2026年10月21日の夜、高市総理がXにこう投稿しました。
「皆様に、今夜に対応して頂きたい大至急のお願いです」
内容は、多くのウェブサイトで使われているPHPというプログラム言語に重大な脆弱性が見つかったので、今夜23時に公開される修正を速やかに適用してほしい、難しければサイトを一時的に止めることも有効だ、というものでした（※1）。同じ日の夕方には、警視庁サイバーセキュリティ対策本部も同じ趣旨の投稿をしています（※2）。
皆様に、今夜に対応して頂きたい大至急のお願いです。 多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。 公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。 修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。 国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
— 高市早苗 (@takaichi_sanae) October 21, 2026
【サイバーセキュリティ対策本部】 ⚠️PHPに重大な脆弱性！！⚠️ 本日（10月21日）午後11時（日本時間）に2件の脆弱性に関する修正パッチが公開予定。 PHPを利用している場合は速やかに適用できるように 事前準備をお願いします。 #PHP #脆弱性
— 警視庁サイバー (@MPD_cybersec) October 21, 2026
首相が一つのプログラム言語の修正について国民に呼びかける。私はホームページ制作一筋で15年近くこの業界にいますが、こんな光景は初めて見ました。
この記事では、あの夜に何が起きていたのかを、ホームページ制作者の目線でかみ砕いて書きます。技術の細かい解説はセキュリティの専門家に任せます。私が書きたいのは、この騒動が、ホームページを持つすべての会社にとって何を意味するのかです。
自分のサイトで今すぐ何を確認すべきか、という実務的な話は別記事にまとめています。先にそちらを読みたい方はこちらへ。
関連記事
この記事を書いたスタッフ
SUICH WEBデザイナー
KURIBAYASHI
2021年10月に2人目のWEBデザイナーとして入社。
前職は同様にHP制作会社で、デザイナーながらWEBならではの戦略やSEO対策などに意欲的で、のべ500件ほど、幅広いクライアント様を担当致しました。特に集客特化であるランディングページを得意としています。PHPは、WordPressをはじめ世界のウェブサイトの土台になっているプログラム言語です。サーバー側の言語が分かるサイトのうち、約7割がPHPで動いていると言われます（※3）。銀行、官公庁、ECサイト、企業のホームページ。あの夜、予防のために公開を止めたサイトは、ほぼすべてPHPが絡んでいたと言っても過言ではないでしょう。それくらい、PHPは社会のあちこちに入り込んでいます。
そのPHP本体に、2つの重大な脆弱性が見つかりました。CVE-2026-109618とCVE-2026-109619、通称php2shellです。深刻度の評価はどちらもCVSS v4.0で9.2。10点満点で9.2です（※4）。
何が深刻だったのか。ポイントは3つあります。
1つ目、ログイン不要で外部から攻撃できること。
細工したデータをサーバーに送るだけで、攻撃者が自分のプログラムをそのサーバー上で動かせるおそれがありました。サイトの改ざんも、データの持ち出しも、他のサイトを攻撃する踏み台にすることも、理屈の上では可能です。
2つ目、WordPressやプラグインを更新しても直らないこと。
問題はPHP本体のメモリ管理の部分にありました。その上で動くWordPressがどれだけきれいに作られていても、土台が古ければ影響を受けます。利用者がWordPressの管理画面から自分で直せる種類の問題ではありません。
3つ目、公式の修正版が出たのは最新4系統だけだったこと。
PHP 8.2〜8.5には修正版が出ましたが、8.1以前はすでに公式サポートが終わっています。日本のレンタルサーバーには7.4や5.6で動いているサイトがまだ大量にあります。各社はそれらに対して、公式の修正内容をもとに独自に修正を作って当てる、という対応を一晩で行いました。
POINT
影響範囲がほぼすべてのPHPサイトに及び、利用者側では防ぎようがなく、しかも古いバージョンには公式の修正がない。この3つが重なったことで、首相やサイバー機関が動く事態になりました。
PHP2Shell exposes critical vulnerabilities in the PHP runtime, impacting approximately 70% of internet-facing applications and websites
※3 出典：Endor Labs「PHP2Shell: Critical vulnerabilities in PHP」（2026年10月21日）
The PHP development team announces the immediate availability of PHP 8.5.12, 8.4.27, 8.3.36, and 8.2.35. These are security releases.
今年の7月にも、WordPress本体に重大な脆弱性が見つかり、弊社でもお知らせを出しました。通称wp2shell。あのときも、ログインなしでサイトを乗っ取られるおそれがある深刻なものでした。
関連記事
名前も似ているので、同じようなものだと思っている方が多いと思います。でも、性質がまったく違います。7月の件はWordPressそのものの不具合で、WordPressを更新すれば直りました。今回はWordPressが使っている言語そのものに穴があったので、WordPressをいくら更新しても直りません。
分かりやすく例えます。
PHPという言語を、日本語だと思ってください。WordPressは、その日本語を使って話す人です。
7月の件は、話す人の側の問題でした。計算の答えを間違えた、漢字の読みを間違えた。本人が直せば済む話です。だからWordPressを更新すれば解決しました。
今回は、日本語そのものから「あ」という文字が抜け落ちていた、というような話です。
例えば、こんな文章があるとします。
「夕暮れの空が赤く染まる頃、ふと見上げた先にあった一番星の輝きが、あしたへのあたたかな希望をくれた。」
「あ」が抜けると、こうなります。
「夕暮れの空がかく染まる頃、ふと見げた先にった一番星の輝きが、したへのたたかな希望をくれた。」
どんなに話し上手な人でも、どんなに注意深い人でも、この日本語を使っている限り同じように崩れます。話す人を取り替えても解決しません。言語そのものを直すしかない。そして言語を直せるのは、話す人ではなく、言語を管理している側です。
POINT
WordPressの脆弱性なら、サイトの管理者が更新すれば守れます。PHPの脆弱性は、サーバーを管理している側がPHPを直さない限り守れません。レンタルサーバー各社が一斉に動いたのは、彼らにしか直せなかったからです。
実はこの脆弱性の修正は、もともと10月22日に予定されていました。研究者とPHPの開発チームが8月から準備を進め、サーバー会社やOSの提供元には事前に修正を配っていた、いわゆる協調的な公開です。
ところが10月20日、リークがあったのです。脆弱性の管理番号が公開前にネット上に出回り、深刻度10.0という誤った数字つきで拡散しました。PHP側は公開を1日前倒しし、日本時間21日23時に修正版を出すことになりました（※5）。
ここで、なぜ修正版が出ること自体が危険なのか、と思った方もいるかもしれません。
修正版が公開されるということは、直した部分がどこかを誰でも見られるということです。直した部分は、裏を返せば弱点があった場所です。攻撃者はその差分を見て、まだ修正を当てていないサイトを狙います。だから修正版が出た瞬間から、守る側と攻める側の時間との勝負が始まります。予定より1日早く、しかも深夜。サーバー会社はその条件で勝負を強いられました。
エックスサーバーは21日16時に管理画面を予防的に停止し、22日の未明から朝にかけて順次修正を適用（※6）。ロリポップは一部サーバーで利用者のサイト表示そのものを22日未明から13時頃まで止めました。公式の説明によれば、古いバージョンへの修正を作って検証している間、設定による対策だけでは防ぎきれない可能性があり、実際に脆弱性を狙ったとみられるアクセスも確認されていたためです（※7）。
サイトが止まった会社の中には、サーバー会社に腹を立てた方もいると思います。でも私は、あの判断は正しかったと思っています。改ざんされてから復旧する手間と信用の損失を考えれば、半日止まる方がはるかに軽い。
On Tuesday, October 20th, at around 15:00 UTC, the two CVE IDs began circulating on online forums and social media. They came with a wrong release time and a wrong CVSS score of 10.0 (the actual score is 9.2).
10月21日（水）16:00 予防的な安全対策として、各種サービスサイト・管理画面等へのアクセスを停止
※6 出典：エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日）
緩和策（設定による対策）だけでは攻撃を完全には防げない可能性が否定できず、実際に脆弱性を狙ったとみられるアクセスも確認されておりました。
ここからが、私がこの騒動で一番考えさせられた部分です。
PHP財団という団体があります。PHPは特定の企業の製品ではなく、世界中の開発者が無償で作っているものです。その開発を資金面で支えるために2021年に作られた非営利団体がPHP財団で、PHP本体の開発者を雇って安全対策や改良を進めています。
そのPHP財団が10月21日に公開したブログによると、今回の脆弱性の根本原因となるメモリの問題は、2024年に行われた初の外部セキュリティ監査の過程で、すでに兆候が見つかっていました（※8）。ただ当時は、理論上は危ないが具体的な攻撃方法が見つからず、影響がはっきりしている他の問題が優先された。修正案も複数あったものの、古いサイトが動かなくなる、別の問題を生む、といった理由で合意できず、作業は止まっては再開することを繰り返したそうです。財団はこれを構造的な失敗だったと認めています。
状況が変わったのは2026年8月。セキュリティ調査会社のCalifが、AIを使った監査でこの問題から実際に攻撃が成立することを示しました。ChatGPTを運営するOpenAI、クラウドの安全対策を専門とするWizという会社も、それぞれ独立して同じ結論に至っています。人間だけでは2年間見つけられなかった攻撃方法を、AIが数週間で見つけたことになります。
AIは守る側だけでなく、攻める側にも使われます。この点については先日、別の記事で詳しく書きました。情報漏えいの増加とAIの関係を調べた結果、攻撃は確かに高度になっているが、入り口の多くは更新されていないシステムや甘いパスワードといった昔ながらの隙だった、という話です。
関連記事
今回の件は、その続きのような出来事でした。今まで何も起きなかったから、これからも大丈夫、という前提が崩れ始めています。
In 2024, a potential exploit for the OOM problem was theorized, but no concrete vectors were found and other concrete issues with clear impact overshadowed these concerns.
大手だけが狙われる、という思い込みは捨ててください。これから書くのは今回の騒動とは関係のない、数年前に実際にあった話です。関係がないからこそ、読んでほしいと思っています。
ある日、警察から電話がかかってきました。あなたの会社のホームページがマルウェアに感染している、すぐに止めた方がいい、という内容でした。最初は詐欺電話だと思ったそうです。しかしサイトを開くと、身に覚えのない記事が大量に作られ、別のサイトへ誘導するリンクが埋め込まれていました。
ご家族で会社を回していて、ホームページまで手が回らない。悪意も怠慢もなく、ただ忙しかっただけです。問題は、バックアップが一切なかったこと。結局、私たちが納品時に保存していたデータから復元しました。もしそれがなければ、サイトは一から作り直しでした。
こちらも、知らないうちに身に覚えのない記事が生成されていました。幸い早い段階で気づいたため、最悪の事態は免れています。ただ、気づいたのは偶然でした。誰かが定期的にサイトを見ていたからではありません。
やたらとスパムコメントが来るようになったが、面倒なので放置していました。その結果、いつの間にかサイトを開くと知らない外部サイトに飛ばされる状態になっていました。スパムコメントは、攻撃者がそのサイトに穴があるかどうかを試している兆候でもあります。
POINT
3社とも、ごく普通の中小企業や団体です。狙われたのは有名だからではなく、守りが薄かったからです。攻撃者は会社の規模を見ていません。入れるかどうかを見ています。そしてこれは数年前の話です。AIが攻撃に使われるようになった今、穴のあるサイトを見つける速度は、当時より確実に上がっています。
今回の騒動のあと、SNSではWordPressはもう終わりだ、静的なHTMLで十分だ、別のサービスに移るべきだ、という声が目立ちました。お客様からも同じ質問をいくつかいただいています。
私の考えを書きます。
まず、WordPressはきちんと保守管理しないと危ない。これはAIが出てくるずっと前から言われていたことで、今に始まった話ではありません。ただし今回のPHPの件は、更新を怠っていたサイトだけの問題ではなく、直前まで最新版を使っていたサイトも対象でした。被害のリスクがあった、イコール管理を怠っていた、ではないのです。
次に、今年起きたことを並べてみてください。
Movable Type。商用向けで安全性が高いとされ、WordPressの対抗馬として長く推されてきたCMSです。2026年4月、外部から勝手にプログラムを動かされるおそれのある深刻な脆弱性が公表されました（※9）。そして10月7日、再び深刻度9.4の脆弱性がIPA（情報処理推進機構）から注意喚起されています（※10）。半年で2回です。
STUDIO。コードを書かずに作れて、サーバー管理も運営会社に任せられる。WordPressと比べて保守の手間がないと評価されてきたサービスです。2026年10月16日、運営会社は第三者の不正アクセスで全利用者の情報が流出した可能性があると公表しました。対象にはアカウント情報だけでなく、サイトのフォームに送られた内容まで含まれます（※11）。
何を使っても同じです。WordPressも、Movable Typeも、STUDIOも、PHP本体も。ツールの選択が安全性を決めるのではなく、それを誰がどう管理し続けるかが安全性を決めます。保守を他人に預けたからといって、リスクがなくなるわけではありません。預けた先が何をしているかを知らなければ、結局は同じことです。
CMSプラットフォーム「Movable Type」に深刻な脆弱性が判明したと4月8日に発表し、最新版へのアップデートを呼びかけている。
※9 出典：Web担当者Forum「シックス・アパートが『Movable Type』の深刻な脆弱性公表、最新版への更新要請」（2026年4月9日）
IPAは2026年10月7日、Movable Typeに深刻度「緊急」（CVSS 9.4）を含む複数の脆弱性があると注意喚起した。
※10 出典：IT Trend「『Movable Type』に深刻度『緊急』の脆弱性、CVSS 9.4」（2026年10月7日）
Studio株式会社は2026年10月16日、同社が使うクラウド環境に第三者の不正アクセスがあり、すべての利用者の情報が外部に流出した可能性があると公表しました。
先ほどの日本語の例えに戻ります。PHPが日本語で、WordPressがその日本語を話す人だとしたら、静的HTMLは何にあたるのか。
静的HTMLは、すでに紙に書かれた文章を、そのまま手渡すようなものです。
動的なサイトでは、見に来た人がいるたびに、話す人がその場で日本語を組み立てて説明します。静的HTMLには、その工程がありません。あらかじめ書いておいた紙を、書いてあるとおりに差し出すだけです。頭の中で文章を組み立てることも、日本語のルールを使うこともしない。壁に貼られた矢印の案内板が、言葉の説明なしに方向を伝えるのと同じです。
だから、日本語から「あ」が抜けていても影響を受けません。話す人の問題でも、言語の問題でもなく、そもそも話すという行為をしていないからです。今回、静的HTMLが一番安全だと言われたのは、この理由によります。
ただし、紙を渡す方式にも別のリスクはあります。紙の保管場所を荒らされたり、紙に後から書き込まれたりすることは防げません。今回言われている安全は、あくまで言語の穴を踏まない、という意味での安全です。
そして私たちは、それを知ったうえで、WordPressを選んできました。
HTMLで作ったサイトは、文章を一行直すにも制作会社への依頼が必要です。ブログを書きたい、お知らせを出したい、採用情報を更新したい。そのたびに見積もりと納期が発生する。その不便さの積み重ねが、何年も更新されないホームページを量産しました。更新されないホームページは検索でも評価されず、見た人の信頼も得られません。
それなら自分たちでCMSを作ればいい、という時代もありました。その結果、使いにくい、不具合だらけ、やりたいことができない、という相談を受けてWordPressに作り直した案件が、私の前職時代だけでも数え切れません。アメブロなどの外部のブログサービスでサイトを作る流行もありました。しかし10年以上きちんと続いたサービスは少なく、古くなったまま新サービスには移れない、という形で置き去りにされたサイトをいくつも見てきました。
そうした歴史を経て、使いやすく、拡張しやすく、情報も人も多いWordPressが選ばれ続けてきました。W3Techsの2026年10月1日時点の調査では、世界の全ウェブサイトの40.2%、CMSが特定できるサイトの58.7%がWordPressです（※12）。日本では、WordPress公式の発表で国内サイトの58.5%とされています（※13）。
WordPress is used by 40.2% of all the websites, that is a content management system market share of 58.7%.
※12 出典：W3Techs「Usage statistics and market share of WordPress」（2026年10月1日時点）
According to the State of the Word 2024, WordPress powers 58.5% of all Japanese websites and holds an 83% CMS market share in the country.
※13 出典：WPZOOM「WordPress Statistics」（State of the Word 2024の数値を引用）
誤解のないように書きますが、WordPressから離れること自体は、悪いことではありません。サイトに必要な機能が少なく、WordPressの保守の負担が見合わないなら、静的なサイトや別のサービスに移るのは合理的です。今回のようなPHP固有の問題を避けられるという利点も確かにあります。
ただ、それと「WordPressは危険です、弊社の移行サービスへ」という話は別です。WordPressを続ける側に都合があるように、移行先を売る側にも都合があります。その話に乗った結果、必要だった機能がなくなった、更新しづらくなった、追加費用がかかった、やっぱりWordPressのまま保守した方がよかった、となるケースを私は想像できます。
逆もそうです。どんなサイトにもWordPress一択と勧めてきた人にも、同じことが言えます。
何を売りたいかではなく、そのお客様のサイトに何が合うか。
今の運用、必要な機能、移行の費用、移行後の保守まで含めて考えるのが、制作会社の仕事だと私は思っています。
ここで少しだけ、弊社の話をさせてください。
21日23時の公式発表の直後から、私たちは保守管理をお任せいただいているお客様のサイトについて、サーバー会社から修正が配られ適用されるまでの間、アクセスログを監視する体制に切り替えました。脆弱性を狙ったアクセスが来ていないか、不審な動きがないかを、一社ずつ見ていきました。
結果として、ログに不正アクセスの形跡はありませんでした。その後、サーバー側の修正が適用されたあとも、サイトに不具合は起きていません。日頃の保守でWordPress本体もプラグインも最新に保たれていたため、緊急の修正が入っても何も壊れなかった。それだけのことですが、それが保守の成果です。
22日には、保守契約を頂いているお客様一社ずつに、影響がなかったこと、監視の結果、今回の経緯と背景をまとめてお送りしました。夜間対応になりましたが、それは私が特別なことをしたのではなく、保守管理をお任せいただいているなら当然やるべきことをやっただけです。
保守管理という仕事は、普段は何の成果も見えません。サイトは昨日と同じように表示され、お問い合わせは昨日と同じように届く。月々の保守費を払っていても、何をしてもらっているのか分からない。そう感じて契約を切る方も、正直なところ少なくありません。
でも、10月21日の夜に差が出ました。
お客様のサイトがどのサーバーの、どのPHPバージョンで動いているかを把握しているから、あの夜、どこを見るべきか、どのサーバー会社のお知らせを追うべきかが即座に分かりました。翌日には報告ができました。把握していなければ、一社ずつ調べるところから始めることになります。
保守管理とは、何か起きたときに「誰が、何を、どこまで把握していて、すぐに動けるか」を事前に決めておくことです。
何も起きない日が続くほど無駄に見えて、何か起きた日に初めて価値が分かる。
今回、PHPの件はサーバー会社が守ってくれました。しかし、プラグインの脆弱性も、テーマの穴も、放置されたスパムコメントも、サーバー会社の管轄外です。警察から電話がかかってきた企業Aさまを守るのは、サーバー会社ではありませんでした。
私は小学生のときに楽天広場で初めて自分のホームページを作って以来、新卒からずっとこの仕事をしてきました。この15年で、ホームページを作ることは驚くほど簡単になりました。AIを使えば、数時間でそれなりのサイトが立ち上がります。
作ることが簡単になった一方で、守ることは簡単になっていません。むしろ難しくなっています。攻撃する側もAIを使い、2年間見つからなかった穴を数週間で見つける時代です。
だからこそ、作って終わりにしないでください。自分のサイトが何で動いていて、誰が守っているのか。それだけは、会社として言える状態にしておいてほしい。それが、今回の騒動から私が一番伝えたいことです。
何を確認すればいいか分からない。制作会社と連絡が取れなくなっている。保守契約を結んでいるが、何をしてもらっているのか分からない。そういった方は、私たちが作ったサイトでなくても構いません。現状を拝見したうえで、何から手をつけるべきかを一緒に整理します。
株式会社スイッチは埼玉県越谷市を拠点に、WEB制作・SEO対策・保守管理・ブランディングなど、企業の課題に合わせた提案を行っています。作ることが目的ではなく、作ったものが長く成果を出し続けることを目指しています。まずはお気軽にご相談ください。
あわせて読みたい記事
この記事は役に立ちましたか？
ご回答ありがとうございました。
