こんにちは。ウチです。

先日、サブPCの買い替えを検討してネットサーフィンをしていたら、緊急メンテナンスの表示を出しているサイトが、やけに多いことに気づきました。

事の重大さに気づいて、私のブログが動いているConoHa WINGの案内を確認しました。そして、バックアップだけ取って、サーバー側の対応を待ちました。

この記事では、そもそもPHPとは何なのか、なぜ今回の問題がここまで大きな話になったのかを、できるだけやさしく整理します。そのあとで、個人ブログへの影響と、私が実際にやったことを書きます。

先に、この記事の線引きをしておきます。

• 私が体験として書くのは、ConoHaの案内を確認したこと、バックアップを取ったこと、サーバー側の対応を待ったことです。
• ConoHaの対応については、ConoHa WINGが2026年10月22日に案内した「PHPの脆弱性への弊社対応について」と、その後の報告を参考にしています。
• 脆弱性そのものについては、PHP Foundation、米CISA、セキュリティ企業の解説などで伝えられている内容を、私なりにまとめました。細かい数字や条件は、変わったり、見方が分かれたりすることがあります。

私は専門家ではないので、分かりやすさを優先して言葉を選んでいます。正確な情報は、公式の発表もあわせて見てください。

そもそもPHPって何？

PHPは、Webサイトの裏側で動いている、プログラミング言語のひとつです。

WordPressでブログを書いている人は、気づかないうちにPHPを使っています。読者が記事を開くと、WordPressがPHPを使って、記事の文章や設定をデータベースから取り出し、ページを組み立てて表示しています。

ここでは、次の3点だけ押さえてもらえれば十分だと思います。

• PHPは、サイトの裏側（サーバーの中）で動く仕組みです。
• WordPressは、PHPを使ってページを作っています。
• だから、PHPに問題が見つかると、WordPressを動かしているサーバーの安全性に関わってきます。

なぜPHPの問題で、ここまで大きな騒ぎになったの？

2026年10月21日（日本時間23時）に、PHPの開発元から、PHP本体の重大な脆弱性を修正した版が公開されました。

脆弱性とは、悪用されるおそれのある、プログラムの弱点のことです。

調べた範囲では、今回は2つの脆弱性（CVE-2026-109618、CVE-2026-109619）がまとめて修正されたと伝えられています。一部のセキュリティ企業などでは「PHP2Shell」という通称でも呼ばれているようです。この記事では、基本的に「PHPの重大な脆弱性」と書きます。

大きな騒ぎになった理由として、次のような点が挙げられていました。

• ログインしていない人でも、外部からサーバー上でプログラムを実行される可能性があるとされたこと。これは「リモートコード実行」と呼ばれる種類の問題です。もし悪用されると、サイトの改ざんや、データの盗み出しなどにつながるおそれがあります。深刻度は、評価の中でも最高ランクの「Critical」（CVSS 4.0の基本値9.2）とされています。
• PHPがとても広く使われていること。PHPはWebサイトの約7割で使われている、と言われることがあります。ただし、これは調査会社の集計による「利用率」の目安で、集計方法によって数字は変わります。「今回の問題が、世界のサイトの7割に直接影響した」という意味ではありません。
• 古くから存在していた弱点とされていること。10年以上前から存在し、PHP 5.4以降の広いバージョンが影響を受けると伝えられています。ただし、実際の影響の出方は、PHPのバージョンだけでなく、Webサーバーの構成や設定にも左右されるようです。
• 各国の公的機関が注意を呼びかけたと伝えられていること。アメリカのCISAや、日本のIPAなどが警告を出したとされています。海外では、すぐに対策できない場合は、システムをオフラインにすることも検討するよう呼びかけた例もあるようです。

補足として、AIを使った解析が、この問題の発見や検証に関わったとも伝えられています。AIがセキュリティの世界にも入ってきていると思うと、興味深い話です。ただ、どの段階でどう使われたのかは、私は詳しく確認できていないので、ここでは触れるだけにします。

なお、対処の基本は、修正版への更新です。サーバー会社が修正を適用する形もあります。一時的な緩和策も案内されているようですが、環境に合わせた専門的な判断が必要なので、この記事では取り上げません。

「弱点が見つかったこと」と「被害が出たこと」は別

「重大な脆弱性」と聞くと、すべてのサイトが被害にあったように感じるかもしれません。でも、弱点が見つかったことと、実際に被害が出たことは、分けて考えたほうがよいと思います。

ConoHaの案内には、ConoHa上で被害が出たという記載はありませんでした。機能の一時停止も、「予防的な措置」と説明されていました。

一方で、世の中全体では、悪用を前提とした警戒が呼びかけられていたと伝えられています。「被害が出ていないなら大丈夫」とは言い切れず、だからこそ、対応を急ぐ事業者が多かったのだと思います。

私が見かけた緊急メンテナンスの表示が、すべて今回の件によるものだったかどうかは、確認できていません。

ConoHa WINGの対応の流れ

ConoHaの案内によると、修正版が公開されたあと、サーバーへのセキュリティパッチの適用が順次進められました。10月21日以降、緊急メンテナンスや、ファイルマネージャー・Webメールの一時停止が案内されていました。

10月22日の流れは、次の通りです。

• 最初の案内：パッチを順次適用中。ファイルマネージャーとWebメールは、予防的に一時停止。Webサイトの表示とメールの送受信は、通常どおり利用可能
• 第2報（18時時点）：パッチの適用は継続中。Webメールとファイルマネージャーは再開。phpMyAdminは停止が続き、12時から21時までの予定の緊急メンテナンスも続行中
• 完了の連絡（20時45分時点）：パッチの適用がすべて完了。phpMyAdminも再開。緊急メンテナンスは、予定より少し早い20時45分に終了

聞き慣れない機能もあるので、簡単に説明します。

• ファイルマネージャー：ブラウザーからサーバー上のファイルを操作する機能
• Webメール：ブラウザーでメールを読み書きする機能
• phpMyAdmin：ブログの記事などが保存されているデータベースを管理する道具

「Webメールが止まる」ことと、「メールの送受信そのものが止まる」ことは、別のことです。見る側にはいつもどおりでも、運営側の管理機能には制限がかかる。そんな緊急対応の形もあるのだと知りました。

個人ブログへの影響：誰がPHPを直すの？

ここで気になるのが、「WordPressを使っている人は、自分でPHPを直さないといけないの？」という点です。

これは、サーバーの契約形態によって変わると思います。

• ConoHa WINGのようなレンタルサーバーでは、PHPのある環境をサーバー会社が管理しています。今回も、ConoHa側で修正が適用されました。
• VPSなど、自分でサーバーを管理している場合は、自分でPHPを更新する必要が出てくる可能性があります。

また、WordPress本体やプラグインの更新と、サーバー側のPHPの修正は、別の作業です。WordPressのプラグインを更新しても、サーバーのPHPそのものが直るわけではないので、そこは混同しないほうがよさそうです。

ConoHaの案内には、利用中のPHPバージョンを維持したまま、ConoHa側で修正を適用するため、利用者がPHPバージョンの変更などをする必要はない、と書かれていました。

この案内は、ConoHa WINGの場合の話です。他のサーバーを使っている方は、契約先の案内を確認してください。

私が実際にやったこと

私のブログの環境は、次の通りです。

• レンタルサーバー：ConoHa WING
• CMS：WordPress
• テーマ：自作テーマ

今回やったことは、とても地味です。

• ConoHaからの連絡を確認した
• メンテナンスで対応中とのことだったので、静観した
• バックアップだけ取った

勝手にアップデートなどをするのは危なそうだと思ったので、基本的にはサーバー側の対応を待つことにしました。

これは、「アップデートは避けたほうがいい」という意味ではありません。サーバー会社が利用者に操作をお願いしている場合は、その案内に従う必要があると思います。私のケースは、サーバー側で対応する案内だった、というだけです。

また、バックアップを取っても、脆弱性そのものが直るわけではありません。あくまで、何かあったときに戻すための備えです。

私自身は設定を変えず、手元で行った作業はここまでです。ConoHaの完了の案内は、10月22日の20時45分でした。

PHPのバージョン番号が変わらなくても大丈夫？

ConoHaの完了の連絡で、特に覚えておきたいと思ったのが、バージョン番号の話です。

ConoHaは、PHPのバージョンを上げるのではなく、いま使っているバージョンのまま、修正プログラムだけを取り込む方法で対応したそうです。

そのため、WordPressの「サイトヘルス」などでPHPのバージョンを見ても、開発元が公開した修正版の番号にならず、これまでと同じ番号が表示される場合があります。案内では、8.5.12ではなく8.5.11のまま表示される、という例が挙げられていました。

数字が変わっていないからといって、まだ直っていないとは限らないんですね。ConoHaは、提供中のすべてのPHPバージョンに修正を適用済みと案内しています。

ただし、「今回の修正が入ったこと」と「古いPHPを、この先もずっと使ってよいこと」は別の話です。使っているバージョンのサポート状況は、ときどき確認しておくと安心だと思います。

今後の付き合い方

次に似たことが起きても、まずは契約先の公式案内を見るところから始めようと思います。確認したいのは、たとえば次のような点です。

• 自分が使っているサービスやプランが、対象になっているか
• 利用者側に必要な操作があるのか、事業者側で対応するのか
• サイトの表示、メール、管理機能のうち、何が影響を受けているのか
• 対応中なのか、完了したのか。その案内はいつ時点のものか

設定を変える前には、バックアップを取っておきたいです。取るだけでなく、いざというときの戻し方も確認しておけると、もっと安心だと思います。

自作テーマを使っているので、今後PHPのバージョンを変えるときは、表示だけでなく動きも確かめながら進めたいです。

まとめ

PHPは、WordPressをはじめ、多くのWebサイトの裏側で使われているプログラミング言語です。

その共通の土台に、外部から不正にコードを実行されるおそれのある重大な弱点が見つかり、各国の公的機関も注意を呼びかけたと伝えられています。緊急メンテナンスが目立った背景には、そんな事情があったのだと思いました。

ただし、メンテナンスや機能の停止は、そのまま被害の発生を意味するわけではありません。ConoHaでも、一部機能の停止は予防的な措置とされていました。

私がやったのは、案内を確認して、バックアップを取って、サーバー側の対応を待つことです。少なくとも今回は、利用者がPHPのバージョンを変える必要はないという案内に沿って動きました。

仕組みのすべてを理解するのは難しくても、「何が起きていて、自分は何をすればいいのか」を確かめるところからなら、少しずつ取り組めそうです。

今回も読んでくれて感謝。超謝謝