2026年10月、PHPに重大な脆弱性が発見され、「PHP2shell」と呼ばれる問題がニュースなどで大きな注目を集めました。
PHPの脆弱性を悪用されると、攻撃者が外部からサーバー上で任意のコードを実行できる可能性があります。
この問題を回避するため、PHPのバージョンアップなど早急な対策が求められているのです。
ただ、専門家の手を経ず自分でPHPを更新したことで、今度はホームページの表示が崩れたり、お問い合わせフォームが動かなくなったりします。
特に、長年ホームページを更新せず、保守契約を結んでいない企業では、こうしたトラブルへの対応に苦労されています。
また、保守契約がないばかりに、思わぬトラブルから保守費用以上の出費を迫られるケースもあります。
今回は、ホームページを放置する危険性と、Webサイト保守の重要性について考えてみます。
1．PHP2shellとは何か？
2026年10月、PHPに2つの重大な脆弱性が発見されました。
CVE-2026-109618とCVE-2026-109619という脆弱性で、これらを組み合わせた問題は「PHP2shell」と呼ばれています。
問題の深刻さは、攻撃者が特別なログイン操作などを行わなくても、条件が整った環境に対して攻撃を仕掛け、サーバー上で任意のコードを実行できる可能性があることです。
PHPは、WordPress（※）をはじめとする多くのWebシステムで利用されています。
自社のホームページがPHPを利用しているのであれば、決して他人事ではありません。
※WordPress：ホームページを作成するCMS（コンテンツ管理システム）のひとつ。
2．PHPをバージョンアップしなければ、どうなるのか？
このような脆弱性が発見された場合、最も重要なのは、適切な対策を速やかに実施することです。
もし、脆弱性を放置したまま運用を続ければ、攻撃者に悪用される可能性があります。
例えば、次のような被害が考えられます。
Webサイトの改ざん
企業のホームページに不正なページを設置されたり、閲覧者が詐欺サイトなどに誘導されたりする可能性があります。
サーバーへの不正侵入
脆弱性を悪用され、サーバー上で不正なプログラムを実行されるおそれがあります。Webサイトの管理権限やサーバー内のデータに影響が及ぶことも考えられます。
情報漏えい
サーバー内に保存されているデータや、データベースに記録された情報などが盗み出される可能性があります。
攻撃の踏み台として悪用
自社のサーバーが第三者への攻撃に利用されることもあります。自社が被害者になるだけでなく、知らないうちに他の企業や利用者に被害を与える側になってしまう可能性もあるのです。
3．では、PHPを更新すれば安心なのか？
セキュリティを守るためには、PHPの更新が必要です。
しかし、更新すればすべて解決するというわけではありません。
特に、長年メンテナンスされていないホームページでは、PHPのバージョンアップによって別の問題が発生することがあります。
まず、PHPとWordPressの関係について見てみましょう。
WordPressはPHPというプログラム言語によって動いています。
WordPress本体だけでなく、デザインを構成するテーマや、お問い合わせフォームなどの機能を追加するプラグインにもPHPが使われています。
つまり、PHPはホームページを動かすための土台となるものです。
ここでPHPのバージョンを変更すると、WordPress本体だけでなく、テーマやプラグインにも影響が及ぶ可能性があります。
例えば、WordPress本体は新しいPHPに対応していても、古いテーマやプラグインが対応していなければ、ホームページの表示が崩れたり、一部の機能が動かなくなったりすることがあります。
だからこそ、PHPだけを更新すればよいというわけではありません。
WordPress本体、テーマ、プラグイン、それぞれの「対応状況」を確認したうえで、適切に更新する必要があるのです。
では、PHPのバージョンアップにより何が起こるのでしょうか。
例えば、次のようなトラブルです。
- トップページのレイアウトが崩れる
- 画像やコンテンツが正常に表示されなくなる
- お問い合わせフォームが動かなくなる
- WordPressの管理画面にログインできなくなる
- エラーが表示され、ホームページ全体が閲覧できなくなる
これらのトラブルの主な原因は、ホームページを構成しているプログラムが新しいPHPに対応していないことです。
古いWordPressテーマやプラグイン、独自に開発されたプログラムなどが、新しいPHPの仕様に対応できずに正常に動作しなくなることがあります。
特に、何年も更新されていないホームページでは注意が必要です。
セキュリティを守るためにPHPを更新しなければならない。しかし、更新するとホームページが正常に動かなくなる可能性がある。
これが、古いホームページを放置している企業が直面する大きな問題です。
4．PHPのバージョンアップでホームページが崩れることも
実際に、PHPのバージョンアップをきっかけとして、ホームページに不具合が発生するケースがあります。
例えば、サーバー会社からPHPの更新を求められ、案内に従ってバージョンを変更したところ、ホームページのレイアウトが崩れてしまった。
あるいは、お問い合わせフォームが動かなくなり、お客様からの連絡を受け付けられなくなってしまった。
こうしたトラブルは、ホームページの見た目だけの問題ではありません。
お問い合わせフォームが動かなければ、せっかくの商談機会を失うことになります。
ホームページが表示されなければ、会社の情報を必要としているお客様や取引先にも不便をかけてしまいます。
特に保守契約を結んでいない企業では、問題が発生してから初めて制作会社や専門業者を探すことになります。
ホームページのバックアップデータがなければ、再度大きな費用をかけて一からホームページを立ち上げ直す必要があります。
問題が起きてから対応するのではなく、問題が起きる前に備えておくこと「保守＝保険」が大切なのです。
5．PHPの更新には事前準備と専門的な作業が必要
PHPのバージョンアップは、サーバーの設定を変更するだけの簡単な作業ではありません。
安全に更新するためには、ホームページ全体の状態を把握し、事前準備と動作確認を行う必要があります。
一般的には、次のような作業を必要とします。
- 現在利用しているPHPのバージョンを確認する
- WordPressやテーマ、プラグインの対応状況を調査する
- ホームページ全体のバックアップを取得する
- 必要に応じてテスト環境で更新を試す
- PHPのバージョンアップを実施する
- ページ表示やお問い合わせフォームなどの動作を確認する
- 不具合があれば原因を調査し、修正する
古いホームページの場合、PHPの更新だけでは済まず、プログラムそのものの修正やテーマ・プラグインの変更が必要になることもあります。
また、今回のPHP2shellへの対策は、必ずしも大幅なメジャーバージョンアップを意味するものではありません。利用しているPHPの系列に応じた修正版を適用することが基本です。
大切なのは、現在の「環境を正しく把握」し、「適切な方法で更新」することです。
6．だからこそWebサイト保守契約が必要
ここまで説明したように、ホームページは公開したまま放置してよいものではありません。
PHPやWordPress、プラグインなどは継続的に更新されます。それに伴い、ホームページ側も適切な管理が必要になります。
そこで重要になるのが、Webサイトの保守契約です。
保守契約を結ぶことで、例えば次のような管理を継続的に行うことができます。
・PHPのバージョン管理
・WordPressやプラグインの更新管理
・定期的なバックアップ
・更新後の動作確認
これらが重要です。
言い換えるなら「保守＝安定してサイトを運用するため、安全を買う保険」といえるでしょう。
7．Webサイトの放置は、修復費用だけでは済まない
「毎月の保守費用がもったいない」
そう考えて、ホームページを何年も放置している企業もあるかもしれません。
確かに、保守契約を結ばなければ、毎月の費用はかかりません。
しかし、その判断が結果的に大きな負担につながることがあります。
長年放置したホームページを更新しようとしたところ、古いプログラムが新しいPHPに対応できず、大幅な修正や作り直しが必要になる。結果として、通常の保守費用を大きく上回る修復費用が発生する、ということも考えられます。
ただし、本当に怖いのは修復費用だけではありません。
知らない間に攻撃の被害に遭っている可能性があることです。
例えば、ホームページの脆弱性を悪用され、自社のサーバーが他の企業やWebサイトへの攻撃の踏み台にされることがあります。
また、お問い合わせフォームに入力されたお客様の氏名、電話番号、メールアドレス、相談内容などが、不正に取得される可能性もあります。
サーバー内のデータが盗まれたり、ホームページが改ざんされたりすることも考えられます。
こうした被害が発生した場合、企業はどのような対応を迫られるでしょうか。
お客様への説明や謝罪、情報漏えいへの対応、取引先への報告など、さまざまな対応が必要になります。
一度失った信用は、ホームページを修復したからといって元に戻るものではありません。
さらに、自社のサーバーが攻撃の踏み台として悪用されれば、自社だけでなく、第三者にも被害を与えることになりかねません。
自社のホームページを守ることは、お客様の情報を守ることでもあり、取引先や社会に対する責任でもあるのです。
Webサイトの保守は、会社とお客様を守るためのものです。
毎月の保守費用を単なる経費として考えるのではなく、会社の大切な情報や信用を守るための投資として考える必要があります。
8．ホームページは公開した後の管理が大切
今回のPHP2shell問題は、ホームページの保守管理について改めて考えるきっかけになったのではないでしょうか。
PHPのようなプログラムには、今後も新たな脆弱性が発見される可能性があります。
脆弱性を放置すれば、不正アクセスや情報漏えいなどの被害につながるおそれがあります。
一方で、適切な事前確認をせずにPHPを更新すれば、ホームページが正常に動かなくなる可能性もあります。
だからこそ、日頃からホームページの状態を把握し、必要な更新やメンテナンスを行うことが重要です。
ホームページは、会社の大切な資産です。
公開したまま何年も放置していませんか？
最後にPHPのバージョンを確認したのはいつでしょうか。WordPressやプラグインの更新は適切に行われているでしょうか。
万が一、ホームページが表示されなくなったとき、すぐに相談できる相手はいるでしょうか。
ホームページの保守は、単に表示を正常に保つためだけのものではありません。
会社を守り、お客様の大切な情報を守り、取引先や第三者に被害を及ぼさないためにも必要な取り組みです。
安心してホームページを運用し続けるために、今一度、自社のWebサイトの保守管理について考えてみませんか。
また、何か気になることがあれば、こちらからご相談ください。
