群馬県前橋市 ホームページ制作会社 株式会社ラップル

2026年10月、PHPに「過去最大級」の緊急パッチが出ました

2026年10月21日、PHPの開発チームが2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619、通称「PHP2Shell」）を修正する緊急セキュリティリリースを公開しました。深刻度はCVSS v4.0で9.2（Critical）。ログインなどの認証を一切経ずに、外部からサーバー上で任意のコードを実行できてしまう「リモートコード実行（RCE）」の脆弱性です。

影響範囲は、Webリクエストを処理しているPHP環境すべて（PHP-FPM、Apacheのmod_php、php-cgi、LiteSpeedなど）。つまり、WordPressをはじめ、PHPで動いているホームページはほぼ例外なく対象になります。修正版はPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35で、それより古いPHP 8.1以前には正式な修正版が提供されていません。

すでにCloudflareやPalo Alto Networksが実際の攻撃通信を観測しており、IPA（情報処理推進機構）も日本国内の事業者向けに注意喚起を出しています。IPAは注意喚起の中で、サポートが終了した古いPHPを使い続けているウェブサイトが今も多く見られること、攻撃者が修正公開から極めて短時間で攻撃に移る可能性があることを指摘しています。

「うちのホームページは何年も触っていないから関係ない」——そう思われた方こそ、この記事を最後まで読んでいただきたいと思います。何年も触っていないホームページこそ、今回のような脆弱性の格好の標的だからです。

なぜ「何年も触っていないホームページ」が危ないのか

ホームページは、公開した時点で完成するものではありません。裏側で動いているPHPやWordPress、プラグインには、公開後も次々と脆弱性が見つかり、そのたびに修正版が出ます。修正版を当て続けている限りは安全ですが、止めた瞬間から「穴が開いたまま」の状態になります。

特に問題になるのが、PHP自体のサポート期限です。PHPは各バージョンにおよそ4年の寿命があり、PHP 8.1は2025年末でサポート終了、PHP 8.2も2026年12月31日でセキュリティサポートが終わります。それより古いPHP 7系・8.0は、すでに修正版が出ない状態です。今回のPHP2Shellでは、あまりの深刻さに開発チームが例外的にPHP 7.4〜8.1向けの最小限のソース修正を公開しましたが、これはあくまで「自分でビルドできる人向け」の特例で、通常のレンタルサーバー利用者が自力で適用できるものではありません。

「古いホームページ」が狙われる理由を整理すると、こうなります。

• PHPが古いまま：数年前に制作されたサイトは、当時のPHPバージョンのまま放置されていることが多く、今回のような脆弱性の修正版が存在しない
• WordPressやプラグインが古いまま：2026年7月にはWordPressでも「wp2shell」と呼ばれる重大な脆弱性が公表されており、本体・プラグインの更新を止めたサイトは常に標的になっている
• 誰も見ていない：攻撃者は脆弱なサイトを機械的に探し出し、改ざん・踏み台化・情報の窃取に使う。管理者が気づかないまま、知らないうちに他社への攻撃に加担してしまうこともある

そして最も厄介なのは、攻撃はサイトの規模を選ばないということです。小さなお店や会社のホームページも、大企業のサイトも、攻撃者から見れば「脆弱なPHPが動いているサーバー」という点で同じです。「うちは狙われるほどの会社ではない」という考えは、残念ながら通用しません。

では、どうすればいいのか——2つの考え方

対策の方向性は大きく2つあります。「PHPに頼らない仕組みにする」か、「PHPを使い続けるなら、きちんと更新される環境に置く」かです。

考え方①：そもそもPHPを使わないホームページにする

小さなお店や会社のホームページに、本当にPHPやWordPressが必要でしょうか。会社概要、サービス紹介、アクセス、お問い合わせ、お知らせ——これらのページは、HTMLとCSSだけの「静的なページ」として公開できます。サーバー上でプログラムが動かなければ、PHPの脆弱性そのものが存在しません。今回のPHP2Shellのような騒ぎが起きても、「うちは関係ない」と本当に言えるようになります。

「でも、お知らせやブログの更新ができないのでは？」——以前はそうでした。更新のしやすさと引き換えに、WordPressのような仕組みを入れるのが一般的だったのです。しかし今は、編集画面で更新したものを静的なファイルとして書き出して公開する仕組みが実用的になっており、更新のしやすさと安全性を両立できます。

考え方②：PHPを使うなら、更新され続ける環境に置く

WordPressのプラグインで実現している機能が必要な場合や、作り直す予算や時間がない場合は、PHPを使い続けることになります。その場合に大切なのは、PHPのバージョンアップが確実に行われるサーバーに置き、WordPress本体とプラグインを継続的に更新する体制を持つことです。

古いレンタルサーバーの中には、PHPの選べるバージョンが古いままだったり、サポート終了済みのPHPがそのまま動いていたりするものもあります。契約が長いほど、こうした「放置された環境」になっているケースが少なくありません。今のサーバーで最新のPHPが選べないなら、サーバーごと引っ越すのが現実的な解決策です。

弊社では、この2つの考え方それぞれに対応するサービスをご用意しています。

考え方①の答え：WordPressもPHPも使わない「TEMPLETTA（テンプレッタ）」

TEMPLETTA（テンプレッタ）は、弊社が提供するテンプレート型のホームページ制作サービスです。2026年10月に次世代版（Ver.2）としてリニューアルし、WordPressもPHPも使わず、HTMLとCSSを出力して公開する仕組みになりました。サーバー上でプログラムが動かないため、PHPの脆弱性対応やプラグインの更新に追われることがありません。表示も速くなります。

それでいて、更新はむしろ簡単になっています。

• スマホで押して、ことばで頼むだけ：直したい文字や写真を押して「季節のそばも出しているので、それを入れて」のように頼むと、AIが書き直し案を出します。文字を直接入力して直すこともできます
• お知らせ・ブログはAIが下書き：カテゴリー・写真・予約投稿にも対応。営業時間や定休日は専用の画面から直せます
• 公開前の自動チェックと、前の版への復元：確認してから自分のタイミングで公開。公開後に前の版へすぐ戻せます
• ログインはメールのリンクだけ：パスワード管理も不要です
• お問い合わせフォーム：確認画面・完了ページ・受付メール付き。迷惑送信も防ぎます

制作面でも、原稿がなくても始められます。クリニック・歯科、飲食店、保育園・幼稚園、保険代理店、美容室、不動産会社、士業、介護施設など業種別のテンプレートから選び、ヒアリングのメモとお店の写真からAIが文章のたたき台を作り、担当スタッフが仕上げます。

料金は1つだけ：初期費用33,000円、月額8,800円（税込）。サーバー・SSL・独自ドメインが含まれ、業種テンプレートにあるページはすべて料金内です。

今のデザインをそのまま使いたい方へ：持ち込みテンプレッタ

「今のホームページのデザインは気に入っている。作り直したくない」という方には、持ち込みテンプレッタがあります。HTML・CSSで作られた今のサイトをお預かりし、直せる場所（見出し・文章・写真・お知らせなど）を決めてテンプレッタ上で更新できるようにします。初期費用はテンプレート化を含めて33,000円〜（サイトを拝見して見積もり）、月額は同じです。

WordPressからの乗り換えも

今WordPressで書いているブログ・お知らせの記事は、取り込んで引き継げます（100件まで11,000円のオプション）。すでに旧テンプレッタをお使いの方は、記事と写真を引き継いで次世代版へ乗り換える初期費用が無料です。

詳しくは templetta.jp をご覧ください。

考え方②の答え：今のホームページを安全なサーバーへ「ウェブサイト移転・引越しサービス」

「WordPressの機能は手放せない」「作り直す予算はないが、今のサーバーではPHPが古いまま」という方には、ラップルのウェブサイト移転・引越しサービスをご用意しています。WordPressサイトの制作・保守を手がけてきたスタッフが、サーバー選定から移転後の確認まで、サイト移転をまとめて代行します。

サーバーの引っ越しは、慣れていないと思いのほか手間がかかります。ファイルとデータベースの移行、DNSの切り替え、SSL証明書の再設定、PHPのバージョンを上げたときの表示崩れや動作エラーの確認——どれか一つ抜けるだけで、ホームページが見えなくなったり、メールが届かなくなったりします。

料金は3つのプランから（いずれも税別の目安。事前調査後に正式なお見積もりをご案内します）

• ライトプラン 35,000円〜：HTMLで作られた静的サイト（WordPress未使用）の移転。50ページ程度・容量5GBまでが目安
• スタンダードプラン 50,000円〜：一般的なWordPressサイトの移転。データベースの移行を含む。容量5GBが目安・WordPress 1サイトが目安
• カスタムプラン（個別見積もり）：複雑な機能や独自構成、5GBを超えるサイト

どのプランにも、事前調査・サーバー選定・バックアップ・移転作業・DNS設定・既存SSL証明書の移転設定・移転後の動作確認が含まれます。相談・事前調査・お見積もりは無料、移転完了後30日間は移転作業に起因する不具合を無料で対応します。

今回のPHP2Shellのような話で特に大事なのが、古いWordPress・PHPのサイトへの対応です。古いテーマやプラグインは、新しいPHPに上げると動かなくなることがあります。そのため、テスト環境でテーマとプラグインの動作を確認し、必要な更新や修正をご案内してから移転します。WordPress本体のバージョンアップ（30,000円〜）、テーマ・プラグインの更新・互換性対応（30,000円〜）はオプションとして承ります。

このほか、無料SSLの新規導入・HTTPS化、ドメイン変更・移管、メールアカウント設定、特急対応・営業時間外対応などのオプションもあります。当社取次のレンタルサーバー契約や保守・運用契約とあわせてご依頼いただくと、移転作業費が最大30％OFFになります。

詳しくは site-move.rapl.co.jp をご覧ください。

まずは「今のホームページがどうなっているか」を知ることから

PHP2Shellは、今後も繰り返し起こる出来事の一つに過ぎません。2024年にもPHPの脆弱性（CVE-2024-4577）を狙った攻撃が国内で問題になり、2026年7月にはWordPressでも同様の騒ぎがありました。そのたびに慌てて対応するのではなく、「脆弱性が出ても慌てなくていい仕組み」に変えておくことが、小さなお店や会社にとっていちばん現実的な対策です。

• ホームページを作り直してもいい、更新を自分で手軽にやりたい → TEMPLETTA（WordPressもPHPも使わない仕組み）
• 今のデザインは残したい → 持ち込みテンプレッタ
• WordPressの機能は残したい、まずサーバーだけ安全にしたい → ウェブサイト移転サービス

「うちのホームページのPHPは何が動いているのか分からない」という方も、まずはお気軽にご相談ください。現状を確認したうえで、作り直すべきか、移転だけで済むのかをご提案します。ご相談は無料です。

お問い合わせはこちら

参考資料

• PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)｜IPA
• 【事前準備のお願い】PHPのセキュリティリリース公開予定について｜IPA
• PHP ships emergency patches for critical PHP2Shell flaws｜BleepingComputer

群馬のホームページ制作会社「株式会社ラップル」は、
ホームページ制作からWebサイト運用までサポート致します。
お気軽にご相談ください。
お問い合わせはこちら