「PHPに深刻な弱点が見つかった」。10月21日の夜から、このニュースが何度も流れました。
……で、PHPって何？
説明を探すと、画面にたとえたり、鍵にたとえたり、話す人によってたとえがばらばらです。聞けば聞くほど分からなくなります。
この記事では、たとえをひとつに決めて、最後まで押し通します。自動販売機です。
サイトを持っている会社・お店の方で、「うちのサイトは大丈夫なのか不安」「誰に相談すればいいか分からない」という方のために、無料点検のご案内があります。サイトのURLだけで、外から見える範囲を点検します。
無料点検のご案内を見る →1. PHPとは？簡単に言うと、自販機の「中の機械」
自販機の前に立つと、見えるのは正面だけです。見本の缶と、ボタンと、値段。
でも、ボタンを押してから缶が「ガコン」と落ちてくるまでのあいだ、中では機械が働いています。「どのボタン？」「お金は足りてる？」「在庫ある？」を確かめて、缶を1本選んで落とす。
ホームページも、まったく同じ作りです。
PHPは、この中の機械を動かしているプログラミング言語（プログラムを書くための言葉）です。見る人のスマホやパソコンの中ではなく、サイトの置き場所（サーバー）の中で動いています。
そして、この中の機械が、とにかくたくさん使われています。
2. WordPressとPHPの関係：WordPressは「いちばん売れてる型の自販機」
会社のホームページでいちばん多い作り方が、WordPress（ワードプレス）です。
自販機で言うと、WordPressは町でいちばんよく見かける型の自販機です。買ってきて置けばすぐ使えて、見本の缶やボタンの並びは、お店が自分で入れ替えられる。便利なので、あちこちに置かれています。
その自販機の中に入っている機械が、PHPです。上から順に重ねると、こうなります。
ここがよく勘違いされるところです。WordPressの「更新」ボタンを押すのは、見本の缶やボタンの並びを新しくするようなもの。中の機械（PHP）は替わりません。今回直す必要があるのは、中の機械のほうです。
3. 登場人物を並べると
このあとの話は、全部この表のとおりに読めます。
| 自動販売機 | ホームページ | |
|---|---|---|
| 見本の缶・ボタン | → | ページの文章や写真 |
| 自販機の型 | → | WordPressなどの作り方 |
| 中の機械 | → | PHP |
| 機械のメーカー | → | PHPの開発元 |
| 自販機を置いているお店 | → | サイトを持っている会社 |
| 中を開けて修理できる業者 | → | サーバー会社・制作会社 |
| ジュースを買う人 | → | サイトを見る人 |
4. 10月21日、メーカーが言ったこと
10月21日の夜は、自販機の世界で言えば「町じゅうの自販機に、今夜いっせいに部品交換が必要」という、めったにない夜でした。時間の順に並べます。
- 10月21日PHPの開発元が「深刻な弱点が2つある。今夜、直した版を出す」と予告。IPA（国の情報セキュリティの機関）も、すぐ直せるよう準備を呼びかけ。メーカーが「今夜、全国の自販機向けに部品を配ります。業者さん、待機しといてください」と前もって連絡。
- 21時55分高市総理がXに投稿。「サイトでPHPを使っているか確かめて、修正をすぐ当てられるよう準備を。すぐ当てられないなら、サイトを一時的に止めるのも手」という内容。総理大臣が「今夜部品が届くので、すぐ付け替えて。間に合わないなら、自販機の電源をいったん抜いて」と呼びかけた。それくらいの大ごと。
- 21日の夜直した版が公開される。通称「php2shell」。部品が届いた。あとは業者が付け替えるだけ。
- その後企業のサイトで、緊急メンテナンスや、念のための公開停止が相次ぐ。あちこちの自販機に「調整中」の紙が貼られた。
弱点の深さは、10点満点でこうでした。
メーカーの発表を、自販機の言葉にするとこうなります。
扉が開いてしまえば、中は触り放題です。
部品を替えないまま放っておくと扉の開いた自販機は、こうなる
しかも、正面からは何も変わって見えません。
ニセの投入口は本物そっくり。ボタンを押せば、ちゃんと冷えた缶も出てきます。
そして「この順番で押すと開く」という噂が広まると、その順番を試して回るロボットが、町じゅうの自販機を1台ずつ回り始めます。お店の名前も大きさも見ていません。このロボットの話はサイバー攻撃の手口、ほとんどは「戦い」ですらないに書きました。
5. 買う人は、何もしなくていい。でも、関係なくはない
扉が開いてしまうのは、機械の問題です。買う人が財布を新しくしても、小銭をピカピカに磨いても、直りません。
サイトも同じです。見る人がスマホやパソコンを更新しても、この弱点には関係ありません。
ただ、「じゃあ自分には関係ないか」と思うのは早いです。直せるのはお店と業者だけ。でも、被害は買う人のところに来ます。
- ニセの投入口に、お金を入れてしまういつも使っているお店のサイトで、いつもどおり申込や支払いをしただけなのに、入れた名前・住所・カード番号が悪い人に渡る。
- 昔書いた情報まで、まとめて持っていかれる何年も前に問い合わせフォームに書いた名前や電話番号も、サーバーに残っていれば一緒に抜かれる。
- 知らない番号から、電話やメールが来るようになる抜かれた情報は売り買いされて、別の詐欺に使われる。
そして、サイトを持っている会社にとっては、これは「お客さんに迷惑をかけた」という話になります。謝るのも、信用を取り戻すのも、お店です。
直せるのは、自販機の中を開けられる業者、つまりサイトを置いているサーバー会社や、サイトを作った制作会社です。サイトを持っている会社がやることは、その業者に「うちの機械、部品替えてくれました？」と聞くことだけです。そのまま送れる聞き方の文面は、PHPの脆弱性、うちのサイトは関係ある？に置いています。
6. いちばん危ないのは、部品がもう出ない古い型（サポートが終わったバージョン）
メーカーは、古い型の部品をいつまでも作ってはくれません。PHPも、バージョンごとにサポート期限が決まっていて、期限を過ぎた版には、直した部品（修正版）が配られなくなります。これを「サポート終了」と言います。今回の部品が届いたのも、8.2以降の版だけでした。
その「部品がもう出ない型」が、どれくらい残っているか。
しかも、今回は部品が届いた8.2も、2026年12月31日で修正の配布が終わります。あと2か月ほどで、8.2も「部品がもう出ない型」の仲間入りです。
これは、お店がサボったとは限りません。10年前に置いてもらってから、だれも点検に来ていない自販機。業者との契約が、いつの間にか切れていた自販機。正面のポスターだけは新しい自販機。そういうのが、町じゅうに立っています。
古い型は、部品の交換では済みません。中の機械を新しい型に入れ替えるか、自販機ごと置き直すことになります。
7. 「画面」でも「鍵」でもない
ほかのたとえが少しずれてしまうのは、PHPが見えないところにあるからです。よく見かける3つを、自販機で言い直しておきます。
自分のサイトの中の機械が古い型かどうかは、外から分かることもあります。サイトによっては、ページを開いたときにサーバーが返す情報に、PHPの版の番号がそのまま書かれています。自販機の横に「この機械は○年製です」と貼ってあるのと同じで、試して回るロボットからも、その番号が見えています。
自分のサイトのPHPのバージョンを確かめる方法と、サーバー会社への聞き方は、PHPの脆弱性、うちのサイトは関係ある？にまとめています。
株式会社Yamanaka JAPANは、東京・西麻布でSaaSやAIの開発、サイトの作り直しを手がけている会社です。こうした外から見える手がかりを、無料で点検しています。お預かりするのは、サイトのURLだけです。
無料点検を申し込む →サイトのURLを送っていただければ、ボットが最初に確かめるような場所を、外から見える範囲で点検します。ログイン情報はいただきません。
結果は項目ごとに、いまどうなっているか、放っておくと何が起きるか、どう直せばいいかまでまとめてお送りします。専門の言葉が分からなくても、制作会社様にそのままお渡しいただける形にしています。ここまでは無料です。
制作会社との契約が切れていて、誰に頼めばいいか分からない。そんなときは、当社で修正をお引き受けすることもできます。修正は有料になりますので、内容を拝見してからお見積りをお出しします。
無料点検を申し込む →この記事で使った数字の出典
- W3Techs「Usage statistics of PHP for websites」（PHPで動いているサイトの割合、版ごとの割合。2026年10月24日時点）
https://w3techs.com/technologies/details/pl-php - PHP公式「Supported Versions」（修正が配られている版と、配布が終わる日）
https://www.php.net/supported-versions.php