2026年10月、Webサイトの運営などに広く使われるプログラミング言語「PHP」で重大な脆弱性が公表されました。櫻テクノロジーズでも、運営するWordPressサイトを守るため、アクセス制限やPHPの更新などの対応を行いました。今回は、PHPの基本から今回の問題、今後の備えまでご紹介します。
そもそもPHPとは？
PHPは、主にWebサーバー側で動作するプログラミング言語です。お問い合わせフォーム、ログイン処理、ブログ記事の表示、データベースとの連携など、Webサイトのさまざまな機能を支えています。櫻テクノロジーズが利用しているWordPressもPHPで動作しています。
何が起きたのか？
2026年10月、PHPで2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）が公表されました。これらは「PHP2Shell」とも呼ばれ、影響を受ける環境では、第三者が認証なしにサーバー上で不正なコードを実行できる可能性があります。
修正版の公開前に脆弱性に関する情報が予定より早く広まったことも問題となりました。情報公開の経緯には複数の出来事が関係しており、特定のSNS投稿だけが原因と断定できるものではありません。
詳しくはIPA「PHPの脆弱性対策について」およびPHP公式のセキュリティリリース情報をご確認ください。
その結果、どうなったのか？
PHP開発チームは2026年10月21日に修正版を公開しました。修正バージョンはPHP 8.2.35、8.3.36、8.4.27、8.5.12です。攻撃の試みが報告されたほか、リスクを抑えるため一時的に公開を停止したWebサービスもありました。ただし、すべてのPHPサイトが被害を受けたわけではなく、実際の影響は利用環境によって異なります。
PHP 8.3系の修正版についてはPHP 8.3.36公式リリースでも確認できます。
櫻テクノロジーズが行った対応
櫻テクノロジーズでは、公式情報と提供元の案内を確認し、サイトへのアクセス制限や緊急時の遮断を含む対応を実施しました。その後、お名前.comレンタルサーバー（RSプラン）において、2026年10月22日に今回の脆弱性へのセキュリティパッチ適用が完了したとの公式発表を確認し、WordPressの動作確認を行いました。PHPの表示バージョンは8.3.35のままですが、お名前.comは同バージョンにも今回の修正が適用済みと案内しています（お名前.com公式のお知らせ）。
なお、セキュリティ上の理由から、アクセス制限の具体的な設定や仕組みについては公開を控えます。
アップデートできないことがサービス継続のリスクに
長年運営されているWebサイトでは、古いPHPでしか動かないプログラムが使われていることがあります。その場合、PHPの更新に合わせてシステム改修が必要になることもあります。
実際に今回の問題では、安全性を優先して一時的に公開を停止したサイトやサービスが報じられました。一方で、「PHPを更新しなかったことが原因で多数のサイトが恒久的に終了した」とまでは確認できていません。更新を先延ばしにすると、将来の運営継続が難しくなる可能性がある点に注意が必要です。
生成AIの発達とセキュリティ
生成AIの進歩によって、プログラムの開発や解析は効率化しています。これは不具合の発見や対策にも役立ちますが、攻撃手法の研究を速める可能性もあります。便利な技術を安心して使い続けるためには、システムの保守・点検が欠かせません。
アプリやツールのサポート期限を確認していますか？
- 利用しているOS、アプリ、業務ツールのバージョンを把握する
- メーカーや開発元のサポート終了日を確認する
- セキュリティ更新を適切に適用する
- 更新前にバックアップを取り、互換性や動作を確認する
- 古いシステムについては移行計画を検討する
特に業務システムやRPAツールは、更新によって連携先や既存処理に影響が出る場合があります。安全性と業務への影響を確認しながら、計画的に更新することが重要です。
まとめ
セキュリティ対策は情報を守るためだけでなく、サービスや業務を継続するためにも必要です。今回のPHPの問題を機に、普段利用しているソフトウェアのサポート期限や更新状況を確認してみてはいかがでしょうか。
櫻テクノロジーズでは、RPA・DX・業務自動化などのIT支援を行うとともに、ITに関する情報や清瀬市の地域情報を発信しています。