先生～！ニュースで「PHPに重大な脆弱性」って見たんですけど、うちのホームページも関係ありますか？

WordPressで作ったサイトなら、ほぼ確実に関係あるのじゃ。
特に、PHPのバージョンが古いままのサイトは要注意じゃぞ。

えっ…！バージョンなんて気にしたことなかったです～T T

PHPの重大な脆弱性「PHP2Shell」とは？

PHPは、ホームページをサーバー上で動かすためのプログラム言語です。
WordPressもPHPで動いており、世界のWebサイトのおよそ7割で使われています。

2026年10月、このPHP本体に深刻度「緊急」の脆弱性が2件見つかりました。
通称「PHP2Shell（ピーエイチピー・ツー・シェル）」と呼ばれています。

PHP2Shellのポイント

■ ログインしなくても、外部からサーバー上でプログラムを実行される恐れがある
■ サーバーのメモリから、パスワードなどの情報を読み取られる恐れがある
■ PHP 5.4以降、10年以上にわたるほぼすべてのバージョンが対象

2026年10月21日に修正版が緊急公開されましたが、修正版が出る前から、すでに攻撃が確認されていました。

国内でも、サイトを一時停止したり、緊急メンテナンスを告知したりする企業が相次いでいます。

「WordPressを更新すれば大丈夫」ではない

今回の脆弱性は、WordPressやプラグインではなく、その土台であるPHPそのものにあります。

ホームページを建物にたとえると、PHPは「基礎」、WordPressは「建物」、テーマやプラグインは「内装や設備」のようなものです。
建物をいくらリフォームしても、基礎にヒビが入ったままでは安心できませんよね。

つまり、WordPressを最新にしていても、PHPが古いままでは対策にならないのです。

特に危ないのは「PHP 8.1以前」のまま放置しているサイト

PHPの公式な修正版が出ているのは、現在サポートが続いている4つのバージョンだけです。

では、PHP 8.1以前を使っているサイトは、今まさに危険な状態なのでしょうか？

多くのレンタルサーバーは、古いPHPにも独自に修正を適用

今回は影響が大きいため、エックスサーバーやお名前.com レンタルサーバーなど、多くの大手レンタルサーバーでは、公式サポートが終了した古いPHP（5系〜8.1）にも、サーバー会社が独自に修正を適用しています。

これらのサーバーで古いPHPを使っている場合も、今回の脆弱性については、ひとまず対策済みです。

ただし、次の点には注意が必要です。

特に最後の点は見落としがちです。

バージョン番号だけで「危ない」「大丈夫」と判断せず、契約しているサーバー会社のお知らせを必ず確認しましょう。

「今回は大丈夫」でも、古いPHPのままが危ない理由

じゃあ、古いPHPのままでも大丈夫なんですね！

今回はサーバー会社が助けてくれたが、次も同じとは限らんぞよ。

今回の修正は、影響があまりに大きかったからこその「緊急対応」です。
公式サポートが終わったPHPには、本来、セキュリティの修正は出ません。

サーバー会社自身も「応急的な対応」としており、今後また別の脆弱性が見つかったとき、同じように修正してもらえる保証はないのです。

また、PHP 8.2も2026年12月31日で公式サポートが終了する予定です。
「今は大丈夫」なうちに、計画的にバージョンアップを検討しておくのが安心です。

古いPHPのまま残っているサイトには、次のような共通点があります。

■ 「今ちゃんと動いているから」と、何年も触っていない
■ 作ってくれた制作会社と連絡が取れなくなっている
■ 誰がサーバーを管理しているのか分からない

思い当たる方は、今回を機に一度見直してみてください。
放置サイトのリスクについてはこちら

自分のサイトのPHPバージョンを確認する方法

WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。

レンタルサーバーの管理画面にある「PHPバージョン設定」などのメニューでも確認できます。

PHPを上げると、サイトが表示されなくなることも

じゃあ、管理画面でPHPのバージョンを上げればいいんですね！

ちょっと待つのじゃ！古いサイトほど、いきなり上げると危ないぞよ。

古いテーマやプラグインは、新しいPHPに対応していないことがあります。
そのままバージョンを上げると、次のようなトラブルが起きることがあります。

特に、何年も更新していないサイトや、独自にカスタマイズしているサイトほど起きやすくなります。

そのため、制作会社がPHPのバージョンアップを行う場合は、バックアップを取り、事前に動作を確認してから本番に反映するのが一般的です。

動かなくなったテーマやプラグインがあれば、更新や修正、代わりのプラグインへの入れ替えなども必要になります。

「ボタン1つで終わる作業」に見えて、実はサイトの状態によって手間が大きく変わる作業なのです。

更新した後も確認しておきたいこと

今回は修正版の公開前から攻撃が始まっていたため、PHPの更新や修正の適用が済んだ後も、念のため次の点を確認しておくと安心です。

また、サーバーのメモリからパスワードなどを読み取られる恐れがあるため、WordPressやサーバーのパスワードを変更しておくとより安心です。

※WordPressやプラグインを長く更新していない場合は、こちらもあわせてご確認ください。
WordPressを更新しないとどうなる？

まとめ

この記事のポイント

■ PHP2Shellは、PHPそのものにある重大な脆弱性
■ WordPressを更新するだけでは対策にならない
■ 古いPHPは今回修正されても、今後も修正される保証はない
■ 古いサイトほど、PHPのバージョンアップでトラブルが起きやすい

うちのサイト、PHPが古いままだったらどうしよう…

心配なときは、まず管理している人やプロに状況を確認してもらうのが一番じゃ。
「誰が見て、誰が対応するか」を決めておけば、次に何かあっても慌てずに済むぞよ。

あそびラボでは、WordPressサイトのPHPバージョンアップや保守のご相談を受け付けています。
「うちのサイトは大丈夫？」という確認だけでも、お気軽にご相談ください。