2026年10月21日。
Webサイトで広く使われている「PHP」というプログラミング言語に、重大なセキュリティ上の問題が見つかったと発表されました。
PHPの開発元からは、問題を修正した新しいバージョンがすでに公開されています。
普段ホームページの管理に関わっている僕にとっても、あらためて考えさせられる出来事でした。
あるとデザインで保守管理をさせていただいている皆さまへ
はじめにお伝えさせてください。
保守管理をさせていただいている皆さまのホームページは、
今回の問題が修正されたPHPのバージョンになっていることを確認しました。
現状、皆さまにご対応いただくことはありません。
どうぞご安心ください。
今後も状況を見ながら、必要があればこちらで確認していきます。
ここから先は、今回なにが起きたのか…そして「ホームページの管理」について、あらためて考えたことを書いています。
背景を知るための読みものとして、ご興味のある方は読み進めてください。
そもそもPHPって？
ホームページを「家」にたとえると、PHPは家を支える「土台」のようなものです。
WordPressでつくられたホームページも、この土台の上に建っています。
世界のWebサイトのおよそ7割が、PHPを使っているといわれています。
今回は、その土台にヒビが見つかった、というイメージです。
しかもそのヒビは、悪い人が外から入り込み、家の中で勝手なことができてしまうかもしれない種類のものでした。
だから、WordPressだけの話ではなく、PHPで動いているたくさんのWebサイトやシステムに関係することなんです。
世界では何が起きているの？
今回、少し特別だったことがあります。
修正版ができあがる前に、問題に関する情報が外に伝わってしまい、世界中のセキュリティの専門家の間で警戒が高まりました。
PHPの開発チームは、あらかじめ予告していたとおり、10月21日に修正版を公開しました。
「鍵が壊れているらしい」と噂が広がる中で、新しい鍵が配られた、という感じですね。
海外では、この弱点をねらった攻撃の「試み」が観測されたという報告も出ています。
ただ、「実際にこんな被害が出た」という報告は、この記事を書いている時点では見当たりません。
日本ではどうなっているの？
日本では、IPA（情報処理推進機構）という国の機関が、修正版が出る前から「準備をしておいてください」と呼びかけていました。
その時点では、IPAとしては攻撃を確認していないとしています。
そして発表の夜、大手のレンタルサーバー会社をはじめ、さまざまな会社が緊急メンテナンスを行いました。
一般のニュースでも取り上げられています。
つまり日本では、「被害が出た」というより、
「被害が出る前に、みんなで急いで土台を直した」
という動きが目立っています。
ホームページって、誰が管理しているんだろう？
ここで、あらためて考えてみたいことがあります。
ホームページをつくった会社。
ドメインを管理している会社。
サーバーを管理している会社。
そして、日々のお知らせを更新している担当者さん。
実はこれ、すべて同じ人や会社とは限らないんです。
ちゃんと表示されている。
お問い合わせも届いている。
だから、特に問題はないと思っていた。
ただ、今回のようなことが起きたとき
「誰が確認して、誰が対応するのか」
意外とはっきりしていないことも多いのではないでしょうか。
僕自身、介護施設の管理者だった頃は、ホームページを「依頼する側」でした。
あの頃の僕が「サーバーのPHPは誰が見ているの？」と聞かれても、たぶん答えられなかったと思います。
だからこそ今は、保守管理をさせていただいている皆さまに
「何かあっても、こちらで確認しています」
と言える状態をつくっておきたいと考えています。
レンタルサーバーなら、まずは大丈夫？
小さな事業所のホームページの多くは、「レンタルサーバー」を使っています。
これは、マンションを借りて住んでいるようなものです。
マンションの土台や共用部分は、管理会社が直してくれることが多いですよね。
レンタルサーバーも同じで、サーバー会社がPHPの更新や安全対策をしてくれる場合があります。
ただし、契約の内容や使っているPHPのバージョンによっては、利用者側で確認したり、切り替えたりする必要があることもあります。
特に気をつけたいのが、古いPHPのまま使っている場合です。
サーバーの管理画面では、PHPのバージョンを自分で選べることがあります。
とても古いバージョン（8.1以前）には、今回の公式の修正版が出ません。
古い部屋に住み続けていて、そこだけ修理の対象外になっている、という状態です。
また、サーバーを自分たちで管理している場合は、修理するのも自分たち（または頼んでいる会社）になります。
WordPressを更新していれば安心？
WordPressを最新にしておくことは、もちろん大切です。
ただ、それだけで安全対策がすべて終わるわけではありません。
今回のように、家そのものではなく、土台に問題が見つかることもあります。
だからこそ
「自分のホームページが、どのように管理されているのか」
を知っておくことが大切なんだと思います。
この機会に確認しておきたい3つのこと
ご自身でホームページを管理されている方や、管理の状況がわからない方は、この機会に確認してみてください。
サーバーの管理は誰が担当していますか？
レンタルサーバーなのか、自分たちで管理しているのか。
PHPの更新を、誰が見てくれているでしょうか。
バックアップは取れていますか？
もしものときに、元の状態に戻せるでしょうか。
何かあったとき、誰に相談すればよいですか？
制作会社なのか、サーバー会社なのか。
連絡先と「どこまで対応してくれるか」は、はっきりしているでしょうか。
まずはこの3つだけでも、確認してみてください。
ホームページは、公開してからが本番です
ご存知の通り、ホームページは完成したらゴールじゃないんですよね。
採用情報を届けたり、
サービスの魅力を知ってもらったり、
ご家族からのお問い合わせを受け取ったり。
事業を支える、大切な入口です。
だからこそ、安心して使い続けられる環境が必要なんだと思います。
あるとデザインでは、制作はもちろんなのですが、
PHPの更新やバックアップ、アクセス数の状況確認も含めて、公開したあとのホームページを見守っています。
保守管理をさせていただいている皆さまは、今回のように何かあったときも、まずはこちらで確認しますのでご安心ください。
それ以外の方で、「うちのホームページ、誰が見ているんだろう？」と気になった方は、どうぞお気軽にご相談ください。
最後まで読んでいただき、ありがとうございました。
参考情報（2026年10月22日時点）
・PHP公式サイト
・IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について
・共同通信（Yahoo!ニュース）：さくらネット、PHP対応で一部機能停止
コメント