2026.10.22 掲載
10月21日、PHP本体に2件の重大な脆弱性があることが公表され、修正版が公開されました。細工された通信を受けると、ログインなしで外部からサーバー上のプログラムを実行されるおそれがあります。サイトの改ざんや情報流出につながる可能性もあります。
欧州では、政府機関などが予防措置としてサイトを一時停止しています。検証用の攻撃コードも公開されており、悪用への警戒が高まっています。
ご自身のサイトが対応済みかどうか分からない場合は、点検を承ります。1サイト50,000円からお引き受けいたします。
今回問題になっているのは、WordPressなどのアプリではなく、それを動かしているPHP本体です。メモリ処理に関する2件の不具合があり、細工されたリクエストを送られると、外部からサーバー上で任意のプログラムを動かされるおそれがあります（リモートコード実行）。
PHP開発チームによると、Webリクエストを処理するPHPはすべて影響を受ける可能性があります。中でもApacheの mod_php を使う構成は、危険度がもっとも高いとされています。
設定変更による暫定的な回避策も公表されていますが、完全なものではありません。PHP開発チームは、修正版への更新を推奨しています。
| 系列 | 修正版 |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1以前 | サポート終了のため公式の修正版なし |
表にある修正版より古いバージョン番号でも、必ずしも未対策とは限りません。Linuxディストリビューションやサーバー事業者が、番号はそのままで修正だけを取り込んでいる（バックポート）ことがあるためです。PHPのバージョンだけでなく、利用しているサーバー事業者・OSベンダーの対応状況もあわせて確認してください。
以下の項目を順にご確認ください。
PHPを使っているからといって、未対策とは限りません。レンタルサーバーやマネージドサービスでは、事業者側ですでに対策が済んでいることもあります。
調べ方が分からない、今回の脆弱性に関する案内が見つからないという場合は、ご相談ください。
サーバーの種類やPHPのバージョン、サーバー事業者の対応状況などを調査し、今回の脆弱性への対応が済んでいるかを確認します。必要に応じて、更新作業や詳しい調査も承ります。
最初からプランを選んでいただく必要はありません。まずAで現在の対応状況を確認し、その結果に応じてBまたはCへ進みます。
50,000円
今回のPHP脆弱性への対応が済んでいるかを確認します。
どのプランが適しているか分からない場合や、まず相談したい場合も、Aからお申し込みください。
サーバー管理画面の情報や、PHPのバージョンが分かる画面などをご提供いただく場合があります。
報告目安：3営業日
150,000円
Aの確認に加えて、必要な更新作業まで行います。
レンタルサーバーなどで、事業者側ですでに更新が済んでいれば、Bの作業は必要ありません。
Aの確認後にBをご依頼いただく場合は、差額100,000円で承ります。
特殊なサーバー構成の場合や、PHPの更新に伴ってプログラム・プラグインの改修が必要になる場合は、この料金には含まれず、別途お見積りします。
作業完了目安：7営業日
400,000円〜
今回の脆弱性への対応状況に加えて、すでに攻撃や侵入を受けていないかまで調べます。
更新や再起動によってログが失われることがあるため、必要な情報を先に保全してから更新作業を行います。
サーバーやサイトの規模、ログの量によって工数が大きく変わるため、料金は事前にお見積りします。対象となるURLや機能、診断の範囲も、事前にご相談のうえ決めます。
残っているログやファイルの範囲で調べるため、侵入がなかったことを保証するものではありません。
報告目安：15営業日
料金は、サイト数ではなくサーバー環境を基準に考えます。PHPはサーバー単位で共通していることが多く、同じサーバー上のサイトはまとめて確認できる項目があるためです。
本サービスは、ソフトウェア・システム開発に30年以上、ITセキュリティに20年以上携わってきた技術者が担当します。
金融機関や大手プロフェッショナルファームで、セキュリティ、ITリスク、システム開発に携わった経験があります。
診断は、対象サイトの所有者または管理者の明示的な許可を確認したうえで実施します。無断での診断は、不正アクセス禁止法等に抵触する可能性があるためお受けできません。
まずはAをご依頼ください。確認結果をもとに、更新作業（B）や詳しい調査（C）が必要かどうかをご案内します。Aの確認後にBをご依頼いただく場合は、差額の100,000円で対応いたします。
WordPressはPHPを利用しているため、今回の確認対象です。ただし、サーバー側ですでに必要な対策が適用されていれば、追加の対応がいらない場合もあります。まずはサーバー事業者の案内を確認してください。
WordPress本体やプラグインの更新だけでは、今回のPHP本体の脆弱性への対応にはなりません。PHPの修正版、またはサーバー／OS事業者が提供する修正の適用が必要です。
事業者のお知らせやメンテナンス情報に、今回の脆弱性についての記載がないか見てください。管理画面でPHPのバージョンを選べるサービスなら、選んでいるバージョンに修正が入っているかもあわせて確かめてください。
多くのレンタルサーバーでは、管理画面のPHP設定で確認できます。WordPressなら「ツール」→「サイトヘルス」→「情報」にも表示されます。それでも分からなければ、点検の際にこちらで調べます。
確認だけ（プランA）であれば、基本的に止める必要はありません。PHPを更新する場合（プランB・C）は再起動が必要になるため、短い時間つながりにくくなることがあります。作業の時間帯は事前にご相談します。
サーバー事業者名、利用プラン、PHPのバージョンが分かる画面などです。作業にログインが必要な場合は、一時的な作業用アカウントなど、安全な方法をご案内します。
各国政府機関のサイト停止は報道によるものです。脆弱性の内容と修正版については、技術情報の各資料を参照しています。