「PHPに重大な脆弱性、すぐに更新を」
2026年10月21日、PHPの開発元がこう呼びかける告知を出しました。PHPは、WordPressをはじめ多くのホームページを裏で動かしているプログラムの言語です。告知によれば、見つかった2つの不具合は、ログインしていない第三者が、外からサーバー上でプログラムを動かせるおそれがあるというものでした。
ホームページを持っている会社にとって、こういう知らせはいちばん判断に困る種類のものです。「うちのサイトは大丈夫なのか」「誰に聞けばいいのか」「そもそも何を確かめればいいのか」。
当社（UMEO CREATE）は、群馬で代表ひとりでやっている会社です。AI導入や業務の仕組みづくりのほか、ホームページの制作と、公開後の保守もお引き受けしています。
この告知が出た翌日、当社はお預かりしているWordPressのサイトを点検しました。この記事では、そのとき実際に見た6か所と、その結果、そして確かめきれなかったことを、そのまま書きます。WordPressの改ざんを自社で確認したい方にも、手順の目安として使っていただけるはずです。
夜のオフィスで、モニターの前に座った担当者がファイルの一覧を見比べている様子（写真はAIによるイメージです）
この記事の目次（9項目）
何が起きたのか。PHPの重大な脆弱性のあらまし
まず、事実関係を整理します。出どころはPHPの公式サイトの告知（2026年10月21日）です。
- PHPの 8.5.12・8.4.27・8.3.36・8.2.35 で、2つの重大な脆弱性が直された
- どちらも、ログインなしで、外からプログラムを動かされるおそれがあるもの
- ホームページの表示にPHPを使っているサーバーは、広く対象になる
- 8.1以前の版には、通常の更新はもう出ない。今回は事の重さから、7.4・8.0・8.1向けにも最小限の修正が別に用意された。ただし、それが実際にサーバーに入ったかどうかは、サーバー会社ごとに確かめる必要がある
- 一時しのぎの設定はあるが、完全な対策は更新だけ
ホームページを自分のサーバーで動かしている会社は多くありません。多くは、レンタルサーバーの会社がPHPを管理しています。当社が点検したサイトでも、点検に入った時点で、サーバーにはすでに修正版が入っていました。
ここで大事なのは、「修正版が入った」ことと「サイトが無事だった」ことは別だという点です。修正版は、これから来る攻撃を防ぎます。でも、修正版が入る前にすでに入り込まれていたら、それは修正版では消えません。
だから点検では、「入り込まれた跡が残っていないか」を見ます。
点検の前に決めたこと。「読むだけ」で見る
点検を始める前に、1つだけ決めました。サーバーには何も書き込まない。読むだけで見る、ということです。
理由は2つあります。
1つ目は、点検そのもので何かを壊さないためです。慌てて設定を変えたり、プラグインを一斉に更新したりすると、それが原因でサイトが表示されなくなることがあります。そうなると、「攻撃のせいか、自分の作業のせいか」が分からなくなります。
2つ目は、跡を消さないためです。もし入り込まれていたなら、その跡は証拠になります。片付ける前に、まず「何があったか」を見て、記録に残すのが先です。
更新や削除が必要なことが見つかったら、それは点検の後に、サイトの持ち主の方と相談して決める。この順番を守りました。
WordPressの改ざん確認で見た6か所と、その結果
ここからが本題です。実際に見た6か所と、その結果を表にまとめます。
| 見た場所 | 何を探したか | 結果 |
|---|
| 1. 最近書き換えられたファイル | 告知の前の週（10月15日）以降に、中身が変わったファイル（キャッシュを除く全部） | 0件 |
| 2. 画像を置くフォルダ | 画像しか置かれないはずの場所に、PHPのファイルが紛れていないか | 0件 |
| 3. 怪しい名前・隠しファイル | 見慣れない名前や、先頭に「.」が付いた見えにくいPHPのファイル（上から3階層まで） | 0件 |
| 4. キャッシュのフォルダ | 表示を速くするための一時ファイルの置き場に、PHPのファイルが無いか | 0件 |
| 5. WordPress本体のファイル | 本体のPHPファイル 1,315件 を、WordPressの公式が配っている照合用の値と突き合わせる | すべて一致（違い0・余分0・欠け0） |
| 6. 管理者と定期実行 | 知らない管理者が増えていないか／勝手に動く予約の仕事が足されていないか | 管理者は1人だけ（想定どおり）。定期実行はサーバー標準の1行だけ |
結論は、「乗っ取られた跡は見つからなかった」です。
ここで、あえて「安全を確認した」とは書きません。その理由は、後の「確かめきれなかったこと」で書きます。
1. 最近書き換えられたファイル
入り込んだ攻撃者は、たいてい何かを書き換えるか、何かを置いていきます。そこで、ある日付より後に中身が変わったファイルを、サイト全体から探します。
日付は、告知が出る前の週に設定しました。脆弱性は、告知の日に生まれたわけではありません。告知より前から狙われていた可能性を考えて、少し前から見るのがコツです。
結果は0件でした。この期間、サイトの中身を変えたものは何もなかった、ということです。
2. 画像を置くフォルダ
WordPressには、記事に載せる画像をまとめて置くフォルダがあります。ここには本来、画像やPDFしか入りません。
ところが、攻撃者はこのフォルダにPHPのファイルを紛れ込ませることがよくあります。画像のフォルダは書き込みができる設定になっていることが多く、置きやすいからです。ここにPHPがあれば、それだけで強く疑う理由になります。結果は0件でした。
3. 怪しい名前・隠しファイル
置いていかれるファイルは、目立たない名前をしていることが多いです。正規のファイルに似せた名前や、先頭に「.」を付けて一覧に出にくくしたものです。上から3階層までを見て、該当するものはありませんでした。
4. キャッシュのフォルダ
キャッシュは、表示を速くするために作られる一時ファイルの置き場です。中身が頻繁に入れ替わるので、紛れ込ませても気づかれにくい場所です。ここにもPHPのファイルは0件でした。
5. WordPress本体のファイル（いちばん効く確認）
6つの中で、いちばん確かな方法がこれです。
WordPressの公式は、版ごとに「本体の各ファイルの中身は、こうなっているはず」という照合用の値を配っています。サイトにある本体のファイルを1つずつこの値と突き合わせれば、1文字でも書き換えられていれば分かります。
今回は、本体のPHPファイル1,315件をすべて突き合わせ、違いも、余分なファイルも、欠けたファイルも0件でした。
6. 管理者と定期実行
最後に、人と予約を見ます。
攻撃者がよくやるのが、自分用の管理者を1人こっそり足しておくことです。そうすれば、脆弱性が直された後でも、正面から入れます。管理者の一覧を見て、想定どおり1人だけであることを確かめました。
もう1つは、サーバー上で決まった時刻に勝手に動く「定期実行」の予約です。ここに不審な仕事が足されていると、消しても消しても同じファイルが置き直されます。今回は、サーバー会社が標準で入れている、古い一時ファイルを消す1行だけでした。
小さな事務所で、二人がノートパソコンの画面を指さしながら確認し合っている様子（写真はAIによるイメージです）
確かめきれなかったこと（ここを書かないと、点検の意味がない）
「跡は見つからなかった」と「安全だ」の間には、距離があります。今回の点検でも、確かめきれなかったことがあります。一般に、こうした点検には次のような限界があります。
攻撃が「来たかどうか」は、記録が無ければ見えない
サーバーには、誰がいつどのページを見に来たかを残す「アクセスの記録」があります。ただし、この記録を残さない設定になっているサーバーも少なくありません。
記録が無ければ、攻撃が来て失敗したのか、そもそも来なかったのかは分かりません。今回見たのは「入り込まれた跡」であって、「攻撃の有無」ではありません。
プラグインは、本体ほど確かには確かめられない
WordPress本体は、公式の照合用の値と突き合わせられます。一方、プラグイン（後から足す機能）は、作っている会社や人がばらばらで、同じ方法がいつも使えるとは限りません。
そのため、プラグインについては「最近書き換えられたファイルが無いか」（1. の確認）で見るのが現実的な線になることが多く、本体ほどの確かさは出ません。
古い版のPHPの修正は、サーバー会社の対応しだい
先に書いたとおり、PHPの8.1以前には通常の更新が出ません。今回は古い版向けの最小限の修正も別に用意されましたが、それをサーバーに入れるかどうかはサーバー会社しだいです。古い版で動いているサイトは、そのサーバー会社の告知で確かめる必要があります。サイトがどの版のPHPで動いているかは、多くの場合、サーバーの管理画面で確かめられます。
理由がはっきりしない変化が1つあった
点検の中で、いくつかのフォルダの「最終更新の日時」だけが、当日に変わっていました。中のファイルは1つも変わっていません。何かが一時的に作られて、消えた跡だと考えられます。
時刻はサーバー会社がPHPを入れ替えた直後で、その作業による可能性が高いと見ています。ただし、確かめきれてはいません。こういうものは、分からないまま「問題なし」に混ぜず、分からないこととして持ち主の方にお伝えします。
自社でWordPressの改ざんを確認するときの目安
ここまで読んで、「自社のサイトでもやってみたい」と思われた方へ。専門的な操作が要る部分もありますが、考え方は次のとおりです。
1. まず、サーバー会社の告知を見る。今回のような件では、サーバー会社が「いつ修正版に入れ替えたか」を告知していることがあります。自社のサイトがどの版のPHPで動いているかも、管理画面で確かめます
2. サイトの見た目を確かめる。トップページに覚えのない広告や外国語が出ていないか、リンクが知らないサイトに飛ばないか。スマートフォンからも見ます
3. 管理者の一覧を見る。WordPressの管理画面の「ユーザー」で、知らない管理者が増えていないかを確かめます。これは管理画面に入れれば誰でもできます
4. 本体のファイルの照合は、サーバーの機能や専門の道具で行う。サーバー会社によっては、管理画面に照合の機能が付いていることもあります
5. 慌てて一斉に更新・削除しない。先に見て、記録に残してから、直す
一般に、改ざんの確認方法として紹介されている項目（見た目の異常・管理者の増減・本体ファイルの照合・画像フォルダの不審なファイル）は、今回当社が見た6か所とほぼ重なっています。特別なことをしているわけではありません。決まった場所を、決まった順番で、記録を残しながら見る。点検の質を分けるのは、そこです。
「つくって終わり」にしないための保守
当社がホームページの公開後に保守をお引き受けしているのは、こういう知らせが、いつ来るか分からないからです。
ホームページは、公開した日がいちばん安全で、そこから少しずつ古くなっていきます。PHPやWordPressやプラグインには、これからも脆弱性が見つかります。そのたびに、本業のかたわらで「うちは大丈夫か」を調べるのは、正直なところ大変です。
当社の保守は、次の3つのプランです（いずれも税別）。
| プラン | 月額（税別） | 主な内容 |
|---|
| ライト | 5,000円 | 稼働確認と月次のご報告、AIボットのナレッジ更新と軽微な修正（各月1回） |
| スタンダード | 15,000円 | 月次レポート、ナレッジ更新 月2回、修正 月3回、お知らせ更新 月3件 |
| フル | 30,000円 | 修正とお知らせ更新は回数の制限なし。コラム月1本、オンライン定例30分／月 |
全て一例です。ご予算に合ったプランのご提案が可能です。
各プランの中身はホームページ制作・運用のページに、3つのプランに分けた理由は以前の記事「ホームページ保守の費用は月5,000円から。3プランの中身」に書きました。
なお、ページを作り置きしておく「静的なサイト」は、見る人が来るたびにサーバーでPHPを動かす作りではないため、今回のような脆弱性の影響を受けにくくなります。新しく作るサイトや作り直しでは、そうした作りもご提案しています。
この保守が向かない方
正直に書きます。次のような方には、当社の保守は合わないかもしれません。
- 24時間の監視や、攻撃を受けた後の本格的な調査（原因の特定・証拠の保全）が必要な方：当社は小さな会社で、専門のセキュリティ会社のような常時監視の体制はありません。その場合は専門の会社をおすすめします
- 大規模なサイトや、毎日たくさんのページを更新する業態の方：当社の保守は、中小企業やひとり社長のサイトを前提にした範囲です
- サーバーの中を見せていただくことができない方：今回のような点検は、サーバーを読む権限があって初めてできます
逆に、「自分でサイトの安全まで見る時間はないが、何かあったときに聞ける相手がほしい」という方には、合う形だと考えています。
まとめ
- 2026年10月21日、PHPの開発元がログインなしで外からプログラムを動かされるおそれのある重大な脆弱性を公表し、8.5.12・8.4.27・8.3.36・8.2.35で修正した
- 「修正版が入った」と「無事だった」は別。点検では入り込まれた跡を探す
- 当社はお預かりしているWordPressのサイトを読むだけで点検し、6か所を見て乗っ取られた跡は見つからなかった（書き換え0件・本体1,315件が公式と一致・管理者1人）
- ただし、アクセスの記録が無ければ攻撃の有無は見えない、プラグインは本体ほど確かめられない、など確かめきれないことも残る。それも記録してお伝えする
- 自社で確認するなら、サーバー会社の告知 → 見た目 → 管理者の一覧 → 本体の照合の順で、慌てて消さずに記録を残す
出典（2026年11月2日時点）
【群馬・北関東の中小企業・ひとり社長のAI導入をサポート】
UMEO CREATE（ウメオクリエイト）では、群馬県（高崎・前橋・太田・伊勢崎・吉岡町など）を中心に、中小企業や個人事業主・ひとり社長様向けの「AI導入・業務自動化・DX伴走コンサルティング」を行っています。
「自社の業務でもAIを使える？」「何から手をつければいいかわからない」「ホームページの保守を任せたい」といったご相談は、お気軽に公式LINEまたはWebサイトのお問い合わせフォームよりご連絡ください。
