- PHPの修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）が2026年10月21日に公開されました。8.1以前は対象外です。
- IPAは公開前から、PHPを使っているものの棚卸しと、公開後すぐに修正を当てる準備を呼びかけていました。
- 社内にエンジニアがいなくても、最初の作業は「誰が作ったか・どこのサーバーか・保守契約があるか」を書き出すことです。
- 共用レンタルサーバーならPHP本体の更新は主にサーバー会社、VPSやクラウドなら自社か委託先が行います。どちらか分からないときは、まず調べるところから始めます。
- 制作会社・サーバー会社・保守業者に送る問い合わせ文面を用意しました。社名などを書き換えてそのまま使えます。
PHPの深刻な脆弱性「php2shell」について、何が起きているかは別の記事でまとめています。この記事は、社内にWebやサーバーに詳しい人がいない会社に向けて、「誰に何を聞けばいいか」に絞って書きました。
IPAが求めている「事前準備」
IPA（独立行政法人 情報処理推進機構）は、10月21日に「【事前準備のお願い】PHPのセキュリティリリース公開予定について」を出しました。この時点では、PHPの修正版は10月21日 23:00（日本時間）に公開予定とされ、脆弱性の詳細が公開されたり悪用が確認されたりした場合は前倒しの可能性がある、と書かれていました。IPA自身は、この時点で悪用を確認していません［IPA］。
修正版は10月21日に公開されました。対象はPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35で、8.1以前はPHPプロジェクトからの更新がありません［php.net］。
推奨事項としてIPAが挙げているのは、次の4点です［IPA］。
- 自社で開発・運用しているプログラムや、使っている製品について、PHPの利用状況を可能な範囲で棚卸しする
- 製品の内部でPHPが使われていることがあるので、マニュアルや開発元・提供元の公開情報を確かめる
- サポートが終わった古いPHPを使い続けているサイトがあるので注意する
- 攻撃者がごく短時間で攻撃してくるおそれがあるので、修正版が公表されたらできる限り早く適用する
1つ目の「棚卸し」は、エンジニアでなくてもできます。むしろ、契約書や請求書を持っている総務・経理や社長のほうが早く答えにたどり着くこともあります。
自社サイトを把握する
まず、次の8項目を書き出します。分からない項目は空欄のままで構いません。空欄になったところが、誰に聞けばいいかの手がかりになります。
サイトは1つとは限らない
コーポレートサイトのほかに、採用サイト、ネットショップ、予約システム、キャンペーン用のページ、問い合わせフォームだけ別のサーバーに置いている、ということはよくあります。名刺やパンフレット、広告に載せているURLも確かめてください。
誰が作ったか
制作会社の名前は、サイトのいちばん下（フッター）に小さく書かれていることがあります。見つからなければ、制作時の見積書・請求書・契約書を探してください。担当者が退職していても、会社の代表窓口には連絡できます。
どこのサーバーか
サーバー会社からは、毎月や毎年の請求メール、更新のお知らせメールが届いているはずです。経理の支払い記録にも名前が残っています。サーバーを契約しているのが自社なのか制作会社なのかも、請求の宛先を見れば分かるはずです。制作会社がまとめて契約している場合は、サーバー会社への問い合わせも制作会社を通すことになります。
保守契約があるか
保守契約がある場合は、PHP本体の更新が契約の範囲に入っているかを確かめます。「WordPressとプラグインの更新」だけが範囲で、サーバーのPHPは含まれていない契約もあります。今回はPHP本体の問題なので、WordPressやプラグインを更新しても防げません。
製品の中のPHP
IPAは、製品の内部でPHPが使われている場合にも注意を促しています。たとえばMovable Typeの提供元シックス・アパートは、ダイナミックパブリッシングや一部のプラグインでPHPを使うため影響を受けると告知しました。クラウド版は提供元が更新し、利用者の作業は不要です。一方、ソフトウェア版・AMI版は、修正版が公開され次第、利用者がPHPを更新するよう強く推奨しています［シックス・アパート］。ほかの業務システムやCMSを使っている場合も、提供元のお知らせを確かめてください。
サーバーの種類で、やることが変わる
PHP本体を誰が更新するかは、サーバーの種類で大きく変わります。
共用レンタルサーバーの場合
1台のサーバーを複数の契約者で使う共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行うのが一般的です。たとえばKAGOYAは、レンタルサーバープラン（PHP 8.2〜8.5系）について、修正版を確かめたうえで順次アップデートする予定と告知しています。それ以外のプランは対応方針を調整中です（10月21日 18時20分の更新時点）［KAGOYA］。
自社でやることは、サーバー会社の告知を確かめることと、管理画面で選んでいるPHPのバージョンを確かめることです。PHP公式のサポート中のバージョンは8.2〜8.5で、8.2のセキュリティサポートは2026年12月31日に終わります［php.net］。8.1以前を選んでいる場合は、新しいバージョンへの切り替えを制作会社と相談してください。切り替えでサイトの表示が崩れることがあるので、自分だけで切り替えず、先に動作を確かめてもらうのが安全です。
サーバー会社によっては、安全のためにサイトそのものを止めることもあります。ロリポップ！は、安全な運用に支障があると判断した場合、予告なく利用者のサイトを停止（制限）することがあると告知しています［ロリポップ！］。今夜から明日にかけてサイトが見られなくなったら、まずサーバー会社の告知を確かめてください。
VPS・専用サーバー・クラウドの場合
サーバーを1台まるごと借りている場合は、PHP本体を更新するのは契約者側、つまり自社か、管理を任せている委託先です。サーバー会社がメンテナンスをしていても、それがサーバーの中のPHPの更新とは限りません。誰が、何時に、どの手順で更新するかを、今夜のうちに決めておきます。
国内のセキュリティ企業GMO Flatt Securityも、サーバーの停止を見据えた各所への連絡と対応の流れの確認、PHPの更新手順と更新後の動作確認の手順の確認を挙げています［GMO Flatt Security］。
分からない場合
「共用かVPSか分からない」という会社は少なくありません。サーバー会社の請求書やメールでプラン名を確かめるか、サイトを作った制作会社に聞いてください。下のテンプレートは、分からないことをそのまま聞ける文面にしてあります。
だれが何をするか
役割分担の目安を表にしました。保守契約の範囲は会社ごとに違うので、最終的には契約書で確かめてください。
自社に残る役割は、洗い出しと「判断」です。古いバージョンからの切り替えに費用がかかる場合の承認や、すぐに更新できない重要なサイトを一時的に止めるかどうかは、社長や責任者が決めることになります。CERT-EU（EUの機関のセキュリティ対応チーム）は、修正を適用できるまでインターネットに公開しているアプリを公衆網から切り離すことも検討するよう勧めています［CERT-EU］。
問い合わせ文面のテンプレート
【】の部分を書き換えて使ってください。分からない項目は「不明」と書いて送って構いません。夜間は返事が遅れることもあるので、メールのあとに電話も入れておくと確実です。
制作会社への問い合わせ
件名：PHPの脆弱性（CVE-2026-109618/109619）への対応についてのご相談
【制作会社名】【担当者名】様
いつもお世話になっております。【自社名】の【氏名】です。
PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）を直した修正版（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）が、10月21日に公開されました。IPAも、公表後できる限り早く適用するよう呼びかけています。
御社に制作いただいた下記サイトについて、次の点を教えていただけますでしょうか。
対象サイト：【URL】
1. サイトが動いているサーバー（サーバー会社名・プラン名）と、契約者が弊社と御社のどちらか
2. 現在のPHPのバージョン
3. PHP本体の更新を、どなたがいつ行う予定か
4. PHPのバージョンを上げる必要がある場合、サイトの動作確認や修正をお願いできるか。費用と日程の目安
5. 更新の前にバックアップを取っていただけるか
お手数ですが、【日時】までにご返信いただけますと助かります。
連絡先：【電話番号】【メールアドレス】
サーバー会社への問い合わせ
件名：PHPの脆弱性（CVE-2026-109618/109619）への対応予定について
【サーバー会社名】ご担当者様
【契約者名】（契約ID：【ID】）の【氏名】です。
PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）について、次の点を教えてください。
利用中のサービス・プラン：【プラン名】（ドメイン：【ドメイン】）
1. このプランのPHP本体を、御社で修正版に更新していただけるか。更新の予定日時
2. 利用者側で必要な作業があるか（PHPのバージョン切り替えなど）
3. 現在選んでいるPHPのバージョン【バージョン／不明】が更新の対象になるか
4. 対応状況を案内するお知らせページのURL
連絡先：【電話番号】【メールアドレス】
サーバー会社によっては、管理画面や問い合わせフォームを一時的に止めていることがあります。返事が来ない場合は、各社のお知らせページを先に確かめてください。
保守業者（サーバー管理の委託先）への問い合わせ
件名：【至急】PHPの脆弱性（CVE-2026-109618/109619）への対応体制の確認
【保守業者名】【担当者名】様
【自社名】の【氏名】です。
PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）を直した修正版（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）が、10月21日に公開されました。保守をお願いしている下記サーバーについて、対応体制を確認させてください。
対象：【サーバー名・URL】
1. 修正版の適用は保守契約の範囲に入っているか。範囲外の場合の費用
2. 適用の予定日時と、作業中にサイトが止まる時間
3. 適用後に、PHPのバージョンとサイトの動作を確認していただけるか
4. 不審なファイルやアクセスがないか、確認していただけるか
5. 夜間・休日の緊急連絡先
弊社の連絡窓口：【氏名】【電話番号】（今夜は【時刻】まで対応できます）
修正版が出たあとに確かめること
PHP公式は10月21日に修正版を公開し、すべての利用者にすぐ更新するよう呼びかけています［php.net］。自社では次の3点を確かめます。
- 更新が終わったという連絡や告知：制作会社・保守業者からの報告、またはサーバー会社の「適用完了」のお知らせ
- PHPのバージョン：修正版の番号（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）以降になっているか。WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」でも確認できます
- サイトの表示と動作：トップページ、問い合わせフォームの送信、ネットショップの注文や予約の流れ
侵入されていないかの確認方法など、技術的な内容はphp2shellの解説記事にまとめています。
よくある質問
制作会社と連絡がつきません
サーバーの契約者が自社なら、サーバー会社に直接問い合わせられます。ただし、古いPHPからの切り替えでサイトが崩れたときに直せる人がいないと困るので、別の制作会社や保守業者を探しておくことも考えてください。
保守契約がありません。何もしなくて大丈夫ですか？
共用レンタルサーバーなら、PHP本体の更新はサーバー会社が行うのが一般的です。対象のプランとバージョン、更新の予定を告知で確かめてください。8.1以前を選んでいる場合は、PHP公式のサポートが終わっているので、サポート中のバージョンへの切り替えを検討してください。VPS・クラウドの場合は、誰かが作業しないと修正版は入りません。
夜中に更新作業が必要ですか？
IPAは、修正版の公表後できる限り早く適用するよう求めています［IPA］。今夜すぐに作業できない場合でも、いつ誰が作業するかは今夜のうちに決めておくのが安全です。
「誰が作ったか分からない」「保守契約がない」サイトの状況確認から、PHPの更新、古いPHPからの切り替え、新しいサーバーへの引っ越しまでお受けします。無料相談はこちら