PHP大混乱！Webサイトが次々と停止
私たちが日々接しているインターネット、最近では「ネットに繋ぐ」ということを意識せずに使っています。EC通販で買い物をしニュースサイトを見て検索で調べる、行政サービスを調べて利用し、旅行や交通機関の予約を行う。
これらWebサイトの大半には、PHPというユーザーの反応に応じて動的にWebページを組み立てて表示する仕組みが使われており、これのお世話になっていない人はいないとまで断言することができます。
会員サイトのログインもPHPが使われていますし、商品をカートに入れるのもそうです。ただのWebページ、これも今やブロック構造で作られており、これらを組み合わせるのにPHPは使われています。
当然、このWebサイトのBlogでもPHPは使われており、ヘッダーやフッターにサイドメニューやランキングなど、全て別々に作ってPHPが組み合わせて配置しています。
つまりは、Web上にサイトを持っている企業や個人であれば、PHPは関係無いとは言えないのですね。
現在、そのインターネットの裏側で前代未聞のパニックが起きています。ウェブサイトの構築に広く使われているプログラミング言語「PHP」に、最悪の深刻度とされる脆弱性が見つかりました。
この欠陥が悪用されると、悪意ある第三者にサーバーを完全に丸ごと乗っ取られる恐れがあります。このため、世界中で大騒ぎになっているわけです。
予防措置として、国内でも自治体の検索サービスが停止したほか、金融機関の申込フォーム、大手ECサイトや各種アプリが緊急メンテナンスに追い込まれるなど、私たちの暮らしに直結するサービスが一時ストップする事態となっています。
ここのところ、大手企業のサイトが次々とハッキングされて個人情報の漏洩が社会問題となっていましたから、それに輪をかけて危機感が増幅されたのでしょう。
情報の流出とフライングでパニックに
ただ、PHPにはたびたびこういった脆弱性が見つかることはあり、定期的にVerアップをしてきています。これまでは完全な裏方でシステム管理者だけが知っていることで、一般の人を対象にしたニュースになることは無かったのに、なぜ今回に限って？
通常であれば、PHPの上位Verが出てもそのサイトを動かしているWordpressなりEC-CUBEといったアプリケーションがそのPHPの新Verに対応できていないと動かなくなることがあるため、すぐにはPHPのVerアップはしません。
メジャーなアプリケーションであれば、そのうち新しいPHPに対応してくるのですが、スキンといった上にかぶせるデザインなどでは、PHPのVerを上げると表示できなくなるといったことはザラにあるのです。ですから、PHPのVerアップには慎重にならざるを得ません。
今回のPHP問題に関しても、このBlogの組み合わせが全体でVerアップしても問題が無いかをGeminiとCopilotに訊いてみたところ、動作保証対象外だが動くらしいということでPHP8.4にアップデートしています。以前、Verアップで動かなくなり慌てて戻したこともあるのです。
このように、システム管理者は常に気にしている部分でもあり、定期的にVerアップを行ってはいるのです。それなのになぜ、今回は一般ニュースにもなりパニックが大きくなっているのでしょうか。
その原因は、技術的な危険度だけではなく対応のプロセス自体にも大きな混乱があったことにあります。
公式から本来予定されていた公開日時より前にSNS等で情報が拡散され、攻撃手法の検証動画が誤って出回ってしまう事態が発生しました。
一部の海外セキュリティ企業が、合意されていた時間より6時間以上早く修正版をフライング公開してしまい、これにより世界中のシステム担当者が準備を整える前に、ハッカー側に「脆弱性のヒント」を与えてしまうという最悪の展開を招き、対応現場は完全に不意を突かれる形となりました。
これにより現場のアプリの開発元や、独自にシステムを開発している企業などが大混乱に陥り、安全のため緊急メンテナンスでWebサイトを一時停止するということになっています。
そうなると、私たちの社会生活にも大きな影響を及ぼし、企業経営者なども「PHP何だそれ？知らない！」と言っているわけにはいかなくなり、うちのWebサイトはどうなってるかと気にする必要があることから、大きく一般ニュースにもなったわけです。これで気にしない経営者は情弱の老害、今の時代には失格だよね。
注意！便乗詐欺メールの増加
このPHPの重大脆弱性の問題、私たちにはどのように降りかかってくるのでしょうか。「自分はエンジニアじゃないから関係ない」と思っている方こそ、ここからが本題です。
実際のところ、Webサイトを独自の社内システムで構築していなければ、それほど重大で深刻な問題ではありません。PHPのアップデートはサーバー管理画面にログインして数分で終わるからです。
システムが動かないと、ちょっと手こずるカモですが。PHP8.4や8.5に上げなくても、PHP8.3にしておけば今のシステムは動くはずで、問題は無いはずです。
PHPをVerアップしてサイトの再開が進む一方で、最も危惧されるのがこのニュースに便乗した詐欺メール（フィッシングメール）の爆発的な増加です。
重大なセキュリティ問題が報道され、多くの人が「早く更新しなければ」と焦っている状況は、フィッシング詐欺などの格好のターゲットとなります。
ハッカーや詐欺グループは、世の中がセキュリティの話題で不安になっているタイミングを絶対に逃しません。今後数週間～数ヶ月にわたり、以下のようなメールやSMSが大量に出回ることが予測されます。
- 【重要】〇〇銀行：PHP脆弱性対応に伴うパスワード再設定のお願い
- 〇〇サービス：不正アクセスにより個人情報が流出した可能性があるため、至急アカウントを確認してください
- 緊急メンテナンス完了に伴う、クレジットカード情報の再登録について
これらは一見、本物の企業からの大切な案内に見えますが、記載されたURLをクリックすると偽のログイン画面に誘導され、IDやパスワード、カード番号などを盗み取られてしまいます。
ただでさえ、ここ最近はAI攻撃による大量の情報流出により個人情報がダダ漏れとなっているせいか、詐欺メールが増えてきています。絶対に公表されている企業以外からも漏れているよね、というような数で各企業に登録してあるメアドに詐欺メールがきています。
これだけ情報漏洩の企業が多いと、もうどこの企業から漏れたものかは判らないことから、責任の追及のしようもありません。
怪しい詐欺メールの注意すべき危険なポイント
まず基本的なことですが、メールに記載のURLはクリックしないというのが鉄則です。自分がパスワードクリアや再設定で要求したメールでない限り、見知らぬメールのURLは絶対にクリックしてはいけません。
銀行やEC通販、宅配会社などよく使うサイトのURLはブックマークしておくか、専用アプリや検索から飛ぶようにすることを習慣づけておきます。
これURLを踏んでしまいますと、URLの末尾には「?nfh6j=gmt00epb」といったような「?」で始まる個人を識別する文字列が記載されていることがあります。これは、攻撃者が「誰がリンクを踏んだか」を識別したり、セキュリティフィルターを回避したりするために付加しているケースが多く見られるためです。
以前はリンク先のURLには、独自ドメインで意味の無いランダムな文字列が使われていて判りやすかったのですが、最近ではGoogle Drawings（Google 図形描画）といったGoogle公式サービスを使い作成したページを悪用して、最終的に詐欺サイト（偽のセキュリティ警告、悪質な広告、ウイルス感染を騙るサイト）へリダイレクトさせる手口が急増しています。
開くと「私はロボットではありません」といった、人間かどうかを確認する画面（reCAPTCHA）が表示されるか、あるいはそれに偽装したページが表示されることからも、正規のWebサイトと勘違いしてしまう可能性があります。。
• 絶対にこれ以上の操作（クリックや「許可」ボタンの押下）はしないでください。
• すでにページを開いてしまった場合は、何も押さずにそのままブラウザのタブを閉じてください。
• 万が一、「通知を許可しますか？」というブラウザのポップアップで「許可」を押してしまった場合は、ブラウザの設定から該当URLの通知許可を取り消（ブロック）してください。
騙されないための防衛策
私たちはどのように身を守ればよいのでしょうか？ 以下の3原則を徹底してください。
1. メールのリンクは「絶対に」直接開かない
どんなに本物らしく見えるメールでも、本文中のリンク（URL）をそのままクリックしてはいけません。
2. 公式アプリや「事前のブックマーク」からアクセスする
アカウントの確認やパスワード変更を行う場合は、スマホの公式アプリを開くか、あらかじめ自分が登録しておいたブラウザの「お気に入り（ブックマーク）」から公式サイトへアクセスしてください。
3. 「至急」「本日中」などの脅し文句はまず疑う
詐欺メールは「今すぐ対応しないと口座を凍結する」などと不安を煽り、冷静な思考を奪おうとします。重大なニュースが出たときほど、一呼吸置いて公式発表を確認する癖をつけましょう。
まとめ
今回のPHP脆弱性問題は、インターネットの歴史に残るレベルの重大な事件です。しかし、私たち一般ユーザーがやるべきことはシンプルです。
「セキュリティのニュースで騒がれている時こそ、届いたメールのURLは絶対に信じない」
この鉄則を家族や同僚とも共有し、便乗詐欺の被害に遭わないよう、冷静にネットライフを送りましょう。
2026年10月21日、PHPの重大な脆弱性に対応する修正版が公開されました。
今回の問題は、条件によっては認証なしで外部からコードを実行される可能性がある重大なもので、国内でも政府機関から速やかな対応を求める注意喚起が出ています。
そのため現在、
「PHPを更新しなければならない」
「自分のWordPressは大丈夫なのか？」
「レンタルサーバー側で対応してくれるのか？」
と不安になっているWebサイト運営者も多いと思います。
しかし、ここでもう一つ注意したいことがあります。
今後、「PHP脆弱性」を口実にした詐欺メールが出てくる可能性があります
これは今回、そのような詐欺が大量発生していると断定する話ではありません。
むしろ注意したいのはこれからです。
たとえば今後、次のようなメールを受け取ったとしても、慌ててリンクを押さないようにしてください。
PHPの重大な脆弱性が確認されました
お客様のサーバーが対象となっています。
24時間以内にセキュリティ更新を実施してください。
あるいは、
WordPressサイトが攻撃対象になっています
下記よりPHPセキュリティアップデートを実行してください。
こうした文面が届けば、今回のニュースを知っている人ほど、「あっ、あのPHPの件だ！」と思ってクリックしてしまうかもしれません。しかし、その心理こそ注意が必要です。
なぜ今回は特に注意したいのか
今回修正されたPHPの脆弱性は2件あり、いずれもCVSS v4.0で9.2と評価されています。修正版としてPHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されたと報じられています。
国家サイバー統括室も2026年10月21日、対象となるPHPを利用している組織やWebサイト管理者に対して、更新プログラムを速やかに適用するよう注意喚起しています。
さらに、レンタルサーバー利用者と自分でVPSなどを管理している人では、必要な対応が異なります。
共有レンタルサーバーなどでは事業者側がPHPの保守を担う場合がある一方、自主管理のVPSや専用サーバーでは管理者自身による対応が必要になります。つまり、「本当に緊急のセキュリティ問題が発生している」ということです。
だからこそ、偽の警告が作られた場合に、本物と見分けにくくなることを警戒する必要があります。
「PHPを更新してください」というメール、そのまま信用しない
ここが今回の記事で一番伝えたいところです。仮に契約しているレンタルサーバー会社から、「PHPを更新してください」というメールが届いたとしても、メール本文のリンクをそのままクリックする必要はありません。まず落ち着きましょう。
メールを閉じて、普段利用しているブックマークや検索などからレンタルサーバー会社の公式サイトへ自分でアクセスし、公式のお知らせを確認してください。
これだけでも、メールに掲載された偽サイトへ誘導されるリスクを減らせます。
特にこんなメールには要注意
1.「24時間以内」などと異常に急がせる
「本日中に対応してください」
「アカウントを停止します」
「24時間以内に更新しなければサイトが停止します」
このように、人間を焦らせて正常な判断をさせない文章には注意してください。
2. メールからサーバーのログインを要求される
リンクを開いた先に、レンタルサーバーのIDパスワード、WordPressのID、WordPressのパスワード、クレジットカード情報などを入力する画面が表示されたら、いったん操作を止めましょう。
3. 「PHPセキュリティ更新ファイル」をダウンロードさせる
添付ファイルやZIPなどを、「緊急PHPパッチ」などと称して実行させようとするメールも警戒してください。特に「セキュリティ対策だから安全だろう」と思い込まないことが大切です。
WordPressを使っている人は特に混同しないように
今回の問題で間違えやすいのが、WordPressのアップデート＝今回のPHP脆弱性への対応ではないという点です。
今回問題になっているのはWordPressのプラグインではなく、その下で動いているPHP本体です。WordPressやプラグインを更新するだけでは今回のPHP本体の問題は解消されません。
一方で、だからといって、メールに書かれた「PHPを更新する」ボタンを押せばよいわけでもありません。契約しているレンタルサーバー会社の公式情報を確認して、自分の環境でどのような対応が必要なのかを確認することが重要です。
レンタルサーバー利用者は「自分で何かしなければ」と焦らない
今回の件で不安になっている人ほど、「早くPHPをアップデートしないと！」と思ってしまうでしょう。
しかし共有レンタルサーバーなどでは、PHPの保守や更新をサービス事業者側が担当しているケースがあります。逆にVPSや専用サーバーなど、自分でPHPを管理している環境なら、管理者による対応が必要となります。
したがって最初に確認することは、「自分が契約しているサービスでは誰がPHPを管理しているのか」です。
メールのリンクから対応するのではなく、契約中のサーバー会社の公式サイト、管理画面、公式サポート情報から確認しましょう。
今回の混乱で覚えておきたい「3つの原則」
私は今回、サイト運営者には最低でも次の3つを覚えておいてほしいと思います。
①「緊急」と書かれていてもメールからリンクを開かない
本当に重要な連絡であっても、メール本文から直接アクセスする必要はありません。
公式サイトへ自分でアクセスしましょう。
② 怖い文章ほど、一度立ち止まる
「脆弱性があります」
「攻撃されています」
「サイトを停止します」
「至急アップデートしてください」
こうした文章を見た瞬間に操作するのではなく、まず本物か確認する習慣をつけることが重要です。
③ PHPの確認と詐欺対策は別々に考える
今回のPHP問題そのものは重大です。
だからこそ、「詐欺が怖いからPHP更新の通知を全部無視する」という判断も危険です。
正しくは、メールは疑う。しかし公式情報は確認する。この2つを同時に行うことです。
「本物の緊急事態」だからこそ詐欺に警戒しよう
今回のPHP脆弱性については、対象となるWebサイト運営者は冷静かつ迅速に対応する必要があります。
しかし、セキュリティ対策で一番危険なのは、「急がなければ！」という気持ちによって確認を飛ばしてしまうことではないでしょうか。
今後、
「PHP緊急アップデート」
「WordPress脆弱性」
「サーバーが攻撃されています」
「セキュリティ更新が必要です」
といったメールが届いても、まず一呼吸。メールに記載されたリンクを頼るのではなく、契約しているサービスの公式サイトから情報を確認してください。
そして今回のPHP問題について自分のサイトが対象なのか分からない場合も、ネット上の断片的な情報だけで判断せず、利用しているサーバー会社の公式発表を確認することをおすすめします。
セキュリティ情報は「知らない」のも危険ですが、「知って焦る」のも危険です。
今回のPHP脆弱性を、自分のWebサイトだけでなく、詐欺メールへの向き合い方を見直すきっかけにしてみてはいかがでしょうか。
