PHPの重要な更新と、情報漏洩に備えて確認したいこと

ひとことで言うと

10月21日、多くのホームページの土台になっている「PHP」という部品に大きな欠陥が見つかり、直した版が出ました。確認したいことは二つです。自分のサイトがPHPを使っているか。使っているなら、更新が済んでいるかです。管理を任せている方は、まず管理担当者に聞いてみてください。

同じころ続いている情報漏洩のニュースは、このPHPの欠陥とは別の話です。パスワードの使い回しをやめることと、予約や問い合わせに使っている外部サービスを把握しておくことが基本になります。

10月21日の夜に何があったか

21日の夜11時に修正版が出て、私はまず、管理しているサイトのPHPの版をひとつずつ確認しました。そのまま更新するつもりでいたのですが、ここで思わぬ足止めがありました。サーバー会社の管理画面が、いっせいにメンテナンスに入ったのです。管理者も契約者も、手作業での更新ができなくなりました。

そこで、サイトをいったん「メンテナンス中」の表示に切り替え、欠陥のあるPHPが動かない状態にして、22日の午前中にサーバー会社のメンテナンスが終わるのを待ちました。行政が関わるサイトは、先方に確認をとったうえで、22日に早急に停止しました。売上やお客様への影響が大きく、すぐには止められないサイトもありました。そうしたサイトには、更新できるまでの一時的な防護を入れました。

エックスサーバー（サイトを置いておくレンタルサーバーの会社）の対応は早いものでした。古いPHPにはPHP公式から修正版が出ていないのですが、エックスサーバーは独自の安全更新を用意し、サーバー側で自動で当ててくれました。助かりました。

ここからは、何が起きていたのかを少し説明します。WordPressで作られたサイトの多くは、裏側でPHPという仕組みを使っています。PHPは世界中の多くのサイトで使われていますが、ふだん目にすることはありません。サイトを動かしている土台です。

10月20日、PHPを作っている人たちが「明日、急いで直した版を出します」と予告しました。翌21日の夜遅く、新しい版が出ました。欠陥の深刻さは4段階のいちばん上。悪用されると、第三者にサイトやサーバーを操作されるおそれがある、深刻な問題です。ただし、欠陥があることと、実際に被害を受けたことは同じではありません。

今回がめずらしかったのは、修正版が出る前に、攻撃につながる詳しい情報が知られてしまったことです。首相がSNSで、対応が難しければサイトの一時停止も有効だと呼びかけ、銀行や通販、ゲーム、役所などで、サービスをいったん止めて対応するところが相次ぎました。

たとえるなら、1軒の家の鍵のかけ忘れではありません。街じゅうで使われている同じ型の鍵に欠陥が見つかった、という状態です。同じ型の鍵を使っている家では、早めの確認と交換が必要になった、というイメージです。

欠陥の残ったサイトを探す動きも、すでに確認されています。基本の対策は、修正版へ更新することです。自分で変更するのが不安な場合は、管理担当者に任せてください。

情報漏洩のニュースについて

ここからは、今回のPHPの欠陥とは別に起きている情報漏洩についてです。9月の終わりから10月にかけて、お客様の情報が漏れたというお知らせが、日本中で続きました。

自分のサイトに問題がなくても、外部サービスの被害に巻き込まれることがあります。今回目立ったのは、予約や問い合わせ管理、メール配信など、外部の会社が提供している仕組みが攻撃され、そこに預けていたお客様の情報が漏れたケースでした。宿泊予約のシステムや、ホームページを簡単に作れるサービスでも被害が出ています。

原因はさまざまで、一つの対策だけでは防げません。攻撃する側は、古い仕組みが残ったサイトを自動的に探します。小さなサイトでも、更新しておくことが大切です。

私はいま、古いサーバーを契約されているお客様に、エックスサーバーへの引っ越しを提案して、順に進めています。広告料や紹介料をもらって勧めているわけではありません。今回を含め、緊急時の対応を実際に見たうえで、管理する立場から信頼できると判断したからです。

あなたのサイトは関係あるか

目安をひとつ。PHP 8.1以前は、すでに公式の安全更新が終わっています。今回も直した版は出ていません。8.2も今年の12月末で更新が終わるので、いま8.2で動いているサイトは、年内にもう一段新しくする必要があります。数字が分からない場合は、自分で判断せず、サイトの管理担当者に確認してください。

ここが落とし穴なのですが、サーバー会社が対応を終えていても、自分のサイトが古いPHPを選んだままなら、更新は完了していません。

いますぐ確認したいこと

PHPの版を確認する。 サーバーの管理画面に「PHPバージョン」という項目があります。表示された数字が、次の表の「直っている版」になっていれば大丈夫です。

見方が分からなければ、管理をお任せいただいている方は、「PHPバージョン」の数字が見える部分だけ画面写真を送ってください。こちらで見ます。パスワードなどが写らないようにだけ、お願いします。

管理画面のパスワードを見直す。 同じパスワードを使い回していると、どこか一つのサービスから漏れた際に、ほかの管理画面にも入られるおそれがあります。WordPressの管理画面と、サーバーの管理画面は、別のパスワードに。「二段階認証」が設定できるならオンにしておくと安心です。

利用している外部サービスを書き出しておく。 予約、問い合わせフォーム、メール配信、オンライン決済。お客様の情報が通る外部サービスを一覧にしておくと、ニュースがあったとき「うちに関係あるか」をすぐ判断できます。

更新が済んでいるなら、ニュースを見てあわててサイトを止める必要はありません。

これから

作ったときは最新でも、サイトの仕組みは年月とともに更新が必要になります。急ぎの更新が必要になったとき、誰が確認して対応するのか。私はそこがいちばん大事だと思っています。

今回いちばん意外だったのは、修正版が出た直後に、肝心のサーバーの管理画面が使えなくなったことでした。直す手段があるのに手が出せない数時間は、落ち着かないものです。だからこそ、止める判断と、止められないときの備えを、前もって決めておく。今回の経験から学んだことです。

---

保守契約をいただいている先では、10月22日までに更新、または更新までの一時対応を終え、状況を個別にご案内しています。古いサーバーの方には引っ越しのご提案を進めています。契約のない方も、PHPの版の確認だけならお気軽にどうぞ。

お知らせ

このたび、飯山市の広告代理店、フジマキフォトクリエイティブ（FPC）のWebパートナーとして、同社のWeb制作と保守を担当させていただくことになりました。

前任のWeb担当の方が、やむを得ない事情で業務を続けられなくなったことがきっかけです。私は20代のころ、FPCの社長に写真の基礎やWeb制作の仕事で、たいへんお世話になりました。そのご縁で、今回お手伝いさせていただくことにしました。

これまでどおり、個人事務所 Creative Maco としての活動は変わりません。そのうえで、FPCのWeb担当として、制作と技術の面から同社とそのお客様を支えていきます。FPCのサイトをお任せいただいている皆さまにも、安心して引き続きご相談いただければと思います。

参考資料

• PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（JPCERT/CC）

Photos by Sixteen Miles Out and Amir CH on Unsplash