【緊急】PHPの開発元が深刻な脆弱性2件の修正版を公開
PHPの脆弱性を巡り、高市総理が「大至急のお願いです」と異例の呼びかけ
PHPの脆弱性、自社のサイトは大丈夫ですか？
URLを送るだけ。無料で、最短当日に診断します。
国や自治体は、機能を止めるなどして素早く手を打ちました。ところが中小企業では、だれがサイトの対応をするのか決まらないまま、手つかずになりがちです。
送るのはサイトのURL（アドレス）だけ。
何が起きたのか
10月21日に修正版が出たPHPの脆弱性2件
脆弱性とは、プログラムに残っている弱点のことです。この2件の弱点を突かれた場合、ログイン用のパスワードを知らない相手でも、外からサイトのプログラムを動かせてしまうおそれがあります。
PHP本体の問題なので、PHPで動く多くのサイトが影響を受けるおそれがあります。修正版は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。
識別番号は CVE-2026-109618 と CVE-2026-109619 です。どちらも CVSS 4.0 の基本値は 9.2 です。
放置すると、起こりうる被害
01
サイトの書き換え
公開しているページの内容を、第三者に差し替えられるおそれがあります。
02
顧客情報の持ち出し
問い合わせや会員登録で集めたお客様の情報を、外部に持ち出されかねません。
03
データを人質に取る攻撃（ランサムウェア）
サイトのデータを使えない状態にし、元に戻す代わりに金銭を要求する手口です。
04
第三者への攻撃の踏み台
乗っ取られたサイトが、別の相手への攻撃に使われるおそれがあります。その結果、被害を受けた側から損害賠償を請求されることもあります。
ここに挙げたのは、一般的に起こりうる被害です。今回の脆弱性で実際に起きたという意味ではありません。
国の動き
- 01IPAは、PHPを使っているプログラムを洗い出し、修正版をすぐ使えるよう準備することを呼びかけました。
- 0210月21日の夜、高市総理がXに「大至急のお願いです」と投稿しました。同日23時に公開予定の修正パッチを、すぐ適用できるよう準備することを求める内容です。
- 03適用が難しい場合は、サイトを一時停止する方法も有効だと、総理は示しました。
- 04国家サイバー統括室も、同じ内容をXで呼びかけました。首相が個別のソフトウェアの脆弱性についてXで直接呼びかけるのは異例と報じられています。
止まったサイトと機能
停止は、10月21日から22日にかけて相次ぎました。多くは予防のための停止で、不正アクセスや情報漏えいは確認されていないと、各組織は説明しています。
財務省
一部コンテンツを一時停止
大阪府
検索・申込みの機能を一時停止
富山県滑川市
Web手続き・検索の機能を一時停止
介護サービス情報公表システム（厚生労働省からの連絡による）
10月21日16時頃から22日12時まで一時停止
ネットショップの基盤、業務用クラウド、人気ゲームなどの大手サービスや大学も、急きょ保守作業に入ったり、公開を止めたりしました（各社・各団体の告知のまとめ記事（外部サイト））。対応をあきらめてサービスを終えたり、サイトを閉じたりする例も出ていると報じられています（INTERNET Watch（外部サイト））。
規模は関係ない
会社の規模に関係なく、狙われます
世界中の多くのサイトがPHPで動いています。WordPressで作ったサイトも、中身はPHPです。
攻撃は、プログラムで自動化されています。ネット上のサイトを片っ端から調べ、弱点が残っているところに入り込みます。どこの会社のサイトかは見ていないので、規模も知名度も関係ありません。
セルフチェック
当てはまる項目はありませんか
- 制作会社に連絡がつかない、または会社がなくなった
- 自社のサイトがPHPで動いているのか、答えられない
- 動かしているPHPが何版か、見たことがない
- WordPressの管理画面に更新の通知が出たまま、触っていない
- 作ってから数年たつが、仕組みを見直したことはない
- サイトの管理を社内のだれが担当しているのか、決まっていない
- お客様が情報を入力するページ（問い合わせ、会員登録など）がある
ひとつでも心当たりがあれば、一度診断を受けてください。
レンタルサーバー
レンタルサーバーでも、修正が届いていない場合があります
01
サーバー会社が新しいPHPを使えるようにしていても、サイトごとの設定が古い版のままだと、修正は反映されません。
02
PHP 8.1以前には、開発元からの通常の安全対策の更新がもう出ません。今回の修正版は8.2以降のみです。
03
PHPを新しくすると、サイトの見た目や機能を担う部品（テーマ、プラグイン）が対応しておらず、動かなくなる場合があります。切り替える前に確認が必要です。
相談先がない
中小企業には、相談できる先がないことも多い
大企業
- 社内にIT担当の部署があり、判断できる人がいる
- 止める、直す、確かめるまでを自社で進められる
中小企業
- 社内に判断できる人がいない
- サイトを作った会社がもうない、または担当者が退職した
- 「ホームページ担当」になった人も、技術には詳しくない
そこで、まず外から調べられる部分をこちらで確認します。
無料診断でわかること
お送りいただくURLから、次の5点をお伝えします
01
PHPの利用状況
そのサイトでPHPが使われているかを確認します。
02
PHPのバージョン、および今回の脆弱性への該当可能性
分かったバージョンが、今回の脆弱性の対象に入るかを見ます。
03
PHPのバージョン情報が外部に公開されていないか
バージョンの情報が、サイトの外から読める状態かを確認します。
04
確認できたPHPのサポート状況
分かったバージョンが、いまもサポートされているかを伝えます。
05
最初にやるべき対応
確認できた内容から、まず何をすればよいかを伝えます。
結果は、専門用語をなるべく使わず、次に何をすればよいかが分かる文面でLINEに送ります。
診断の流れ
LINEで進む3つの手順
STEP 1
公式アカウントを友だちに追加する
このページのLINEボタンから追加できます。
STEP 2
会社の名前と、調べたいサイトのURLを送る
メッセージで、この2点を知らせてください。
STEP 3
LINEで結果を受け取る
最短で当日中に返信します。
外から見て分かる情報だけで行う簡単な診断です。サイトの中身まで調べる必要が出たときは、その前に案内します。
診断のあと
診断のあとに、売り込みはしません
対策が不要と分かったとき
こちらからの連絡は、そこで終わります。
対策が必要なとき
自社で進める方法、または制作会社に送る依頼文の例をお渡しします。
外から判断できないとき
管理画面やサーバーの中まで調べる「詳しい検査」（有料）を案内することがあります。費用を先にお伝えし、希望された場合だけ実施します。
FAQ
よくある質問
費用はかかりますか？
外から確認する簡易診断に、費用はかかりません。詳しい検査が必要になった場合に限り、先に費用をお伝えします。行うのは、希望があったときだけです。
うちのサイトがPHPなのかも分かりません
それを調べるところから、診断に含みます。サイトのURLだけ教えてください。
制作会社が別でも、診てもらえますか？
はい。作った会社と連絡が途絶えたサイトでも、ご相談ください。
ログイン情報は必要ですか？
無料診断では要りません。詳しい検査をする場合は、安全な受け渡し方法を別にご案内します。LINEのトークには、パスワードを書かないでください。
診断中に、サイトを変更されることはありますか？
ありません。無料診断で使うのは、外から見える情報だけです。作業が必要になったときは、先に同意をいただきます。
対策が済んでいるか、まず確かめましょう
修正版を適用していないサイトは、いまも攻撃を受けうる状態のままです。調べるのに必要なのは、サイトのURLだけです。
診断できるのは、自社が運営しているサイトです。制作会社が作ったサイトでも構いません。