Webサイトを見るだけの個人は、パソコンからのログアウトも、家のWi-Fiを切ることも必要ありません。2026年10月21日に修正版が公開されたPHPの脆弱性（通称php2shell）は、Webサイトを動かしているサーバーの側にある欠陥です。直すのは、サイトを運営する企業や、サーバーを管理する会社です。
PHPは、Webサイトの裏側で動くプログラムを書くためのプログラミング言語です。ブログやホームページを作るソフトウェアとして広く使われているWordPressも、PHPで書かれています。PHPの脆弱性でWordPressのサイトが影響を受けるのは、WordPressがPHPの上で動いているからです。
首相がXで「大至急のお願い」と呼びかけたこともあり、SNSでは「PHPは家の鍵である」「PHPは出版社である」など、さまざまな説が飛び交いました。本記事では、PHPとは何か、誰が何をすればよいかを順に整理します。
PHPとは、Webサイトを作るためのプログラミング言語
Webサイトを見るとき、裏側では次のような流れで処理が進んでいます。
PHPが動く場所
PHPが動くのは、図の運営者側にある「アプリケーション」の部分です。利用者のパソコンやスマホの中ではなく、Webサイトを運営する側のサーバーの中で動きます。ブラウザに届くのはPHPが組み立てた結果（ページの中身）だけで、PHPそのものは利用者の端末に入りません。
PHPは1995年に公開され、手軽にWebページを作れることから広く普及しました。W3Techsの調査では、サーバー側で使われている言語が判明しているWebサイトのうち、69.3%がPHPを使っています（出典: W3Techs、調査時点: 2026年10月）。WordPressのほか、Wikipediaなどの大規模なサイトもPHPで動いています。
サーバーは、Webサイトの処理やデータの保存を担うコンピューターです。写真はサーバー設備の一例で、今回の脆弱性の被害現場ではありません。
「PHPはソフトウェアか、言語か」の答え
SNSでは「PHPはソフトウェアではない」「PHPはソフトウェアである」という正反対の説が並びました。どちらも半分は正しく、PHPという名前は次の2つを指します。
| 呼び方 | 中身 | たとえると |
|---|---|---|
| 言語としてのPHP | プログラムを書くための文法・決まりごと | 日本語や英語のような「ことば」 |
| 処理系としてのPHP | PHPで書かれたプログラムを読んで実行するソフトウェア | ことばを読んで、その通りに作業する人 |
今回、欠陥が見つかったのは後者の「処理系」です。PHPで書かれたプログラムを実行するソフトウェアの中に、外から細工したデータを送られると、攻撃者の用意した処理を実行してしまう経路がありました。この処理系はサーバーにインストールされて動くもので、一般の人のパソコンやスマホには入っていません。
WordPressは、PHPで書かれたソフトウェア
WordPressは、ブログや企業のホームページを作るためのソフトウェアで、PHPで書かれています。日本語で書かれた本を、日本語の読める人が読み上げるように、WordPressのプログラムはサーバー上のPHPが読んで実行しています。
そのため、今回の問題はWordPressの欠陥ではなく、WordPressを動かしている土台（PHP）の欠陥です。WordPress本体やプラグインを最新にしても直らず、サーバーのPHPを修正版に更新する必要があります。
出版社の「PHP研究所」とは無関係
「PHPは出版社である」という説は、京都に本社を置く出版社「PHP研究所」との混同です。ITmedia NEWSが報じたように、首相がPHP研究所から本を出していたことも話題になりましたが、プログラミング言語のPHPとは名前が同じだけで関係はありません（出典: ITmedia NEWS、2026年10月22日）。
2026年10月に何が起きたか
2026年10月21日、PHPの開発チームは重大な脆弱性2件（CVE-2026-109618 / CVE-2026-109619、深刻度を示すCVSS v4.0のスコアはいずれも9.2）を修正した版を公開しました。細工したデータをWebサイトに送るだけで、そのサーバー上で任意のプログラムを実行されるおそれがある、という内容です（出典: PHP公式サイト、調査時点: 2026年10月）。
同じ日、高市早苗首相はXで、修正プログラムを速やかに適用できるよう準備を呼びかけ、適用が難しい場合はWebサイトの一時停止も有効な対策のひとつだと述べました。国家サイバー統括室（NCO）も、PHPを利用する企業などに注意を呼びかけています（出典: 日本経済新聞、2026年10月21日）。
首相の呼びかけは、Webサイトを運営する事業者に向けたものです。ただ、特定のソフトウェアの更新について首相が直接発信するのは異例で、「一般の人には対処の手立てがない案件で、かえって混乱させた」という専門家の指摘も報じられています（出典: Smart FLASH（ライブドアニュース）、2026年10月22日）。
脆弱性の技術的な内容と、サイト運営者がやるべき対応はPHPの脆弱性「php2shell」とは？で詳しく解説しています。
個人がやらなくていいこと、やってもいいこと
Webサイトを見るだけの立場なら、今回の脆弱性のために端末や家のネットワークで何かをする必要はありません。よく見かけた心配ごとを整理すると、次のとおりです。
| 心配ごと | 必要か | 理由 |
|---|---|---|
| パソコンやスマホからログアウトする | 不要 | 欠陥はWebサイト側のサーバーにあり、利用者の端末にはない |
| 家のWi-Fiを切る・ルーターを再起動する | 不要 | 家庭のネットワークは今回の攻撃の対象ではない |
| スマホやパソコンからPHPを削除する | 不要 | 一般の端末にはPHPは入っていない |
| すべてのサービスのパスワードを変える | 一律には不要 | 利用中のサービスから個別に案内が届いた場合は、その指示に従う |
一方で、次の2点は気にしておいてよいことです。
1. 一部のWebサービスが止まっている場合がある。 修正が終わるまでサイトや機能を一時停止した企業・自治体があります。オンラインの手続きや予約は、締め切りに余裕をもって進めてください。止まっている理由は、各サイトのお知らせで確認するのが確実です。
2. 騒ぎに便乗した連絡に注意する。 大きなセキュリティのニュースの後は、それを口実にした詐欺が出やすくなります。「PHPの脆弱性対策のためにこのアプリを入れてください」「アカウントの確認が必要です」といったメールやSMSが来ても、リンクを開かず、公式サイトやアプリから直接確認してください。前述のとおり、一般の端末でPHPの対策をすることはありません。
対応が必要なのは、Webサイトを運営する側
対応が必要なのは、PHPで動くWebサイトやシステムを持っている企業・団体です。自社のホームページをWordPressで作っている会社も含まれます。サーバーを誰が管理しているかで、やることが変わります。
| 自社サイトの状況 | やること |
|---|---|
| レンタルサーバーを使っている | サーバー会社のお知らせで、PHPが修正済みかを確認する。PHPのバージョンを利用者が選ぶ方式なら、修正版の系列に切り替える |
| 制作会社に保守を任せている | 対応予定と完了日を問い合わせる。保守契約がない場合は、誰が更新するかから決める |
| 自社でサーバーを管理している | PHPを修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）以上に更新し、再起動してバージョンを確認する |
WordPressの管理権限がある担当者は、管理画面の「サイトヘルス」でPHPのバージョンを確認できます。次の公式資料の画面では、「PHP version」の行が確認箇所です。サイトを見るだけの人が操作する画面ではありません。
画像を拡大 ↗レンタルサーバーやクラウドごとの対応状況はphp2shellのサービス別対応状況に、経営者・情シス・サイト担当など立場ごとの確認事項はphp2shellへの職種別の対応にまとめています。
WordPressのサイトは、PHPのほかにも本体・テーマ・プラグインの更新が欠かせません。日頃の保守の進め方はWordPressの脆弱性対策で解説しています。
当社でお手伝いできること
当社は受託開発として、業務システムやWebサービスの開発と、公開後の保守・更新を担当しています。「自社サイトがPHPで動いているか分からない」「制作会社と連絡が取れず、誰も更新していない」「古いPHPのまま動いているシステムをどうするか決めたい」といった段階から相談を受けています。
今回の対応や、今後の保守体制の見直しについては、受託開発へのお問い合わせからご連絡ください。