2026.10.23

ブログやPTAサイトも確認を。PHPの緊急更新で迷わない3つの手順

bohan.mom

ブログ、PTAや地域団体のサイト、小さなネットショップ。専門会社ではなく、担当者が手探りで管理しているサイトにも、いま確認してほしい更新があります。

PHP公式は2026年10月21日、認証なしで遠隔から不正なコードを実行されるおそれがある2件の重大な脆弱性を公表し、修正版を公開しました。IPAは同日に事前準備を呼びかけ、翌22日には修正版の公開を受けた対策情報を公表しました。

まず「見る人」と「運営する人」を分けて考える

ふだんサイトを見るだけの人は、スマホやパソコンの中のPHPを更新する必要はありません。PHPは多くの場合、サイトの裏側にあるサーバーで動く仕組みだからです。サービスが「安全確認のため停止中」なら復旧を待ち、非公式なリンクから手続きしないでください。

一方、自分や所属団体でサイトを管理している人は確認が必要です。「WordPress本体やプラグインを更新したから大丈夫」とは限りません。PHPはそれらを動かす土台で、更新場所も別です。

手順1　誰がPHPを管理しているか確かめる

最初に、レンタルサーバーの管理画面や契約メールで、現在のPHPのバージョンと提供会社からのお知らせを確認します。

今回、PHP公式が示した修正版は8.5.12、8.4.27、8.3.36、8.2.35です。ただし、提供会社が独自に修正を適用する場合もあります。数字だけを見て自己判断せず、契約先の案内を優先しましょう。

制作会社や詳しい知人に管理を任せているなら、「このサイトは今回の影響を受けるか」「対策は済んだか」を具体的に確認します。担当者と連絡方法を一枚にまとめれば、次の緊急更新にも備えられます。

手順2　バックアップ後、案内に沿って更新する

更新前に、サイトのファイルとデータベースのバックアップを取り、復元方法も確かめます。PHPの切り替えで古いテーマやプラグインが動かなくなることがあるためです。

可能なら複製環境で表示、問い合わせフォーム、ログイン、決済などを試してから本番へ反映します。

自動更新の契約でも、すべてを自動で処理してくれるとは限りません。「何もしなくてよい」と決めつけず、提供会社の告知と管理画面の状態を確認してください。難しければ、無理に設定を変えず、契約先や保守担当へ相談するのが安全です。

手順3　異変があれば、消さずに止めて相談する

見覚えのないページ、管理者アカウント、突然の転送、ファイル変更などがあれば、被害を広げないため公開や受付を一時停止し、レンタルサーバー会社や保守担当へ連絡します。

すぐ初期化すると、原因調査に必要なログが消えることがあります。警察庁も、改ざん被害ではサービスを停止し、アクセスログなどの証拠を保全するよう案内しています。

なお、行政サイトなどが予防的にサービスを止めても、それだけで不正アクセスや情報漏えいが起きたとは限りません。

大阪府は10月21日23時40分から一部検索機能を停止しましたが、22日の案内時点で本件に起因する不正アクセスや情報漏えいは確認されていないとしています。「止まっている＝被害」と早合点せず、公式発表を確認しましょう。

小さなサイトでも、連絡先や申込情報を預かることがあります。今回だけの作業で終わらせず、「月1回、担当者と更新状況を確認する日」を決めることが、家庭や地域の情報を守る習慣になります。

出典・確認日

PHP公式：2026年10月21日公表。対象：ウェブ要求を処理するPHP環境。
https://www.php.net/archive/2026.php#2026-10-21-5

IPA「PHPの脆弱性対策について」：2026年10月22日公開、10月23日確認。対象：PHPを利用するウェブサイト・関連製品等。統計の対象期間はなく、今回の脆弱性に対する修正版・対策情報。
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

大阪府：2026年10月22日更新。停止期間：10月21日23時40分から安全確認完了まで（当日朝の確認内容）。
https://www.pref.osaka.lg.jp/o070050/koho/information/20261022phpmaintenance.html

警察庁「ウェブサイト改ざん対策」：公表・更新日は確認できず。対象期間の定めがない常設の対策情報。2026年10月22日確認。
https://www.npa.go.jp/bureau/cyber/countermeasures/hacked-website.html

ABOUT ME