BLOGスタッフブログ

昨日は、朝からニュースもSNSも「PHP」の話で持ちきりでした。

大手のネットショップや動画サイト、ゲームが緊急メンテナンスに入って、省庁のホームページの一部まで止まった。

芸能人の公式サイトも見られなくなった。

前の晩には、高市総理がXで「PHPを使っているサイトかどうか確認して、修正をすぐ当てられるよう準備を」と呼びかけていた。

普段、建物や不動産の話ばかり書いているこのブログで、ITの話を書くのは珍しいと思います。

でも、今回の件は、私たちのような地方の中小企業にとっても、まったく他人事ではありませんでした。

というのも、清新ハウスもそうですが、住宅会社や工務店、不動産会社のホームページの多くは、WordPress（ワードプレス）という仕組みで作られています。

そのWordPressを動かしているのが、PHPです。

今日は、昨日の騒動で何が起きたのかを、ITにくわしくない方にも分かるようにまとめて、そのうえで、ホームページを持っている会社やお店の方に確認してほしいことを書いておきます。

そもそも、PHPって何なのか？

PHPは、ホームページを動かすための、プログラミング言語の一つです。

ホームページには、文章や写真を載せているだけのページもありますが、多くのサイトは、裏側のサーバーでプログラムが動いています。

お問い合わせフォームに入力した内容を送る、物件を条件で検索する、新しいブログ記事を管理画面から投稿する。

こういう仕組みを動かしているのが、PHPのようなプログラムです。

調査会社のW3Techsによると、サーバー側で使われている言語が分かっているサイトのうち、7割ほどがPHPを使っているとされています。

WordPressもPHPで動いているので、ブログや会社のホームページの多くが、知らないうちにPHPに頼っている、ということになります。

家でいえば、PHPは、壁の中を通っている配線や配管のようなものだと思っています。

普段は見えないし、住んでいる人は意識もしない。

でも、そこに不具合があると、家全体に影響が出る。

今回の騒動は、その見えない部分に、かなり大きな問題が見つかった、という話です。

昨日の騒動で、何が起きたのか

「緊急」レベルの脆弱性が2件見つかった

今回見つかったのは、PHPの脆弱性（セキュリティ上の弱点）2件です。CVE-2026-109618とCVE-2026-109619という番号がついていて、深刻さを表すスコアはどちらも10点満点中9.2と、最も危険な「緊急」レベルにあたります。

どういうことかというと、サーバーの設定によっては、攻撃する側がログインもしないで、サーバーの上で勝手にプログラムを動かせてしまうおそれがある、というものです。

そうなると、ホームページの中身を書き換えられたり、サーバーに保存されているデータを盗まれたりする可能性があります。

管理画面のパスワードを強くしていても、それだけでは防げないかもしれない、というのが怖いところでした。

報道では「php2shell」とも呼ばれています。

公開の前に情報が漏れて、前倒しになった

報道や、セキュリティの情報をまとめているサイトによると、この弱点は2026年8月ごろにPHPの開発チームに報告されていて、10月22日に修正版を出す予定で準備が進められていたそうです。

ところが、10月20日から21日にかけて、修正の公開前に情報の一部が外に漏れてしまいました。

攻撃の方法を示す動画が誤って公開されたり、修正済みのプログラムが正式な公開より早く出回ったりしたことで、修正前と修正後を見比べれば、どこが弱点なのか分かってしまう状態になった、と伝えられています。

そのため、修正版の公開は1日前倒しになり、日本時間の10月21日23時に予定されました。

国が「今夜中の対応」を呼びかけた

10月21日には、IPAと国家サイバー統括室が注意喚起を出しました。

夜の9時55分ごろには、高市総理がXで、PHPを使っているサイトか確認すること、修正をすぐに当てられるよう準備すること、すぐに当てるのが難しい場合はサイトを一時的に止めることも有効な対策の一つであること、を呼びかけました。

総理が、特定のプログラムの脆弱性について、こういう形で直接呼びかけるのはかなり珍しいことだと思います。

それだけ、影響の範囲が広いと見られていた、ということだと受け止めています。

多くのサイトが、予防のために止まった

この呼びかけを受けて、多くの会社がサイトを一時的に止めました。

報道では、BASE、pixiv、ニコニコ、DMM.comなどが緊急メンテナンスを行い、ソーシャルゲームの中には一時停止したものもありました。

財務省のサイトの一部も止まったと伝えられています。

対応しきれずに、サービスそのものを終了すると告知したところもあったそうです。

修正版は出た。でも、攻撃も一気に増えた

10月21日の夜、PHPの開発チームは、2件の弱点を直した新しいバージョンを公開しました。

一方で、攻撃の試みも一気に増えました。

ネットの通信を守る仕組みを提供しているCloudflareの報告では、公表前の約10時間で数千件だった攻撃の試みが、公表から45分で数万件、2時間以内に数十万件、その後は数百万件にのぼったそうです。

修正版が出たからといって、すぐに全部のサイトが安全になるわけではありません。

サーバーを管理している人が修正版に入れ替えるまでは、弱点が残ったままです。

そこを狙って、攻撃が集中した、ということです。

一般の方は、何かしないといけない？

ここは安心してほしいところです。

ホームページを見るだけの方は、スマホやパソコンで何かをする必要はありません。

PHPはサイトを動かしているサーバー側のプログラムなので、修正するのはサイトを運営している会社や、サーバーの管理者です。

ただ、こういう大きな騒動のあとは、それに便乗した怪しいメールやSMSが出回りやすくなります。

さっそく私のところにも怪しいメールが数件来ました。

「セキュリティの問題が見つかったので、パスワードを再設定してください」といった連絡が来ても、メールやSMSの中のリンクは開かずに、公式のアプリやサイトから確認するようにしてください。

これは今回に限らず、普段から気をつけていただきたいことです。

ホームページを持っている会社・お店が確認してほしいこと

ここからは、清新ハウスと同じように、ホームページを持っている中小企業やお店、大家さん、民泊を運営している方に向けて書きます。

住宅や不動産の業界は、ホームページにお客様の情報が集まりやすい業種です。

お問い合わせフォームには、名前や住所、電話番号が入ってきます。

資料請求や、見学会の予約、物件の問い合わせもそうです。

万が一、サイトが乗っ取られたり、データが抜き取られたりすれば、お客様にご迷惑をかけてしまいます。

1. 自社のサイトが、PHPで動いているか確認する

まず、自分の会社のホームページが何で作られているかを確認してください。

WordPressで作っているなら、PHPで動いています。

ほかにも、ネットショップの仕組みや、予約システム、会員ページなど、PHPを使っているものはたくさんあります。

自分では分からない場合は、ホームページを作ってくれた会社や、管理をお願いしている会社に「うちのサイトはPHPを使っていますか」と聞いてみてください。

2. サーバー会社のお知らせを確認する

レンタルサーバーを使っている場合、多くのサーバー会社が、すでに修正の適用を進めています。

たとえば、さくらインターネットは、レンタルサーバーで必要な修正を適用済みとしたうえで、サポートが続いている最新のバージョンのPHPへの切り替えをすすめています。

使っているサーバー会社のお知らせのページを、一度見ておいてください。

サーバーを自分で管理する契約の場合は、自分で修正版に入れ替える必要があります。

3. 古いバージョンのPHPを使い続けていないか

今回、修正版が出たのはPHP 8.2以降の、サポートが続いているバージョンです。

8.1より前の古いバージョンは、正式な修正版が出ていません（一部の古いバージョンには、最低限の修正が別の形で提供されたと報じられています）。

ホームページを作ってから何年もそのままにしていると、古いバージョンのPHPのまま動いていることがあります。

古いバージョンは、今回の件に限らず、これから見つかる弱点も直してもらえません。

家でいえば、耐震基準が古いまま、何十年も手を入れていない家と同じです。

普段は問題なく住めているように見えても、大きな地震が来たときに耐えられるかは分かりません。

4. WordPress本体やプラグインも、一緒に見直す

PHPのバージョンを上げると、古いプラグイン（WordPressに機能を追加する部品）やテーマが動かなくなることがあります。

何年も更新していないプラグインや、もう使っていないプラグインが残っていないか、これを機に見直しておくといいと思います。

使っていないものは消しておくだけでも、弱点を減らせます。

5. お問い合わせのデータを、サイトにためこんでいないか

お問い合わせフォームの内容を、ホームページのサーバーにずっと保存したままにしていないかも確認してください。

必要な情報は、社内の管理の仕組みに移して、サイトの側には残しておかない。

古いデータは定期的に消す。サイトに何かあったときに、漏れる情報を少なくしておくのも、大事な備えです。

6. 「止める」という判断ができるようにしておく

今回、国が「修正をすぐに当てられない場合は、サイトを一時的に止めることも有効」と呼びかけたのは、印象に残りました。

中小企業のホームページは、作った会社に任せきりで、誰に連絡すれば止められるのか、社内の誰も知らない、ということがよくあります。

いざというときに、誰に連絡して、どう止めるのか。

ホームページの管理を頼んでいる会社の連絡先と、サーバーの契約情報は、すぐに分かるところにまとめておいてください。

家のメンテナンスと、同じことだと思います

今回の騒動を見ていて思ったのは、ホームページも家と同じで、建てたら終わり、作ったら終わり、ではないということです。

家は、外壁や屋根、設備を定期的に点検して、傷んだところを早めに直していけば、長く安心して住めます。

逆に、何年も放っておくと、見えないところで傷みが進んで、ある日突然、大きな修理が必要になります。

ホームページも、PHPやWordPress、プラグインを定期的に更新していれば、今回のような弱点が見つかっても、比較的落ち着いて対応できます。

何年も放っておいたサイトほど、慌てることになります。

それから、今回の弱点は2024年の段階で兆しが見つかっていたのに、修正が進まなかったことも報じられています。

開発元の団体が「構造的な失敗」と認めた、という記事もありました。

家でも、「ちょっと気になるけど、まあいいか」と放っておいた小さなひびや雨じみが、あとで大きな問題になることがあります。

気になったときに、専門家に見てもらう。今回の件は、ITの世界でもそれが大事なんだ、とあらためて感じる出来事でした。

清新ハウスからのお知らせ

清新ハウスのホームページでも、お問い合わせフォームなどでお客様の情報をお預かりしています。

今回の件を受けて、サーバーの状況やPHPのバージョンなどを確認しています。

【ここに、当社サイトの実際の確認結果・対応状況を記載してください】

当社を名乗って、パスワードの変更や個人情報の入力を求めるメールやSMSを送ることはありません。

少しでも気になる連絡があった場合は、LINEやお電話で直接お問い合わせください。

家のことも、ホームページの話も、分からないことは分からないままにしないで、専門の人に聞いてみるのが一番です。

住まいのことなら、いつでもご相談ください。

---

ご相談はLINEからどうぞ

👉 LINEでご相談（リンク）

LINEで気軽に無料相談

【モデルハウス公開中！】

NEW！秋葉区小戸上組分譲地内　新「蔵里」OPEN！

古民家から取り出した古材を再利用した新旧融合の新しい住まいの在り方をご体感下さい。

👇👇モデルハウス見学のご予約はこちらをクリック👇👇