PHPの脆弱性、何をすれば良い？社長の確認とClaudeへの聞き方

何が起きたのか｜昨日から今朝までの公の動き

PHP（ピー・エイチ・ピー）は、ホームページの裏側で動いているプログラムの言葉です。WordPressもPHPで動いています。ニュースでは、PHPがウェブサイトの約7割で使われていると報じられました。

今回見つかった欠陥は2件です。深刻度の目安（CVSS）は、2件とも10点満点中9.2とされています。欠陥を突かれると、ログインしなくても外からサーバーを操られ、サイトの改ざんや情報の流出につながるおそれがあります。ニュースでは「php2shell」という呼び名でも紹介されています。

昨日から今朝までの公の動きを、時刻の順に並べました。

出典：PHP公式サイト／IPA「事前準備のお願い」（2026年10月21日）／さくらインターネット 緊急メンテナンスのお知らせ／ITmedia NEWS（首相の投稿）／ITmedia NEWS（各社の対応）。修正版の公開時刻は報道によって幅があるため「21日の夜」としています。

国内の被害は？｜10月22日朝の時点

大きな会社のサービスが止まったと聞くと、もう被害が出ているように感じます。報道を読むと、止めた理由は「念のため」です。修正が済むまで、扉を閉めておいたという判断です。

一方で、攻撃の動きがすでに始まっているという報告もあります。攻撃の観測は数時間から数日遅れて公表されるのが普通なので、「報告がない＝被害がない」とまでは言えません。だからこそ、心配しすぎず、やるべき確認だけは今日のうちに済ませておく。それで十分だと私は考えています。

うちのサイトは対象？｜見分け方

「うちはWordPressだったかな？」と分からないことも多いと思います。実際に今朝、お客様から同じ質問をいただきました。URLを教えていただき外から調べたところ、WordPressではありませんでした。ただ、お問い合わせフォームとお知らせのページはPHPで動いていたので、制作会社に修正の状況を聞いていただくようお伝えしました。

自分で確かめるなら、サイトのURLの後ろに「/wp-admin」を付けて開いてみてください。WordPressのログイン画面が出れば、WordPressのサイトです。Claudeに「このサイトはWordPressで作られていますか？」とURLを渡して聞く方法もあります。

社長がやることは3つ｜自社サイトで実際にやった時刻

私の会社のホームページ（ytbs.jp）は、さくらインターネットのレンタルサーバーでWordPressを使っています。私自身、昨夜はニュースで知ったばかりで、最初にやったのは、Claudeに「PHPのセキュリティって何ですか？」と聞くことでした。そこから先の流れが下の表です。

私の環境では、Claudeがブラウザを操作できるようにしているので、管理画面の確認やバックアップもClaudeに任せました。ただ、そこまでしなくても大丈夫です。画面を見て、番号を読むだけで確認はできます。

①確認：PHPの番号を見る

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」の順に開くと、「PHP バージョン」という欄があります。ここの番号が、下のいずれか以上なら修正済みです。

出典：PHP公式サイト（2026年10月21日のセキュリティ情報）

②バックアップ：サーバーの外に置く

修正が済むまでの間に何かあっても戻せるように、バックアップを取っておきます。大事なのは、サーバーの外に置くことです。同じサーバーの中にあるバックアップは、サーバーごと被害を受けると一緒に使えなくなるおそれがあります。WordPressのバックアップ用プラグインには、Google Driveなどへ自動で送れるものがあります。

③見届け：修正版の番号になったか確かめる

サーバー会社の作業が終わると、PHPの番号が修正版に変わります。私のサイトは、翌朝には修正版になっていました。番号が変わっていなければ、サーバー会社のお知らせで作業の予定を確認します。あわせて、WordPressの「ユーザー」の一覧に、見覚えのない管理者が増えていないかも見ておくと安心です。

分からなければClaudeに聞く｜そのまま使える聞き方

今回のようなニュースは、専門用語が多くて、読めば読むほど不安になりがちです。私がやったのは、自分で全部を理解しようとせず、Claudeに「うちの場合は何をすれば良いか」を整理してもらうことでした。社長の代わりに調べて、要点をまとめてくれる相手がいるだけで、落ち着いて動けます。

そのまま使える聞き方を2つ紹介します。

「最新の情報を調べて」の一言が要る理由

生成AIは、ある時点までの情報で学んでいます。何も言わずに聞くと、今回のような昨日の出来事を知らない前提で、一般的な答えを返すことがあります。「最新の情報を調べて」と入れると、Claudeがウェブで今の情報を調べたうえで答えてくれます。答えの最後に出典が付いていれば、念のため開いて確かめると安心です。

貼り付けてはいけないもの

パスワードやログインの情報は、AIに貼り付けないでください。PHPの番号を判定するのに、パスワードは必要ありません。生成AIに渡さないほうがいい情報は、生成AIに入力してはいけない情報の記事にまとめています。

お客様にはこう伝えました

自社サイトの確認が済んだあと、支援しているお客様に連絡しました。伝えたのは、何が起きたか、WordPressの更新では直らないこと、レンタルサーバーならサーバー会社が直すこと、そして確認の目安です。

なかでも大事にしたのが、次の一文です。

私が全部を説明するより、お客様が自分の手で確かめられるほうが、次に同じようなことが起きたときに強いと考えたからです。私がお客様に伝え続けているのは、AIに仕事を丸投げすることではありません。分からないことを、その場で調べて整理できる相手を持つことです。

慌ててやらなくていいこと

• サーバーの設定（php.ini など）を自分でいじる。応急の設定はありますが、効くのは一部だけだとPHP公式も書いています。慣れていない人が触ると、別の不具合の元になります。
• WordPressのプラグインを入れ替える。今回の欠陥はPHPそのものにあるので、プラグインでは直りません。
• サーバー会社の管理画面が開けなくて焦る。10月22日の昼の時点で、私はさくらインターネットにも、ロリポップにも管理画面に入れていません。ロリポップは、修正版が出る前から予防のためにユーザー専用ページなどを止めていると告知しています。さくらは、レンタルサーバーのPHPの更新を22日の朝に終えたと報じられています。管理画面に入れないのは、予防の停止や、多くの人が一斉に確認していることによるもので、それだけでサイトが危ないという意味ではありません。サイトが表示されていれば、時間をおいてからで大丈夫です。
• 自社のサイトが一時的に表示されなくて焦る。10月22日の朝から、一部のレンタルサーバーで「502 Bad Gateway」と表示され、サイトが見られない状態が報告されています。サーバー会社の作業や予防のための停止と重なっていて、攻撃による被害だという報告は、私が調べた範囲では見当たりません。自分で設定を変えると原因が分かりにくくなるので、サーバー会社の障害情報を見て復旧を待ちましょう。復旧したら、トップページ、問い合わせフォーム、管理画面が動くかを確かめます。

これからの備え

• 自社のホームページが何で作られ、誰が管理しているかを知っておく。WordPressか、どのサーバー会社か、制作会社はどこか。ここが分かっていれば、今回の確認はすぐ終わります。
• バックアップをサーバーの外に自動で置く。週1回など、決まった間隔で取れる設定にしておくと安心です。
• 「困ったら聞く相手」を決めておく。制作会社やサーバー会社の連絡先に加えて、Claudeのような生成AIを1つ使い慣れておくと、夜中でも状況を整理できます。

「入られる前提」で考える｜ゼロトラストとパスキー

正直にお伝えすると、今回の欠陥はログインしなくても突かれるものなので、パスワードを強くしたり、パスキーにしたりしても、それだけでは防げません。ただ、今回のことで見えてきたのは、「鍵をしっかりかければ中は安全」という考え方には限りがある、ということです。

私はよく、ホテルに例えてお話ししています。今までの対策は「家」の発想で、玄関の鍵を増やせば中は安全という前提でした。これからは「ホテルの部屋」の発想です。建物の設備に欠陥があれば、自分の部屋でも安全とは言い切れません。だから本当に大事なものは金庫に入れておく。今回でいえば、サーバーの外に置いたバックアップがその金庫にあたります。

この「入られる前提で守る」考え方をゼロトラストと呼びます。中小企業がすぐに全部を整えるのは難しいので、私は「まずはパスキーから」とお伝えしています。メールやサーバー会社、WordPressの管理画面など、ログインする場所のうちパスキーに対応しているものから切り替えておくと、パスワードが盗まれて被害が広がる心配を減らせます（WordPressは、パスキーに対応させるプラグインを使います）。詳しくは中小企業のセキュリティ対策｜生成AI時代はゼロトラストにまとめています。

よくある質問（FAQ）

まとめ