PHPってなに？ 脆弱性のニュースで、私たちに何が起きるのか

PHP（ピーエイチピー）は、ホームページを裏側で動かしているプログラムの一種です。
お問い合わせフォームや、ブログの記事一覧のように、見る人や時間によって中身が変わるページは、だいたいPHPが作っています。

動いている場所は、みなさんのスマホやパソコンではありません。サイトを置いている「サーバー」というコンピューターの中です。

PHPは、世界中のホームページで最も広く使われている仕組みです。
調査会社W3Techsによると、仕組みが分かるサイトのうち約7割（70.3%）がPHPで動いています（2026年8月）。
会社のホームページでよく使われるWordPress（ワードプレス）も、PHPの上で動いています。

2026年10月21日、PHPの開発元が「緊急」の欠陥2件を直した新しいバージョンを公開しました。通称「php2shell」です。
この欠陥を突かれると、外の人が、パスワードなしで、サーバーに勝手な命令を実行できてしまうおそれがあります。
たとえるなら、世界中の多くの建物が同じメーカーの鍵を使っていて、その鍵に欠陥が見つかったような状況です。
開け方が知られてしまうと、外の人が中に入って勝手に操作できます。だから、世界中で一斉に対応が必要になりました。

直したバージョンが出たのは、8.2・8.3・8.4・8.5の4つです。
それより古い8.1以前は、すでに公式のサポートが終わっていて、通常の修正版はありません。
鍵でいえば、メーカーがもう直したものを作っていない古い型です。新しい型への入れ替え（移行）が必要になります。

安心してください。スマホやパソコンでホームページを見るだけなら、みなさんが何かをする必要はありません。
PHPが動いているのは、サイトを置いているサーバーの側です。みなさんのスマホにPHPが入っているわけではありません。

ただし、見ているサイトが乗っ取られていると、怪しいページに飛ばされることがあります。見覚えのない警告や、急なログイン画面が出たら、入力せずに閉じてください。

対応が必要なのは、会社やお店のホームページ、ネットショップ、予約サイトなどを運営している側です。
自分でサーバーを契約していなくても、制作会社やレンタルサーバーの上でPHPが動いているなら、関係があります。

サーバーの中に入られると、こんなことが起きる可能性があります。

・ホームページの中身を書き換えられる
・見に来た人を、偽のサイトやウイルスのページへ飛ばされる
・お問い合わせの内容や会員情報などを抜き取られる
・迷惑メールの送り元や、ほかのサイトを攻撃する踏み台にされる

どれも、お客様や取引先からの信用に直接関わります。そして、気づくのはたいてい誰かに指摘されてからです。

いちばん大事なのは、PHPを直したバージョンに更新することです。欠陥のある鍵を、直した鍵に付け替える作業です。
多くのレンタルサーバーはすでに修正を当てていますが、契約の内容によっては自分で切り替える必要があります。古い8.1以前を使っている場合は、新しいバージョンへの移行と、それに合わせたWordPressやプラグインの更新もセットで考えます。

どれだけ気をつけても、絶対はありません。だから、元に戻せる状態を持っておくことが大切です。
「取っているはず」ではなく、「いつの時点のものが、どこにあって、誰が戻せるか」まで確かめておくと安心です。

公開から5時間で攻撃が来る。AIが変えた、ホームページの守り方