PHPに重大な穴をAIが発見｜自社HPの版を1つ確かめる

ホームページの多くを動かしている「PHP」というプログラムに、深刻な穴が2件見つかりました。外から、ログインもせずにサーバーを乗っ取られるおそれがあるものです。

報告したのは、AIを使ってソフトの穴を探している調査会社などです。PHPは長く使われてきた土台ですが、AIで調べる量が増えたことで、古くからある穴まで掘り起こされるようになりました。

ホームページを持っている会社のほとんどは、自分でPHPを触ったことがありません。それでも、確かめておくべきことが1つだけあります。

今日やること 自社のホームページが使っているPHPの「版（バージョン）」を確かめてください。レンタルサーバーの管理画面で見られます。分からなければ、制作会社に「うちのホームページのPHPは何版ですか」と聞きます。8.1以前なら、切り替えの相談をします。 何もしなくていい人 ホームページを、Wix・Jimdo・ペライチのような「サーバーを借りずに作るサービス」で作っている会社です。サーバーの管理はサービス側の仕事です。

何が起きたか

PHPの開発を支える団体PHP Foundationは2026年10月21日、公式ブログで次のように公表しました。

• 2件の穴（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開した。深刻度の点数は9.2
• 条件がそろうと、認証なしで外からサーバー上のプログラムを動かされるおそれがある
• 修正版は 8.5.12、8.4.27、8.3.36、8.2.35
• 報告したのは、AIで穴を探す取り組みをしている調査会社など。PHPの側でも、AIを使った調査の広がりで届く報告が増えている

翌22日には、日本のJPCERT/CCが注意喚起を出しました。8.1以前には修正版が出ておらず、7.4・8.0・8.1向けには一部の攻撃経路をふさぐだけの手当てしか無い、と書いています。対策は更新だけです。

中小企業にとって何が変わるか

「サーバー会社が直してくれる」が届かない会社がある

レンタルサーバーを借りてホームページを置いている会社では、PHPそのものの修正はサーバー会社の仕事です。利用者がPHPを入れ直す必要はありません。

ただし、サーバー会社が直せるのは「修正版がある版」だけです。多くのレンタルサーバーでは、PHPの版をホームページごとに選べます。制作したときに8.0や8.1を選び、そのまま何年も動かしているホームページには、今回の修正は届きません。

古い版のままにしてあるのには、たいてい理由があります。「新しい版にしたら画面が崩れた」「お問い合わせフォームが動かなくなった」。だから触らずにおいた。その判断が、今回のような穴が見つかったときに逃げ場を無くします。

AIで穴探しが速くなった分、更新の回数も増える

PHP Foundationは、AIを使った調査で寄せられる報告が増えたと書いています。同じ投稿には、7月1日以降に15件の穴を公表したこと、無効や重複の報告を100件以上さばいたことも書かれています。

穴を探す側の道具が強くなると、「何年も前から放置されていた穴」が次々に見つかります。これは悪い話ではありません。ただ、直す側に「更新を当てる人」がいなければ、見つかった穴は開いたままです。この流れはAIでソフトの穴が次々見つかる｜先に決めるのは更新する人でも書きました。今回は、その「更新する人」がホームページについても要る、という話です。

当てはまるかどうかを分ける

よくある誤解：「WordPressを更新しているから大丈夫」

WordPressの管理画面で「更新」を押していても、今回の件は片づきません。穴があるのはWordPressではなく、その下で動いているPHPのほうだからです。

WordPressの管理画面には、使っているPHPの版が表示される場所があります（「ツール」→「サイトヘルス」→「情報」→「サーバー」）。いつも見ている画面の奥にあるので、気づかないまま年数がたっていることがよくあります。

いま何をすべきか

1. PHPの版を確かめる。レンタルサーバーの管理画面か、WordPressのサイトヘルスで見られます。分からなければ制作会社に聞きます
2. 8.1以前なら、制作会社に切り替えを頼む。いきなり自分で切り替えると、フォームや表示が壊れることがあります。お問い合わせフォームが動くかまで確かめてもらいます
3. サーバーを自前で管理しているなら、更新する人を決める。JPCERT/CCは、更新に加えて、不審なアクセスや見覚えのないファイルが無いかも確かめるよう勧めています

穴が見つかる速さは、もう人の側では変えられません。変えられるのは、見つかった日に「うちは関係あるか」を答えられるかどうかです。

関連するもっと詳しい話

「PHPの版を誰に聞けばいいか分からない」会社は、ホームページ以外のツールでも同じ状態になっていることがよくあります。社内ツールが乱立したときの片づけ方｜数より置き場所を決めるで、ツールごとに「何を置く場所か」「誰が管理しているか」を1行ずつ書く台帳の作り方を説明しています。ホームページとサーバーも、その台帳に1行足しておくものです。

「ホームページを作った担当者がもう辞めていて、サーバーのログイン先が分からない」という会社も少なくありません。引き継ぎ資料が無いまま人が辞める｜残り2週間で取り出す3つに、アカウントや契約の「在りか」を辞める前に取り出す方法を書きました。ホームページのサーバーも、その一覧に入れておくものです。

自社のホームページのPHPの版の確かめ方や、制作会社とのやり取りで迷ったら、お問い合わせからご相談ください。