PHPの重大な脆弱性とは｜ホームページが見られない理由と、今日やること

※ この記事は、2026年10月22日10時30分時点の情報です。状況が変わったら書き足します。

「昨日から、ホームページが見られない」

「首相が『大至急』と呼びかけていたけれど、うちのホームページは大丈夫？」

10月21日の夜から、こうした心配をされている方が多いと思います。

この記事では、何が起きたのか、今ホームページが見られないのはなぜか、ホームページを持つ教室・お店が今日やることを、専門用語をできるだけ使わずにまとめます。

この記事でわかること

• PHPの脆弱性で、何が起きたのか
• ホームページが見られないのはなぜか
• 教室・お店が今日やること3つ
• 作業がいらない場合と、気をつけたいこと

何が起きたのか

PHP（ピーエイチピー）は、ホームページを動かすための仕組みのひとつです。WordPressもPHPで動いていて、とても多くのホームページで使われています。

10月21日の夜11時（日本時間）、PHPを作っているチームが、重大な欠陥（脆弱性）2件を直した新しい版を公開しました。通称「PHP2Shell」と呼ばれているもので、悪用されると、外からサーバーを乗っ取られるおそれがあります。深刻度は10点満点で9.2と、とても高い評価です。

公開の前から、国家サイバー統括室やIPA（情報処理推進機構）が準備を呼びかけ、高市首相もXで「大至急のお願い」として、修正版の早い適用を呼びかけました。なお、IPAは21日の時点で、この脆弱性を悪用した攻撃は確認していないとしています。

今、ホームページが見られないのはなぜ？

修正版を当て終わるまでのあいだ悪用されないように、多くのサーバー会社やサービスが、予防としてサイトや管理画面を一時的に止めています。

• ロリポップ：お客様のサイトも含めて一時停止中（10月22日10時30分時点）
• エックスサーバー：管理画面などを一時停止したあと、22日9時30分に再開
• そのほか、ネットショップのBASEや、pixiv、DMM.comなどの大きなサービスも、メンテナンスや一時停止をしました

「502 Bad Gateway」のような画面が出ていても、ホームページが壊れたり、乗っ取られたりしたわけではありません。サーバー会社が再開すれば、元どおり見られるようになります。再開の時期は、各社のお知らせや公式Xで発表されます。

ホームページを持つ教室・お店が、今日やること

1. 使っているサーバー会社のお知らせを見る

まずは、契約しているサーバー会社のホームページの「お知らせ」や「障害・メンテナンス情報」、公式Xを見てください。修正版を当て終わったか、利用者が自分でやることがあるかは、ここに書かれます。

どのサーバー会社と契約しているか分からない場合は、毎年の更新のお知らせのメールや、ホームページを作った会社に確かめます。

2. PHPのバージョンを確かめて、8.2以上にする

今回の修正版が出たのは、PHPの8.2・8.3・8.4・8.5です。8.1やそれより古い版には、PHPの正式な修正版は出ていません。サーバー会社が独自に直す場合もありますが、時間がかかります。

WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、今のPHPのバージョンが分かります。8.1以前だった場合は、サーバー会社の管理画面で8.3などに切り替えます。

切り替える前に、サーバーのバックアップがあるかを確かめておきます。切り替えたあとは、ホームページの表示とお問い合わせフォームが動くかを、実際に開いて確かめてください。

3. WordPressとプラグインを更新する

今回の脆弱性はPHPそのもののもので、WordPressの不具合ではありません。ただ、この機会に、WordPress本体・テーマ・プラグインを最新にしておくのがおすすめです。

PHPが古いままだと、プラグインの新しい版が入らないことがあります。PHPを上げてから更新すると、まとめて最新にできます。

作業がいらない場合

Jimdo（ジンドゥー）、Wix（ウィックス）、ペライチなどのホームページ作成サービスや、BASE・STORESのようなネットショップのサービスで作ったホームページは、サーバーの管理をサービスの会社がしています。利用者がPHPを更新する作業はないので、サービスのお知らせを見ておけば大丈夫です。

制作会社にホームページの管理を任せている場合は、「今回のPHPの件は、うちのホームページは対応済みですか」と一言聞いておくと安心です。

気をつけたいこと

便乗した偽のメールに注意

このような騒ぎのときは、サーバー会社やサービスの名前をかたって「緊急対応のため、こちらからログインしてください」と書かれたメールが届くことがあります。メールの中のリンクからはログインせず、ブックマークや、検索して開いた公式のページから確かめてください。

慌てて設定を変えない

心配なあまり、よく分からないプラグインを入れたり、設定を大きく変えたりすると、かえってホームページが動かなくなることがあります。まずは上の3つから進めてください。

分からないときは

「自分のホームページのPHPのバージョンが分からない」「サーバーの管理画面の操作が不安」という方は、NEXT VALLEYにご相談ください。ホームページのアドレスを教えていただければ、外から分かる範囲で、PHPやWordPressが古いままになっていないかを無料でお調べします。

公式LINEで相談する

まとめ

• 10月21日、PHPの重大な脆弱性2件を直した新しい版が公開されました
• ホームページが見られないのは、サーバー会社が予防のために止めているためで、壊れたわけではありません
• 今日やることは、サーバー会社のお知らせを見る、PHPを8.2以上にする、WordPressとプラグインを更新する、の3つです

※ 2026年10月22日10時30分時点の公表内容です。出典：PHP公式サイト（Security advisory）、IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」、国家サイバー統括室（X @cyber_forecast）、エックスサーバー・ロリポップのお知らせ、Impress Watch「国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策」。