2026年10月21日の夜、PHP（ピーエイチピー）の修正版が、開発チームが予告していた23時より少し早く公開されました。

PHPは世界中のウェブサイトの裏側で動いているプログラムで、今回の修正版は、そこに見つかった2つの重大な欠陥、いわゆる脆弱性（ぜいじゃくせい）を直すためのものです。

昼すぎから保育園の連絡アプリやイラスト投稿サイト、スマホのゲームまでが、備えのための緊急メンテナンスで次々に止まり、「自分も何かしなきゃいけないの？」と落ち着かない夜を過ごした人も少なくないでしょう。

何をすればいいのか分からないあまり、こんな話まで広がっていました。

スマホでアプリやサイトを使うだけの人なら、いま急いでしなければならないことは、ほとんどありません。

反対に、WordPress（ワードプレス・PHPで動く、ブログやホームページを作るためのソフト）を借りたサーバーに入れて、自分のブログやお店のサイトを持っている人にとっては、修正版が出たいまからが本番です。

同じPHPの欠陥なのに、人によってやることがここまで分かれるのは、穴がサーバーの中にあって、そのサーバーのPHPに自分で手を出せる人と、出せない人がいるから。

しかも、ブログを書いている人でも、アメブロやnoteのような場所で書いているなら、スマホで使うだけの人と同じように、急いで何かをしなくていい場合があります。

穴が開いているのはサーバーの中

PHPが動いているのは、サーバー（サイトの中身を預かり、見に来た人へ画面を返しているコンピューター）の中です。

私たちのスマホやパソコンには入っていないので、アプリを入れ直しても、スマホを最新の状態にしても、今回の穴を私たちの手でふさぐことはできないんです。

PHPの開発チームが修正版と一緒に出した発表によると、この2つの穴を悪用されると、ログインもしていない外の誰かが通信を送っただけで、サーバーの上で好きなプログラムを動かせてしまいます。

開発チームは、PHPを入れてサイトを動かしている人たちに、すぐ更新するよう強く求めていますし、政府でサイバー攻撃への備えをまとめる国家サイバー統括室も、修正版が出た21日22時57分に、サイトを動かしている側へ「可及的速やかに適用してください」とXで呼びかけました。

 

サーバーをビル、PHPをそのビルの配管にたとえると、アプリやサイトを使う私たちは、ビルに入っているお店のお客さんです。

お客さんは、壁の向こうの配管を工事することはできませんし、する必要もありません。

配管の工事をするのは、ビルの管理会社にあたるレンタルサーバーの会社で、大きなサービスを運営している会社なら、ビルごと自前で持っているので自分たちで工事をします。

ただ、お店を借りて営んでいる店主となると話は別で、配管の工事は管理会社に任せられても、自分のお店でどの型の設備を使うかは、店主が自分で選ばなければなりません。

つまり、自分でサイトを持っている人たちがこの店主で、店主が自分で選ぶ「設備の型」にあたるのが、サイトを動かすPHPのバージョンです。

 

21日21時55分に、高市早苗首相がXで呼びかけた相手も、この店主たち、つまり自分でサイトを持っている人たちでした。

「皆様に」「大至急」という書き出しに、自分も何かしなければと戸惑った人も多かったようで、この投稿には22日の朝までに28万を超えるいいねが付き、5,500万回以上表示されています。

ただ、首相が投稿の続きで頼んでいるのは、サイトを公開している人に修正版を入れる準備をしてもらうことと、間に合わなければサイトをいったん止めてもらうことで、ビルのお客さんにあたる私たちに何か手を動かしてほしいとは書かれていません。

AIの調べで見つかった14年前からの穴

今回の穴は、海外のセキュリティ会社WizやCalif、ChatGPTを作るOpenAIの研究者たちが見つけたもので、Wizの研究チームは、穴を探す段階から、直し方が本当に効くかを確かめる段階まで、AIを使ったと公表しています。

しかも、この穴は2012年に出たPHP 5.4のころから開いていて、修正前はほぼすべてのバージョンに、2つの穴のどちらかがありました。

世界中のサイトの土台に14年あまり潜んでいた穴を、研究者たちがAIを使って調べて掘り当てたところから、今回の騒ぎは始まっているんです。

 

PHPの開発チームが修正版の予告を出す直前、日本時間21日の明け方には、海外のセキュリティ会社の技術者がXにこんな一言を投稿していました。

「明日はとんでもない一日になる」という一言には、Califの研究者たちが作った攻撃の実演動画が付けられていて、投稿した本人もあとから、その動画を作ったのはCalifだと書き足しています。

投稿にある「php2shell」は、今回の穴を指して広まった呼び名で、もとは研究チームが、WordPressなどでログインなしにサーバーを動かせることを示すために作った、攻撃のプログラムの名前です。

「シェル」は、一般にはコンピューターへ直接命令を打ちこむための入口を指す言葉です。

「PHPからシェルへ」という名前のとおり、この穴を使われると、外の誰かがサイトの裏側から入りこんで、サーバーそのものを動かす操作盤まで一気に手を伸ばせてしまうのが、いちばん怖いところです。

アメブロやnoteのブログは会社が直す

ブログを書いている人の中には、「自分も店主なの？」とドキッとした人もいるかもしれません。

ただ、アメブロやnote、はてなブログ、ライブドアブログのように、会社が用意した場所にアカウントを作って書いているブログや、WordPress.com（会社のサーバーの上でWordPressを使えるサービス）やWixのように、サーバーごと会社に任せるサービスで作ったサイトなら、アプリを使うだけの人と同じように考えて大丈夫です。

アメブロやnoteのサーバーを動かしているのも、直すのも、それぞれを運営している会社で、書いている人がPHPに触れることはできないから。

ネットショップも同じで、BASEやSTORESのようなサービスで開いたお店なら、サーバーの修理は会社のほうでやってくれますし、実際にBASEは21日の15時50分から、会社の側で緊急メンテナンスに入っていました。

 

反対に、レンタルサーバー（ブログを置くための場所を、毎月の料金で借りられるサービス）と契約して、そこにWordPressを入れて書いている人は、お店を借りて営んでいる店主にあたります。

ハンドメイド作品の販売サイトや、習い事やサロンの予約ページを、知り合いに頼んでWordPressで作ってもらった場合も同じです。

迷ったときは、そのサイトのために、レンタルサーバーの料金（サーバー代）が毎月か毎年払われているかどうかで見分けられます。

払っているのが知り合いや町内会の会計でも、そのサイトを任されているなら、あなたは持ち主の側です。

アメブロやはてなブログで独自のドメイン（「〇〇.com」のようなサイトの住所）の料金だけを払っている人も、サーバーは運営会社の側にあるので、アプリを使うだけの人と同じです。

どちらか分からないときは、カードの明細や請求のメールに「レンタルサーバー」「サーバー」と書かれた料金があるかを見ると分かりやすいでしょう。

たとえば、次のようなサイトを持っている人や、そのサイトを任されている人は、持ち主の側にあたります。

サイトの持ち主にあたる人

  • レンタルサーバーにWordPressを入れたブログ
  • 知り合いや業者に作ってもらったお店・教室のサイト
  • 町内会やPTA、サークルで任されているホームページ

スマホで使うだけの人がしなくていいこと

穴があるのはサーバーの中なので、スマホで使うだけの人なら、次の6つのことはしなくても大丈夫です。

  • すべてのパスワードを、いますぐ一度に変えること
  • アプリの削除と入れ直し
  • スマホやパソコンの設定の中から「PHPの更新」を探すこと
  • Wi-Fiを切ることや、スマホの電源・ブレーカーを落とすこと
  • 止まっているサービスのパスワードを、再開前に変えること
  • 「対策アプリ」「セキュリティ診断」をうたうアプリの追加

止まっているサービスのパスワードは、そのサービスが再開して「対応が終わった」と知らせを出すまで、変えずに待っておきましょう。

まだ直っていないサイトに新しいパスワードを打ちこむと、万一そこへ入りこまれていた場合、新しく決めたパスワードごと盗み見られかねないからです。

その知らせが出たあとなら、ふだんどおりログインして大丈夫ですし、変えたい人もそこからで間に合います。

 

こんなふうにみんながそわそわしているときは、その不安につけこんで「対策」をうたうアプリや、本物そっくりの再設定メールにも気をつけておきましょう。

同じパスワードをあちこちで使い回していて心配な人も、いまあわてて変える必要はありません。

よく使うサービスの復旧のお知らせがひととおり出て落ち着いたら、まずメールのパスワードから変えておくと安心です。

とはいえ、たくさんのパスワードを全部変えるのは、現実にはなかなか大変です。

スマホのパスワード管理の画面を開いて、使い回しの件数が何百と並んでいるのを見て、思わず声が出た人もいるでしょう。

ただ、その画面をそのままSNSに載せるのだけは、やめておきましょう。

「同じパスワードをあちこちで使っています」と自分から名乗ることになり、だましのメールを送る側に、ひとつ当てればほかの扉も開くかもしれない相手だと知らせてしまうからです。

 

全部は変えられない人でも、次のようなことなら少ない手間でできて、もしものときに被害が広がるのを抑えやすくなります。

  • メールとSNSへの2段階認証の設定
  • 落ち着いてから変えるときは、まずメール・ネット銀行・通販など、お金と本人確認に関わるものだけ
  • 知らない端末からのログインを知らせる通知のオン
  • 再設定をうながすメールやSMSのリンクは開かず、公式アプリで確認

なかでも2段階認証（2要素認証とも呼ばれます）は、パスワードのほかに、スマホに届く番号や顔・指紋でも本人かを確かめる仕組みなので、パスワードが誰かに知られても、スマホに届く番号などがなければログインできず、ふだん使っているSNSや通販サイトなら、数分あれば設定できます。

止まったサービスの再開の状況や、メンテナンスに便乗した詐欺メールへの備えは、PHPの脆弱性で緊急メンテが相次いだ理由｜止まったサービスの再開状況まとめを読むと、くわしく分かります。

「メンテ中＝攻撃された」は本当か

21日の夜は、「メンテナンスに入ったサービスは攻撃されたの？」「中身を抜かれたの？」という心配が広がり、「23時でインターネットが終わる」とまで書いていた人もいましたが、修正版が出たあとの夜を、こう振り返っている人もいます。

メンテナンスに入った会社の多くは、止めた理由を備えのためだと説明していて、レンタルサーバーの会社のmixhostは「不正アクセス等のインシデント発生によるものではございません」、エックスサーバーも「不正アクセスの発生に伴うものではございません」と、攻撃を受けて止めたわけではないと書いています。

サービスを止めたコドモンやBASE、アルファポリスも、お知らせの中で「不正アクセスや情報漏えいは確認されていない」という内容を書いていました。

21日の23時30分にはイラスト投稿サイトのpixivが戻り、22日の朝までに、保育園の連絡アプリのコドモンやネットショップのBASE、ウマ娘やグラブルも再開しています。

ただ、各社がお知らせで言っているのは、お知らせを出した時点では入りこまれた形跡が見つかっていない、というところまでなので、「何もなかった」と言い切れるのは、各社が調べ終わってからのことです。

 

もうひとつの「攻撃はもう始まっているのか」という心配については、海外のセキュリティ会社や国の機関のあいだでも、見方が分かれています。

  • Cloudflare（サイトの手前で怪しい通信を止めるサービスの会社）＝21日、利用者を狙った攻撃の通信が実際に届いているのを確認
  • watchTowr（攻撃の動きを調べている会社）＝21日の時点で、攻撃を引き寄せるために置いた自社のおとりのサーバーで実際に悪用されているのを確認し、修正版の公開後には、2つの穴を狙う攻撃の試みも見ていると発表
  • Patchstack（WordPress専門のセキュリティ会社）＝21日夕方にホスティング会社から悪用の報告を複数受けたとしつつ、修正版の直後に自社で見えたのは探りの通信だけで、入りこまれた確かな証拠はまだない
  • IPA（国の情報セキュリティの窓口）とアメリカ政府のCISA＝どちらも、21日に注意を呼びかけた時点では、悪用された攻撃を確認していない

おとりのサーバーで悪用の動きが見つかった、攻撃しようとする通信が届き始めた、という報告はあっても、どのサイトが乗っ取られたのかを具体的に示した発表や、国内で改ざんや情報の流出を公表した会社は、22日の朝9時半の時点でも、まだ見当たりません。

その一方で、誰も見に来ないような小さなブログにまで、穴を探る通信が次々に届いていたと書いている人もいます。

WAFは、サイトの手前で怪しい通信をはじく仕組みで、多くのレンタルサーバーなら管理画面から入れたり切ったりできるもの。

だからスマホで使うだけの人は落ち着いて待っていればよくて、自分でサイトを持っている側だけは「まだ大丈夫」に甘えず、探りの通信が本物の攻撃に変わる前に手を打っておきたいところです。

WordPressはまずPHPのバージョンを見る

自分でサイトを持っている人が、まず確かめたいのは、自分のサイトがどのバージョンのPHPで動いているかです。

WordPressなら、管理画面にログインし、左のメニューの［ツール］から［サイトヘルス］を開いて、［情報］のタブにある「サーバー」をクリックすると、「PHPバージョン」の行が出てきます。

今回の穴をふさいだ修正版は、バージョンごとに次の番号で出ています。

 

  • 8.5で始まる番号＝8.5.12
  • 8.4で始まる番号＝8.4.27
  • 8.3で始まる番号＝8.3.36
  • 8.2で始まる番号＝8.2.35
  • 7.4・8.0・8.1＝ふつうの修正版はなし（開発チームが特別に出した最低限の修正を当てるかは、借りている会社しだい）
  • 7.3以前＝修正なし

見比べ方は、サイトヘルスに出た番号の最初の2つの数字と同じ行を一覧から探し、その番号と同じか、それより大きいかを見るだけ。

たとえば「8.3.36」以上なら、今回の穴はもうふさがっています。

「8.3.30」のように小さい数字のままなら、サーバーの会社が番号を変えずに独自の修正で穴をふさいでいることもあるので、借りている会社のお知らせで、直っているかどうかを確かめてみてください。

22日の明け方には、8.5.12でもまだ穴が残っているかもしれない、という海外の研究者の書きこみがXで広まりましたが、書いた本人もさらに確かめる必要があるとしていて、PHPの開発チームから次の修正版は、22日の朝の時点では出ていません。

番号を上げて終わりにせず、借りている会社のお知らせは、この先もしばらく見ておくと安心です。

 

修正版が出た直後は、まだ番号が変わっていないサイトも多く、ブログを9年続けている人も、こう書いていました。

ただ、気をつけたいのは、最初の2つの数字が「8.1」「8.0」「7.4」か、それより古い数字だった場合です。

8.1以前のバージョンには、ふつうの修正版が出ていないので、サーバーの会社が独自に穴をふさいでいなければ、自分で新しいバージョンへ切り替えるまで、穴が開いたままになってしまいます。

 

8.1以前のバージョンでも、多くのレンタルサーバーなら、借りている人がサーバー会社の管理画面から、自分で新しいバージョンへ切り替えられます。

借りている会社がその画面を止めているなら、使えるようになりしだい、修正版の出ているバージョンへ上げておきましょう。

何年も更新していないテーマ（サイトの見た目を決めるひな形）やプラグイン（あとから足す追加機能）は、新しいバージョンにすると画面が崩れることもあるので、切り替える前にバックアップ（サイトの中身の写し）を取っておくと、いざというときも記事の中身を失わずに済みます。

切り替えたあとは、もう一度サイトヘルスを開いて、番号が変わっているかを確かめておくと安心です。

レンタルサーバーで会社に任せられる半分

「レンタルサーバーなら、PHPの入れ替えは会社がやってくれるのでは」と思った人もいるでしょう。

その考えは、PHPそのものを入れ替えるところまでなら、半分は当たっています。

何人かで1台のサーバーを分け合う「共用」のレンタルサーバーでは、PHPそのものを入れ替えるのは、サーバーを貸している会社の仕事。

たとえばエックスサーバーは、21日の16時から、借りている人が使う管理画面などを止めたうえで、修正版が出たあとは、提供しているそれぞれのバージョンのPHPに、公式の修正版を入れたり会社独自の修正を加えたりして、順に直していく予定だと知らせていました。

そのエックスサーバーは22日の6時44分、8.2から8.5までのPHPについて、対象のすべてのサーバーへ修正を当て終えたと知らせています。

8.1以前のバージョンには、確かめ終わったものから順に会社独自の修正を当てているところで、借りている人が使う管理画面は、22日の朝もまだ止まったままです。

ロリポップやヘテムルのように、修正を当て終えるまで、一部のサーバーに置かれたサイトそのものを一時的に止める会社も出てきました。

WordPressの公式も、修正版が出たあとのお知らせで、サーバー会社がPHPの更新を進めているかもしれないと書いていて、今回の件でWordPress本体を更新する必要はないと伝えています。

 

残りの半分が当たっていないのは、どのバージョンのPHPでサイトを動かすかを、借りている人が自分で選ぶ仕組みになっているからです。

たとえば、さくらのレンタルサーバは、2019年にはPHP 7.2を7.3へ会社の側で自動的に上げていましたが、2023年9月に、上げるのは利用者自身で、という方針へ切り替えました。

理由に挙げていたのは「自身のタイミングでバージョンアップをしたいというお声を多くいただきました」という利用者の声で、サポートの終わったバージョンも引き続き使えるようにしています。

勝手に上げられて画面が崩れるのは困る、という借り手の事情に会社が合わせた結果、古いバージョンを選んだままのサイトが残りやすくなってしまっている、ともいえます。

ただ、さくらはPHPの提供方針のページで、重大なセキュリティの問題が見つかったときは古いバージョンの提供を即日終え、いちばん近い新しいバージョンへ切り替えることがあるとも書いていて、今回のような穴が見つかれば、さくらがその切り替えに踏み切ることもありえます。

とはいえ、いつ切り替わるかは決まっていないので、管理画面が使えるようになりしだい、自分で切り替えておくほうが確実でしょう。

 

古いバージョンを選んだままのサイトを、会社がどこまで守ってくれるかは会社によって違い、エックスサーバーのように独自の修正まで入れると知らせている会社もあれば、緊急メンテナンスのお知らせにPHPの名前すら出していない会社もあります。

PHPの開発チームが今回、もう面倒を見ないはずの7.4・8.0・8.1向けにも、最低限の修正を特別に出したので、レンタルサーバーの会社も古いバージョンに手を打ちやすくなった、という面もあると考えられます。

サポートの終わったバージョンにまで修正を配るのは異例で、そこまでするほど、今回の穴は重いものだったんです。

ただ、その修正をいつ、どのバージョンに当てるかは会社しだいなので、自分が借りている会社の案内を読んで「どのバージョンを、いつ直すのか」だけは、人任せにせず自分の目で確かめておきたいんですね。

お知らせに自分の使っているバージョンが出てこないときは、問い合わせ窓口で聞いてしまうのがいちばんの近道です。

 

SNSで広まった、設定のファイルに数行を書き足すような手軽な対策も、実際にそれを試してみた人が、試した範囲では効かなかったと書いています。

PHPの開発チームも、設定を変えてもふさげるのは一部の攻撃のやり方だけで、それでサイトが安全になるわけではないとしていて、よく分からないまま設定のファイルを書き換えると、かえってサイトが表示されなくなることもあります。

借りているサーバー会社が管理画面を止めているなら、切り替えも画面が戻ってからになるので、それまでにサイトヘルスでバージョンを確かめて、バックアップも取っておけば、慌てずに済みます。

 

サーバー会社からの案内を待つあいだ、自分のブログを朝まで止めておくことにした運営者もいます。

国家サイバー統括室も、修正版をすぐに当てられない場合は、サイトを一時的に止めることも、危険を減らすための有効な手のひとつだとしていました。

ただ、WordPressのメンテナンスモードは見た目を止めるだけで、サーバーの中のPHPは動いたままなので、ここでいう「止める」にはあたりません。

何年も放置したブログの片づけ方

いちばん気がかりなのは、持っていることを自分でも忘れかけている、何年も放置したままのサイトかもしれません。

子どもが小さかったころに書いていた育児ブログや、昔の趣味のブログ、閉めたお店のホームページなど、ログインの仕方も思い出せないまま、サーバー代だけが毎月引き落とされている、という人もいると思います。

こういうサイトは、作った当時の古いバージョンを選んだまま動き続けていることがあり、サーバーの会社が独自に穴をふさいでいなければ、修正版が出ても穴は開いたままです。

WordPressが公開している集計でも、21日夜の時点で、8.1以前のバージョンで動いているWordPressは全体の約36%を占めています。

 

古いPHPで動くWordPressがそこまで残っているのには、WordPressを作っている側が、古いPHPのサイトも置き去りにしないつくりにしてきたことも関わっています。

WordPressは、あるバージョンのPHPで動くサイトが全体の5%を下回るまで、そのバージョンへの対応を外さないことを目安にしてきました。

対応を外したあとも、古いPHPのサイトには、ひとつ前の世代のWordPressで、安全のための更新を届け続けています。

WordPressの管理画面に本体の「更新があります」のお知らせが届き続けるので、それに応えていれば手入れをしているつもりになれます。

ところが、サイトを動かしているPHPだけは古いまま取り残されている、そんなことも起こりえるんですね。

しかも、ネットには穴の開いたサイトを自動で探して回るプログラムが昼も夜も動いていて、誰も見に来ない小さなブログでも、古いバージョンで動いているというだけで見つけられてしまいます。

 

いまのサイトがどうなっているかで、片づけ方は次の4つから選べます。

  • 管理画面に入れる＝バックアップのあと、PHPを修正版の出ているバージョンへ
  • もう書かない＝急ぐなら、まずサーバー会社の案内に沿ってサイトの公開を止め、落ち着いてからバックアップを手元へ移し、サイトを削除してサーバーの契約も見直し
  • ログインできない＝サーバー会社の問い合わせ窓口へ相談
  • 知り合いや業者に作ってもらった＝作った人へ、PHPのバージョンの切り替えまで保守でお願いできるかを確認

WordPressをメンテナンスモードにしたり、記事を非公開にしたりしても、サーバーの中のPHPは動いたままなので、もう書かないと決めたサイトは、子どもの成長の記録のような消したくない記事を手元のパソコンへ移してから、サイトを消してサーバーの契約まで片づけるのがいちばん確かです。

スマホだけの人はあわてなくて大丈夫で、サイトの持ち主がまず見ておきたいのは、サイトヘルスの番号と、昔ブログのために借りたまま毎月サーバー代を払い続けている場所のことなんですよね。