ホームページのセキュリティ、
何を確認すればいい？

Summary

まず、結論から。

2026年10月、PHP という、多くのホームページの裏で動いているプログラムに、重大な脆弱性（弱点）が見つかりました。IPA（情報処理推進機構）が注意喚起を出しています。WordPress など、PHP で動くホームページを持っている方は、いまのうちに確認してください。

慌てる必要はありません。確認することは、最初の1つだけです。「自分のホームページが、PHPのどのバージョンで動いているか」を、制作会社やサーバー会社に聞いてください。

公開：2026年10月31日／この内容は、2026年10月31日時点の公式発表にもとづきます。最新の情報は、末尾の出典でご確認ください。

What happened

いま何が起きているのか。

PHP の脆弱性（2026年10月）

• PHP の2件の脆弱性（CVE-2026-109618・CVE-2026-109619。組み合わせて「PHP2shell」と呼ばれています）が公表されました。
• 条件がそろうと、外部の第三者が、サーバー上でプログラムを実行できてしまうおそれがあります。
• 修正版が公開されています。PHP 8.2系は 8.2.35、8.3系は 8.3.36、8.4系は 8.4.27、8.5系は 8.5.12 以降です。
• PHP 8.1 以前は、すでにサポートが終わっており、PHP のプロジェクトからは、修正版が提供されません。ただし、Linux の配布元や、長期サポートを提供する事業者が、独自に対策した版を出している場合があり、その場合は、バージョンの表示が古くても、対策が済んでいることがあります。サーバー会社に確認し、必要ならサポートされている版への移行を検討してください。
• PHP 8.2 のセキュリティサポートは、2026年12月31日に終了します（php.net）。修正版（8.2.35）に更新したあとも、年内に、8.3 以降への移行を計画してください。
• IPA は2026年10月22日に注意喚起を出し、10月27日に更新しました。IPA は、国内での被害事例は把握していないとしています。

報道では、国内の複数のサービスが、緊急メンテナンスのために、一時的に停止したと伝えられています。

より詳しい解説は、PHP2shell とは？何が問題で、何をすればいい？、WordPress は影響を受ける？PHPバージョンの確認方法をご覧ください。バージョンの判定は、PHP脆弱性チェック（無料）で、ホームページ全体の確認は、セキュリティチェック（無料）で行えます。

GMO の「お名前.com デスクトップクラウド」の件について

同じ時期に、GMOインターネットグループが、「お名前.com デスクトップクラウド」への不正アクセスを公表しています。GMO は、このサービスを10月21日に停止したと発表しています。

これは、ホームページの脆弱性とは別の件です。ホームページやレンタルサーバーなど、ほかのサービスへの影響は、公式発表の中では述べられていません。ただ、「預けたデータをどう守るか」「連絡を装った詐欺にどう備えるか」を考える機会にはなります。GMO は、利用者に対し、パスワードや認証コードを聞くことはない、という趣旨の注意も出しています。

Check

自分のサイトは、関係がある？

PHP は、サーバー側で動くプログラムの言語です。WordPress や、EC-CUBE などの多くのシステムが、PHP で動いています。

• PHP で動いているサイト（WordPress など）：PHP のバージョンを確認してください。修正版より古いなら、更新が必要です。
• HTML だけで作られた静的なサイト：サイトそのものが PHP で動いていなければ、この脆弱性の影響は受けません。この Kairos のサイトは、HTML だけで作っています。

どちらか分からない場合は、制作を依頼した会社か、サーバー会社に聞いてください。WordPress であれば、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHP のバージョンを確認できます。

Checklist

最低限のセキュリティ対策。

今回の件に限らず、ホームページを持っている方が、ふだんから確認したいことをまとめました。

1. PHPのバージョンを確認する	8.2.35・8.3.36・8.4.27・8.5.12 未満なら、更新が必要です。PHP 8.1 以前は修正が出ないため、移行を検討します
2. WordPress・テーマ・プラグインを最新にする	更新通知を放置しません。自動更新を使える部分は、オンにしておきます
3. 使っていないプラグインや古いサイトを消す	使っていない機能や、放置したテスト用のサイトは、狙われやすい入口になります
4. パスワードを強くして、使い回さない	管理画面、サーバー、ドメインのパスワードは別々にします。二段階認証が使えるサービスは、オンにします
5. バックアップを別の場所にも取る	サーバーの中だけでなく、別の場所にも保管します。復元できることまで確認できるとさらに安心です
6. 契約している会社と、連絡先の窓口を把握する	ドメイン・サーバー・ホームページを、誰がどこで契約しているかを整理します。緊急時に連絡が取れる状態にしておきます
7. 怪しいメール・SMSのリンクを開かない	公式を名乗る連絡でも、リンクは開かず、公式サイトから確認します

Support

Kairos ができること。

Kairos は、ホームページの制作だけでなく、公開後の更新、不具合対応、サーバー管理までを担当する保守プランを用意しています（ライト 月5,000円〜／スタンダード 月15,000円〜／システム保守 月30,000円〜。税込、最低契約6か月）。

お客様のシステムの構成（使っている言語やサーバー）によって、確認すべきことは変わります。ご相談の際に、どこから確認するかをお伝えします。ヒアリングは無料です。蟹江町を拠点に、蟹江町、海部・津島・尾張西部の方は、対面でのご相談も可能です。