Webサイト運用2026年10月22日

【緊急・重要】サイトが止まったのは故障ではありません。PHP緊急メンテナンスの理由を初心者向けに解説

2026年10月21日の夜から22日にかけて、「ホームページが表示されない」「サーバーの管理画面に入れない」「問い合わせフォームが動かない」「Webメールが開けない」といった声が、あちこちで上がりました。原因は、国内のレンタルサーバー各社がこの夜に一斉に行ったメンテナンスです。その中心にあったのが、Webサイトの裏側で動いている「PHP（ピーエイチピー）」という技術の、重大な脆弱性への対応でした。

自社のサイトが急に止まると、「サーバー会社のトラブルではないか」「制作会社の作り方が悪かったのではないか」と不安になるのは自然なことです。ただ、今回の停止の多くは、故障やミスではありません。サイトを使うお客さまやエンドユーザーを守るために、あえて止めた処置です。

この記事では、Web制作の知識がない方にも伝わるように、次の3点を順に説明します。

PHPとはどんな技術なのか
なぜPHPのバージョンアップが必要なのか
今回のバージョンアップやメンテナンスで、なぜサイトやツールが使えなくなったのか

筆者はフリーランスのWebディレクター兼エンジニアとして、WordPressなどPHPで動くサイトの構築や保守にも関わっています。その立場から、事実として公表されている情報を出典つきで整理し、サイトの運営者や制作者がいま何をすればよいかまでお伝えします。

PHPとは？Webサイトの「裏側の調理場」を担う技術

PHPは、Webサーバーの上で動くプログラミング言語です。とはいえ「プログラミング言語」と言われても、なかなかイメージしにくいと思います。そこで、Webサイトを飲食店にたとえて説明します。

ブラウザに表示される画面（HTMLやCSS）は、お客さまの前に出てくる「料理」です。PHPは、その料理を注文に合わせて作る「厨房」にあたります。お客さまの目には直接見えませんが、厨房が動かなければ料理は出てきません。

たとえば、お問い合わせフォームで「送信」を押したときを考えてみます。入力内容に抜けがないかを確かめ、担当者にメールを送り、「送信ありがとうございました」という画面を返す。この一連の処理を、サーバーの上でPHPが担当していることがよくあります。会員ページで「〇〇様、こんにちは」と名前が出るのも、ブログの記事一覧が新しい順に並ぶのも、同じように裏側でPHPが動いて作っています。

WordPressもPHPで動いている

国内の中小企業サイトで広く使われているCMS（ホームページ管理システム）のWordPressも、PHPで作られています。管理画面で記事を書いて「公開」を押すと、PHPがデータベースに内容を保存し、閲覧者が来るたびにページを組み立てて表示します。

Webの技術調査を行うW3Techsによると、サーバー側の言語が判明しているWebサイトのうち、69.3％がPHPを使っています（2026年10月21日時点）。割合は年々少しずつ下がっていますが、今もWebで最も多く使われているサーバー側の言語です。

普段は意識しなくてよい技術だからこそ

PHPは、サイトの持ち主がふだん意識することのない技術です。管理画面にも「PHP」という文字はほとんど出てきません。だからこそ、レンタルサーバー会社のメールに「PHPのバージョンアップ」と書かれていても、自社に関係があると気づきにくいのです。

ただ、上の例のとおり、フォーム、会員機能、CMS、予約システム、ネットショップのカート、さらには業務用ツールの管理画面まで、PHPはWebのさまざまな場所で動いています。レンタルサーバー会社が提供するWebメールやファイル管理の画面も、同じようにWebの仕組みの上で動いていることが多いものです。今回のように「PHPを止める・更新する」作業が入ると、影響が一つのサイトにとどまらず、多くのサービスやツールに一斉に広がったのはこのためです。

なぜPHPのバージョンアップが必要なのか

ソフトウェアには「バージョン」があります。スマートフォンのOSやアプリを更新するのと同じように、PHPも新しい版が定期的に出ています。ここで押さえておきたいのは、PHPの各バージョンには「面倒を見てもらえる期間」が決まっていることです。

PHPには「保守期限」がある

PHPの公式サイトによると、PHPの各バージョンは最初のリリースから2年間、不具合と安全上の問題の両方が修正されます。その後の2年間は、重大な安全上の問題だけが修正されます。合わせて4年が過ぎると「サポート終了（End of Life）」となり、どんな問題が見つかっても、PHPの開発元から修正版は出なくなります。

2026年10月22日時点の主なバージョンの状況は、次のとおりです。

バージョン	安全上の修正が出る期限	状況
PHP 8.5	2029年12月31日	対応中
PHP 8.4	2028年12月31日	対応中
PHP 8.3	2027年12月31日	重大な問題の修正のみ
PHP 8.2	2026年12月31日	重大な問題の修正のみ。あと2か月ほどで終了
PHP 8.1 以前	終了済み	開発元からの修正なし

PHP 7.4は2022年11月28日に、PHP 8.1は2025年12月31日に、それぞれサポートが終わっています。

古いバージョンは「鍵が壊れたまま直らない家」

サポートが終わったPHPを使い続けるのは、鍵の不具合が見つかっても、もう業者が直しに来てくれない家に住み続けるようなものです。住んでいる人が気づかないうちに、外からその不具合を探す人が現れます。

PHPの公式サイトも、サポートが終わった版の一覧ページで、古い版を使うと新しい版で修正済みの脆弱性やバグにさらされるおそれがあると明記し、現行の版への更新を強く勧めています。

バージョンアップには「手間」がかかる

それなら早く更新すればよいのですが、ここに難しさがあります。PHPは大きなバージョンが上がるとき、古い書き方や機能を廃止することがあります。たとえばPHP 7.0では古いデータベース接続用の関数（mysql_connect など）が削除され、PHP 8.0では each() や create_function() といった関数が削除されました。

古いPHPを前提に作られたフォームやCMSのプラグインは、PHPだけを新しくすると動かなくなることがあります。そのため、本来はPHPの更新に合わせてプログラムも点検し、書き換える必要があります。この「手間とお金がかかる」部分が後回しにされがちで、古いPHPのまま運用されているサイトは今も少なくありません。W3Techsの同じ調査では、PHPを使うサイトのうち、バージョン7が27.0％、バージョン5が7.7％を占めています。

10月21日の夜に何が起きたのか

今回の騒ぎのきっかけは、PHP本体に見つかった2件の重大な脆弱性です。脆弱性とは、プログラムの中にある「攻撃に使われうる弱点」のことです。

公開前から予告された、異例のセキュリティ更新

PHPの開発元は、10月21日の23時（日本時間）に重大な脆弱性を直すセキュリティリリースを出すと、前日の20日に予告していました。情報処理推進機構（IPA）も21日、PHPを使うサイトの運営者や開発者に向けて「事前準備のお願い」を公開し、PHPを使っているシステムの棚卸しを呼びかけています。

修正版は予告よりやや早い、21日の22時半すぎ（日本時間）に公開されました。対象の脆弱性は CVE-2026-109618 と CVE-2026-109619 の2件で、深刻度を示すCVSS（バージョン4.0）は、どちらも9.2です。CVSSは0〜10で深刻度を表し、9.0以上は最も深刻な「緊急（Critical）」に分類されます。

何が危険なのか

PHPの公式発表によると、2件はいずれも「ログインなどの認証なしに、外部から任意のプログラムを実行される（リモートコード実行）」おそれがあるものです。わかりやすく言えば、悪意のある人がインターネット越しに、サーバーへ好きな命令を送り込めてしまう可能性があるということです。

影響の範囲も広く、Webのリクエストを処理しているPHPは、Apache（mod_php）、PHP-FPM、LiteSpeedなど一般的な構成のほとんどが対象とされています。中でもmod_phpは最もリスクが高いとされ、攻撃のデモでは、サイト側のプログラムが動く前に、認証なしの1回のリクエストで攻撃が成立したと説明されています。

修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。PHP 8.1以前には、開発元からの通常の修正版は出ません。ただし事態の重さから、PHP 7.4、8.0、8.1向けには、自分でPHPをビルドする人のための最小限の修正コードが別に提供されました。

攻撃コードの出回り

欧州連合の機関向けにセキュリティ情報を出すCERT-EUは、修正版の公開後、技術的な詳細が公に議論され、検証用の攻撃コードが出回り始めていると注意喚起しています。セキュリティ企業のSophosは、記事の公開時点では実際の悪用は報告されていないとしつつ、X上で攻撃コードを作ったと主張する投稿があることを伝えています。

PHPの公式発表は、完全な回避策はなく、更新することが安全に使い続けるための方法だとしています。つまり、修正版が出た瞬間から、更新が終わるまでの時間がそのままリスクになる状況でした。

なぜサイトやサーバー、ツールが使えなくなったのか

修正版が出ても、世の中のサーバーが一瞬で安全になるわけではありません。レンタルサーバー会社は、何千、何万という利用者のサーバーで、PHPを順番に更新する必要があります。その作業の中で、利用者からは「使えない」と見える状態がいくつも生まれました。

理由1：作業中はWebサーバーを止める必要があった

PHPの本体を入れ替えたり、設定を変えたりするときは、Webサーバーをいったん止めたり、再起動したりする必要があります。たとえばIDCフロンティアは、ホスティングサービスで10月21日22時から22日18時まで（予定）、Webサーバーを止めてPHPの更新と修正の適用を行うと告知しました。その間は、利用者のドメインのWebサイトも、Webメールも使えません。CORESERVER・XREAやカラフルボックスも、22日0時以降に全サーバーを順に更新し、10分ほどつながりにくくなることがあると案内しています。

理由2：管理画面やツールを先に止めた

エックスサーバーは、修正版の公開に先立つ21日16時から、アカウント管理画面、サーバーパネル、Webメール、ファイルマネージャ、APIなどを止めました。ロリポップ！も予防措置として、ユーザー専用ページなどを止めています。サイトそのものは表示されていても、「設定が変えられない」「ファイルが上げられない」という状態になったのはこのためです。

管理画面やWebメールも、多くはPHPなどのWebの仕組みで動いています。攻撃の入口になりうる場所を先に閉じておくことは、守りの基本です。

理由3：古いPHPが自動で新しくなり、プログラムが動かなくなった

IDCフロンティアは、PHP 5.3を使っている場合、このメンテナンスで最新版へ上げ、元には戻せないと告知しました。PHP 7.4や8.1を使っている場合も、修正の状況によっては最新版へ上げる可能性があるとしています。

前の章で触れたとおり、古いPHP向けに書かれたフォームやCMSは、新しいPHPでは動かないことがあります。IDCフロンティアも、更新後に問い合わせフォームやCMSで表示崩れや動作エラーが起きる可能性があり、その場合は利用者側でプログラムを修正してほしいと案内しています。

理由4：危険な機能を一時的に止めた

サイバーウェイブジャパン（CWJ）は、更新の前の応急処置として、ファイルアップロードの進み具合を管理する機能を止める設定を入れました。この影響で、アップロード機能に支障が出る場合があるとしています。危険な入口になりうる機能を一時的に止めた結果、一部の機能が使えなくなったケースです。

これはエラーではない。利用者を守るための「止める判断」

ここまでの内容を整理すると、今回「使えなくなった」原因は、大きく分けて「意図的な停止」と「古いプログラムが新しいPHPに対応していなかったこと」の2つです。どちらも、サーバーが壊れたわけではありません。

止めなかった場合に起きうること

仮に、修正版が出たあともサーバーを止めず、古いPHPのまま動かし続けたとします。認証なしで外から命令を実行されるおそれがある以上、次のような被害につながる可能性があります。

問い合わせフォームや会員ページに入力された、氏名、住所、電話番号、メールアドレスが盗まれる
サイトが書き換えられ、偽のログイン画面やカード情報の入力画面に誘導される
サーバーが乗っ取られ、迷惑メールの送信や、ほかのサイトへの攻撃の踏み台にされる
データベースが消されたり、暗号化されて身代金を要求されたりする

被害を受けるのは、サイトの持ち主だけではありません。サイトを信頼して情報を入力したお客さま、つまりエンドユーザーも巻き込まれます。そして、いったん漏れた個人情報は取り戻せません。

「数時間止まる」と「情報が漏れる」の重さを比べる

数時間から1日ほどサイトが見られないのは、もちろん困ることです。問い合わせや注文を逃したかもしれません。それでも、個人情報が漏えいした場合の調査、お客さまへの連絡、関係機関への報告、信用の回復にかかる時間と費用とは比べものになりません。

今回、各社が深夜の作業や事前の停止に踏み切ったのは、「一時的な不便」と「取り返しのつかない被害」を比べて、利用者とエンドユーザーを守る側を選んだからです。CERT-EUも、すぐに更新できない場合は、インターネットに公開しているアプリケーションを切り離すことを検討するよう勧めています。止めることは、公的機関も勧める正当な対策なのです。

お客さまにどう説明するか

制作会社や社内のWeb担当者は、経営層やお客さまから「なぜ止まったのか」と聞かれることがあると思います。説明の仕方で、受け止め方は大きく変わります。

悪い例：サーバー会社の不具合でサイトが止まっています。原因はわかりません。

改善した例：PHPという、サイトの裏側で動く技術に重大な弱点が見つかり、サーバー会社が更新作業のためにサイトを一時的に止めています。お客さまの個人情報を守るための処置で、作業が終わり次第、表示と動作を確認します。

「不具合」と伝えると、責任の所在や品質への不信につながります。「守るための処置」であることと、終わったあとに何を確認するかを添えると、相手は状況を落ち着いて受け止めやすくなります。

サイト運営者と制作者が、いま確認したいこと

メンテナンスが終わってサイトが表示されたら、それで終わりではありません。むしろ、ここからの確認が大切です。現場でつまずきやすい点も含めて整理します。

1. 表示だけでなく「動き」を確かめる

トップページが表示されても、フォームが送れなかったり、管理画面にログインできなかったりすることがあります。PHPのバージョンが変わった場合は、とくに次の項目を実際に操作して確かめてください。

問い合わせフォームの送信と、自動返信メール・担当者宛てメールの受信
CMSの管理画面へのログインと、記事の保存・公開
画像やファイルのアップロード
予約、会員登録、カートなど、入力を伴う機能

2. 使っているPHPのバージョンを把握する

レンタルサーバーの管理画面には、PHPのバージョンを確認・変更できる画面があることがほとんどです。サーバーにコマンドで入れる環境なら、次のように確かめられます。

php -v

ただし、コマンドで表示されるバージョンと、Webサイトで実際に使われているバージョンが違う構成もあります。画面上の設定もあわせて確認しておくと確実です。8.1以前を使っている場合は、今回の件とは別に、サポートのある版への移行を計画してください。

3. 「元のバージョンに戻す」は解決策ではない

動かなくなったからといって、管理画面で古いPHPに戻すのは避けてください。IDCフロンティアのように、そもそも戻せない措置をとっているサーバー会社もあります。戻せたとしても、それは弱点を抱えた状態に戻すことです。対応すべきなのは、古いPHPを前提にしたプログラム側の修正です。

4. 攻撃を受けていないかを確認する

GMO Flatt Securityは、更新とあわせて、サーバーが攻撃を受けていないかのログ調査を勧めています。見覚えのないファイルが増えていないか、管理画面に知らないユーザーが追加されていないか、といった点も確認しておくと安心です。

5. 自分で判断できないときは

PHP本体の更新はサーバー会社が担っても、その上で動くフォームやCMS、独自のプログラムの対応は、サイトの持ち主や制作会社の責任範囲になることが多いです。どこまでが自社の担当なのか、契約しているサーバー会社のお知らせと保守契約の内容を、この機会に確かめておきましょう。制作を外部に任せている場合は、サイトを作った会社や保守を担当している会社に、使っているPHPのバージョンと、今回の更新による影響の有無を問い合わせるのが近道です。

まとめ：止まったサイトは、守られたサイト

今回の内容を振り返ります。

PHPは、フォームや会員機能、WordPressなどを裏側で動かす、Webで広く使われている技術です。
PHPには保守期限があり、期限が過ぎた版は弱点が見つかっても直りません。安全に使い続けるには、定期的なバージョンアップが欠かせません。
10月21日の夜には、認証なしで外から命令を実行されるおそれがある、深刻度9.2の脆弱性2件の修正版が公開されました。
サイトやツールが使えなくなったのは、サーバー会社が更新のためにサーバーや管理画面を止めたことと、古いPHP向けのプログラムが新しいPHPで動かなかったことによるものです。
この停止は故障ではなく、お客さまやエンドユーザーの情報を守るための処置です。

サイトが止まった時間は、攻撃から守られていた時間でもあります。そして、メンテナンスのあとに動かなくなった機能があるなら、それは「古いままにしていた部分」が表に出たというサインです。PHPのバージョンを上げても、フォームやCMSが動く状態に整えておけば、次に同じことが起きても慌てずに済みます。

「メンテナンスのあとからフォームが動かない」「自社のサイトがどのPHPで動いているのかわからない」「古いPHPのまま運用しているが、何から手をつければよいかわからない」。そうしたお悩みがあれば、まずは現状の洗い出しからご一緒します。お問い合わせページから、お気軽にご相談ください。