2026年10月21日、Webサイトを動かす仕組み「PHP」に、深刻度「緊急」の欠陥が見つかり、修正版が公開されました。WordPressで作られたホームページも対象になります。
このコラムでは、何が起きたのかをやさしく解説します。そのうえで、ホームページを「作って終わり」にしないための保守管理の大切さをお伝えします。
AIで誰でも作れる時代だからこそ、
公開後の守りが問われる
ここ1〜2年で、AIを使えばホームページを誰でもすぐに作れるようになりました。これは素晴らしいことだと思っています。一方で、私が現場で強く懸念しているのは、「Webの知識がないまま、サイトを公開してしまう人が増えている」ことです。
見た目が整ったサイトを作れることと、安全に運用し続けられることは、まったく別の話です。サーバー、PHP、WordPress、プラグイン。目に見えない部分の管理は、AIに「作って」と頼むだけでは決まりません。
お客様の大切な情報を入力していただくサイトや、自社の情報をお客様に届けるサイトだからこそ、「作れた」の次に、「守り続ける」仕組みが大切になります。
福岡クリエイティブワークス 代表 江藤 良太
SECTION 01
PHP2Shellの概要と影響範囲
PHPに「PHP2Shell」と呼ばれる2件の欠陥が見つかりました。悪用されると、ログインしていない第三者が外からサーバーを操作できてしまうおそれがあります。
- PHPとは：Webサイトを裏側で動かすプログラム言語です。お店にたとえると、注文を受けて料理を出す「厨房」にあたります。
- 深刻度：国際的な指標で各9.2（10点満点）と、最上位の「緊急」に分類されています。
- 影響範囲：世界で130万〜190万台のサーバーが影響を受ける可能性があると推計されています。
- 攻撃の状況：修正版の公開とほぼ同時に、攻撃の試みが観測され始めています。
まず今すぐにできる簡単な対策は、PHPを修正版（8.5.12、8.4.27、8.3.36、8.2.35）に更新することです。PHPの開発者自身も「修正版への更新が唯一の根本対策」と述べています。
SECTION 02
WordPressのサイトも他人事ではありません
中小企業やお店のホームページの多くは、WordPressで作られています。そしてWordPressは、PHPの上で動いています。今回はプラグインではなく土台のPHPの問題なので、「うちは小さなサイトだから大丈夫」とは言えません。
攻撃者は、企業の規模を選んでいるわけではありません。インターネット上のサイトを機械的に巡回して、更新されていないところを狙います。
万一悪用されると、次のような被害が考えられます。
- ホームページが改ざんされ、詐欺ページやウイルスの配布に使われる
- お問い合わせフォームに届いたお客さまの個人情報が漏れる
- サーバー内のパスワードや外部サービスの鍵情報が盗まれる
- Googleに「危険なサイト」と表示され、集客が止まる
被害の復旧にかかる費用や時間よりも重いのが、お客さまからの信用です。個人情報が漏れた場合は、個人情報保護委員会への報告が必要になることもあります。
SECTION 03
どう対策すればいいのか
基本の流れは、次の4ステップです。順番を守ることが、ページが真っ白になる事故を防ぐコツです。
- PHPのバージョンを確認する：WordPressの管理画面「ツール → サイトヘルス → 情報」や、レンタルサーバーの管理画面で確認できます。
- バックアップを取る：更新の前に、サイトのデータとデータベースを必ず保存します。
- 修正版のPHPに更新する：8.5.12、8.4.27、8.3.36、8.2.35のいずれか、お使いの系統の修正版にします。
- 動作を確認する：トップページ、各ページ、お問い合わせフォームなどが正常に動くかをチェックします。不具合があれば、プラグインやテーマを修正します。
SECTION 04
AIだけで作ったサイトに潜む、ほかのリスク
PHPの欠陥は、いわば「外から来る問題」です。AIだけで作ったサイトには、それとは別に、作り方そのものに起因するリスクも潜みやすいと私は考えています。
1. セキュリティ設定が抜けやすい
ログイン画面の保護、不要なユーザーの整理、プラグインの見直しなどは、見た目には現れないため後回しにされがちです。
2. 個人情報の扱いに穴がある
お問い合わせフォームのスパム対策、SSL化、プライバシーポリシー、通知メールが届いているかの確認など、公開後に問題になる点は少なくありません。
3. 集客に必要な設定が抜ける
表示速度、スマホ表示、検索エンジン向けの設定、アクセス計測などが整っていないと、見た目はよくても問い合わせにつながりません。
SECTION 05
「作って終わり」のサイトがいちばん危ない
今回のような欠陥は、今後も必ず見つかります。大切なのは、見つかったときにすぐ動ける体制があるかどうかです。特に危ないのは、公開後にだれも管理していないサイトです。
とはいえ、PHPを更新すれば終わり、というわけでもありません。更新すると、古いプラグインやテーマが動かなくなり、ページが真っ白になることがあります。そのため、事前のバックアップ、動作の確認、不具合の修正までをセットで行う必要があります。
こうした作業を、本業で忙しい経営者の方が毎回ご自分で対応するのは現実的ではありません。そこを引き受けるのが「保守管理」です。
SECTION 06
保守管理プラン
お客さまの情報と、貴社の信用を守るための「保険」とお考えください。
- 01
緊急時の対応
今回のような重大な欠陥が出たときに、影響を確認して対応し、ご報告します
- 02
PHP・WordPressの更新
PHP・WordPress本体、プラグイン、テーマを、常に最新の状態に保ちます
- 03
バックアップ
定期的に保存し、万一のときは元の状態に戻します
- 04
更新後の動作確認
ページ表示やお問い合わせフォームが正しく動くか確認します
- 05
改ざん・障害の監視
サイトが止まっていないか、不審な変化がないかをチェックします
- 06
ご相談窓口
「表示がおかしい」「このメールは大丈夫？」など、気軽にご相談ください
保守を入れていない場合、被害が出てからの復旧はスポット対応になり、費用も時間もかかります。その間、ホームページからの問い合わせや予約も止まってしまいます。
SECTION 07
まずはお気軽にご相談ください
ホームページは、公開した日から「守るもの」になります。弊社で制作したサイトはもちろん、他社で制作したサイトや、AIで作ったサイトの保守もお引き受けします。
「うちのサイトはPHPの更新が必要？」「だれが管理しているか分からない」という方は、まずはお問い合わせフォームからご連絡ください。現状を確認して、必要な対応をご案内します。
Webサイトの保守・現状確認のご相談
AIで作ったサイトや、他社で制作したサイトも対象です。状況に合わせて、2つの方法からお選びください。
文章で相談する
サイトの状況や気になる点を、お問い合わせフォームからお送りください。
オンラインで相談する
30分のオンライン相談を予約できます。お急ぎの方は、こちらが最短です。
SECTION 08
参考
- PHP2Shell: Critical PHP vulnerabilities patched, update now!（Help Net Security）
- PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors（SecurityWeek）
- php2shell FAQ（Tenable）
- 修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた（piyolog）