PHPの脆弱性、うちのサイトは関係ある？　見分け方と、サーバー会社に聞く一言

2026年10月21日の夜、総理大臣がXで、その夜23時に出る修正をすぐに当てられるよう準備してほしい、と呼びかけました。対象は、PHP（ピーエイチピー）というプログラムの言語です。前後して、緊急メンテナンスでサイトを止める会社が相次ぎました。

「PHPって何？」「うちは関係あるの？」と思った人向けに、見分け方と、やることを書きます。

1. 先に答え

2. 10月21日の夜に何が起きたか

• 10月21日PHPの開発元が、深刻な脆弱性（プログラムの穴）2件を、その夜に直すと予告。IPA（情報処理推進機構）も事前の準備を呼びかけ
• 21時55分高市総理がXに投稿。公開しているサイトでPHPを使っているかを確かめ、修正をすぐ当てられるよう準備を。すぐ当てられないなら、サイトを一時的に止めるのも手だ、という内容
• 21日の夜修正版が公開（8.2.35／8.3.36／8.4.27／8.5.12）。通称は「php2shell」
• その後緊急メンテナンスや予防のための公開停止が相次ぐ。JPCERT/CC（日本で脆弱性の情報をまとめている組織）と国家サイバー統括室も注意喚起

穴の深さは、10点満点で9.2です。ログインしなくても、外からサイトのサーバーで好きなプログラムを動かされるおそれがあります。動かされると、サイトの書き換え、問い合わせフォームに入った個人情報の抜き取り、そのサーバーを使った別の攻撃ができてしまいます。

3. スマホや銀行アプリの更新は要る？

要りません。この件で、サイトを見る側の人ができることは基本的にありません。iPhoneやAndroid、パソコンの更新とは別の話です。

よく使う通販や銀行のサイトが心配なら、そのサイトからのお知らせを見るだけで十分です。直すのはサイトを持っている会社で、利用者が設定を変える必要はありません。

ここから下は、自社のサイトを持っている会社の人向けです。

4. うちのサイトはPHPで動いている？

サイトの作り方で、だいたい分かります。

修正版の番号

PHPには版がいくつも並んで出ています。自社のPHPが、下の番号「以上」になっていれば修正済みです。

ただし、サーバー会社が自分たちで修正を当てて、番号は変わらないまま直している場合もあります。番号だけでは判断しきれないので、次の一言で聞きます。

5. サーバー会社・制作会社に聞く一言

コピーして、そのまま送れます。会社名とサイトのURLだけ書き換えてください。

サーバー会社・制作会社へ

いつもお世話になっております。〇〇株式会社の〇〇です。

10月21日に公表されたPHPの脆弱性（通称 php2shell）について確認させてください。
対象サイト：https://〇〇〇〇.co.jp

1. このサイトはPHPで動いていますか。
2. 動いている場合、PHPは修正済みの版（8.2.35／8.3.36／8.4.27／8.5.12 以上、またはそれと同等の修正）になっていますか。
3. まだの場合、いつ対応いただけますか。費用がかかる場合は、その金額も教えてください。

お手数ですが、ご回答をお願いいたします。

レンタルサーバーなら、多くは会社側がまとめて更新します。返事が「対応済み」なら、それで終わりです。返事が来ない、または「お客様側で更新を」と言われたら、制作会社に頼むか、サイトを一時的に止めるかを決めます。

6. よくある勘違い

7. 外から見えている「目印」

サイトによっては、ページを開いたときにサーバーが返す情報の中に「PHP/8.1.2」のような版の番号がそのまま出ています。攻撃する側は、これを見て古いサイトから順に狙います。家で言えば、玄関に「この鍵は古い型です」と貼ってあるのと同じです。

今回のPHPは、外から見える「開けっぱなし」のひとつにすぎません。ふだん気づかれないまま開いていることが多いのは、次の7つです。

この7つは、どれも外から誰でも見られるものです。つまり、攻撃する側からも見えています。

株式会社Yamanaka JAPANでは、この7つを無料で点検しています。お預かりするのは、サイトのURLだけです。

ただ、PHPに修正が当たっているかどうかは、外からは分かりません。こちらは5章の文面で、サーバー会社に確認してください。