情報をまとめています。対象バージョン・修正版・対応状況は、以下の公式情報で最新の内容をご確認ください。いま分かっていること
PHP公式の事前告知では、重大な脆弱性2件に対応するセキュリティリリースを、2026年10月21日23:00（日本時間）に公開予定としています。詳細や悪用が先に明らかになった場合は、前倒しする可能性もあります。確認時点では、詳細な対象バージョンや修正版は未公表です。 IPAの注意喚起は、公開後すぐ対応できるよう準備を求める内容です。IPAが今回の2件を悪用した攻撃を確認したという発表ではありません。PHPを使うプログラムの棚卸しと、製品・サービス提供元の情報確認を呼びかけています。「まだ詳細がないから何もしなくてよい」ではなく、誰が、どの環境を、いつ確認して更新するのかを決めておく段階です。
エックスサーバーの停止は何を意味するのか
エックスサーバーの公式告知（10月21日21:15更新）では、公式サイトやアカウント管理画面、サーバーパネルなどを予防的に一時停止していると案内されています。不正アクセスが発生したことによる停止ではない、とも明記されています。一方で、利用者のWebサイト表示やメールソフトでの送受信は通常どおりとされています。利用サーバーには緩和策を含む対策を順次適用し、修正版公開後も対応を進める予定との説明です。管理画面の再開後、利用状況により追加対応を依頼する場合もあると案内されています。
したがって「エックスサーバーの利用者のサイトが一斉に停止した」「WordPressが運用できなくなった」という意味ではありません。この告知は随時更新されるため、現在の状態は公式ページで確認してください。
サイトやシステムの担当者が確認すること
図：更新対応を先に進め、構成の見直しはその後に検討します。
1. PHPを使っている環境と管理担当を確認する
WordPressのサイト、本番とは別のテスト環境、旧サイト、独自のPHPシステムなど、把握できる範囲で整理してください。サイトが表示されることや、URLに「.php」が付いていないことだけでは、PHPを使っているかは判断できません。
レンタルサーバーの管理画面や契約情報、制作・保守会社への確認から始めます。サーバーを自分で管理しているのか、提供元がPHPを更新するのかも確認しましょう。WordPress管理画面で本体を更新する操作と、サーバー側のPHP更新は別のものです。
2. 更新に備えてバックアップと確認手順を用意する
ファイル・データベース・設定のバックアップと、戻す手順を担当者と確認します。問い合わせフォーム、ログイン、予約・決済など、更新後に確認すべき機能も先に整理してください。
互換性を確認せずPHPのメジャーバージョンを切り替えると、別の不具合が出る可能性があります。利用中の環境に対して提供される修正や、ホスティング事業者の対応方針を確認して進めます。
3. 修正版公開後は提供元の案内に沿って対応する
PHP公式、サーバー事業者、利用システムの提供元が公開する対象範囲と対策を確認し、担当者が適用状況を確かめてください。事業者側で適用される修正と、自社側で必要な作業を分けて確認することが大切です。
WordPress本体・テーマ・プラグインの更新も通常どおり管理しますが、それだけで今回のPHP本体の対策が済んだとは判断しないでください。
4. 更新後の動作と不審な変化を確認する
ページが開くかだけでなく、問い合わせが届くか、ログインや業務処理が動くかまで確認します。身に覚えのない管理者、改ざんされたページ、異常なログなどがある場合は、通常の移行作業とは分けて、契約先の保守担当や専門のインシデント対応窓口へ相談してください。
ログ等を保全し、証拠を失うような削除・初期化を独断で進めないことも重要です。
制作会社や保守会社へ聞く内容
技術に詳しくない場合は、次の内容をそのまま確認の出発点にできます。
- 当社のサイトやシステムはPHPを使っていますか。対象環境と管理担当を教えてください。
- 今回の公式発表に対して、適用済みの対策と今後の対応予定はありますか。
- サーバー事業者側で対応する部分と、当社側で必要な作業は何ですか。
- バックアップ・復旧手順と、更新後の動作確認は誰が担当しますか。
- 旧サイトやテスト環境も対応の範囲に入っていますか。
パスワードや認証情報を、通常の問い合わせフォームや公開のコメント欄へ送る必要はありません。
今回をきっかけに保守の仕組みも見直す
私自身、今回の情報を同業者にも共有しています。目の前の更新対応に加えて、今後の運用を見直すきっかけにもしたいと考えています。
会社案内や店舗紹介が中心のサイトなら、PHP・WordPressを実行せず、静的なページ配信と必要なフォームなどを組み合わせる構成も選択肢になります。保守する対象を整理し、PHP・WordPressに由来する攻撃経路を減らせるためです。
ただし、PHPを使っているだけで危険、サーバーレスなら絶対安全、という話ではありません。 サーバーレスでもフォームやAPIの保護、ライブラリ更新、アカウント管理は必要です。また、サーバーレスという言葉自体がPHP不使用を意味するわけでもありません。
予約・EC・会員機能や複雑な業務処理がある場合は、機能の引き継ぎや再設計が必要です。適切に保守しながら今の仕組みを続けるほうが合うケースもあります。移行の検討を理由に、いま必要な更新・対策を後回しにしないでください。
関連サービスと相談先
Galewestでは、PHPを実行しないサーバーレス型ホームページへの移行を支援しています。既存の機能・記事・URL・更新方法を確認し、移行に向くかどうかから検討します。
- サーバーレス型ホームページへの移行支援：対応範囲と移行の進め方
- 移行に向いているサイト・再設計が必要なサイト
- 移行費用と運用費用の考え方：内容に応じた個別見積もり
- 制作会社・同業者向けの移行支援
- 自社サイト・顧客サイトの移行を相談する
上記は中長期の移行・運用見直しの相談窓口です。緊急の脆弱性対応や、侵害を受けたシステムの復旧受付を保証するものではありません。
公式情報
公開時点で修正版がすでに出ている場合は、上記の最新案内を優先してください。本記事は個別環境の診断結果ではありません。
タグ
Galewest｜Web制作・マーケティング
中小企業のためのホームページ制作なら、Galewestへ
「作って終わり」ではなく、SEO・導線設計・運用まで一貫してサポート。大阪・梅田を拠点に、全国の中小企業様にご利用いただいています。