🗨️「うちみたいな小さな会社のホームページも、PHP（ピーエイチピー）の攻撃の対象になるの？」
なります。攻撃は機械が自動で弱いサーバーを探して回るので、会社の大きさでは外れません。入られれば、問い合わせフォームに届いたお客さまの名前や電話番号まで危うくなります。ただし、攻撃の「試み」が届くことと、実際に入られることは別です。分かれ目は、そのサイトで動いているPHPに修正が入っているかどうかです。
［IT・ネット］ この記事の要点
2026年10月22日 発表
- 自社のホームページ（WordPressなど）をレンタルサーバーで動かしている会社・お店
- ホームページの管理を制作会社に任せている会社
攻撃の試みはどう増えた
数字を出したのは、世界中のサイトの通信を中継・防御している米Cloudflare（クラウドフレア）のマシュー・プリンスCEO（最高経営責任者）です。日本時間22日10時25分ごろ、自身のXで、PHPの弱点「php2shell（ピーエイチピー・トゥー・シェル）」を突こうとする通信の推移を明かしました。
公表（日本時間21日夜）の前の10時間で、すでに数千件が届いていました。公表から45分で数万件、2時間で数十万件と、1段ごとにケタが1つずつ増えています。Cloudflareは公表の約9時間前に防御の仕組みを入れ、攻撃する側がその防御をすり抜けようと中身を変えてくる様子も見ていると公式ブログに書いています。
小さな会社も狙われる理由
「うちは小さな会社だから、わざわざ狙われない」とは言えません。
数時間で数百万件という数は、人が相手を選んで打てる量ではありません。機械がネット上のサーバーに同じ通信を次々に送り、弱いところが返事をするのを待つやり方です。送る側には、届いた先が大企業のサイトか、駅前の不動産会社のホームページかの区別はついていません。私は、会社の大きさで狙われるかどうかが変わることはないと見ています。
しかも今回の弱点は、PHPの開発チームによると、条件がそろえばログインなしで、外からサーバー上のプログラムを動かされるおそれがあります。設定によっては、サイトのプログラムが動き出す前に攻撃が通ることも確かめられています。
町の不動産会社なら、物件の問い合わせフォームにお客さまの名前・電話番号・メールアドレスが届きます。入られたときに失うのは、ホームページの見た目だけではありません。
うちはWordPress（ワードプレス）のプラグインもこまめに更新しているけど、それでも危ないの？
おかあさん今回はそれでは直らないの。Cloudflareも「サイトのプログラムやプラグインを更新しても直らない、直す場所はPHP本体」と書いているわ。
試みと侵入の分かれ目
試みが届くことと、入られることは別です。PHPの開発チームは21日に修正版を出し、「完全な回避策はなく、更新だけが安全な選択」としています。修正済みのPHPなら、今回の弱点を突く試みは届いても空振りします。
| サイトのPHP | 修正版 | 状況 |
|---|---|---|
| 8.5 | 8.5.12 | 修正版あり |
| 8.4 | 8.4.27 | 修正版あり |
| 8.3 | 8.3.36 | 修正版あり |
| 8.2 | 8.2.35 | 修正版あり（12月31日でサポート終了） |
| 8.1より古い（7.4など） | 公式の更新なし | 7.4・8.0・8.1向けの修正の元データだけ公開。当てるかはサーバー会社しだい |
出典：PHP公式のお知らせ（10月21日）。Cloudflareを使っているサイトには無料プランでも防御が入っていますが、Cloudflare自身が「追加の守りで、修正の代わりにはならない」としています。
エックスサーバーなら安心？
「大手のレンタルサーバーを使っているから大丈夫」は、半分だけ当たっています。
エックスサーバーは22日6時45分、PHP 8.2〜8.5は対象のすべてのサーバーに修正を当て終えたと告知しました。それより古い版は「準備ができたものから順に適用」「その他も対応中」とし、13時15分の最新のお知らせまでに、古い版が終わったという告知は出ていません。
同じエックスサーバーでも、サイトが8.3で動いていれば修正済みの側、7.4のまま動いていれば告知がまだ出ていない側です。見るべきは「どこのサーバーか」より「そのサイトで動いているPHPの版」です。エックスサーバーは、管理画面の再開後に利用者へ追加の対策を頼む場合があるともしています。
PHPの版の確かめ方
- エックスサーバー：サーバーパネルにあるPHPのバージョン切替の画面に、ドメインごとの今の版が出る
- WordPress：管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」の欄
8.1より古い版が出たら、ホームページを作った制作会社かサーバー会社に「修正の予定」と「8.3以上へ上げられるか」を聞いてください。版を上げると古いテーマやプラグインが動かなくなることがあるので、いきなり自分で切り替えないほうが安全です。上げるなら、8.2は今年12月31日でサポートが終わるため、8.3以上にしておけば年明けにまた上げ直さずに済みます。
末尾の番号（8.3.36など）だけで修正済みかを決めつけるのも早すぎます。古い番号のまま修正を当てるサーバー会社もあるので、最後は契約先のお知らせで確かめます。
試みが届くこと自体は、会社の大きさに関係なく止められません。閉じられるのは、PHPという入口のほうです。
生活・仕事にどう効くか
- 問い合わせフォーム：入られると、届いた名前・電話番号・メールアドレスを抜かれるおそれ
- ホームページの中身：書き換えられて、知らないページや別のサイトへの誘導を仕込まれるおそれ
- サーバー：乗っ取られて、ほかへの攻撃の足場に使われるおそれ
結局どうすればよいか
- サイトのPHPの版を確かめる（エックスサーバーはサーバーパネルのバージョン切替の画面）
- 8.2〜8.5なら、契約先のサーバー会社が修正済みと告知しているかを見る
- 8.1より古いなら、制作会社かサーバー会社に修正の予定と版の引き上げを相談する
あわせて読む・調べる
くわしく知る（保存版の記事）
公式出典
更新履歴
- 2026年10月22日 初版を公開（22日17時台に確認した各社の公式情報にもとづく）
※本記事は2026年10月22日時点で公表されている情報にもとづきます。数値・制度・進路などは今後変わる可能性があるため、最新の内容は各公式発表をご確認ください。
Googleで「おかあさんのおうち」の新着を優先表示する
災害・道路・住まいの新しい記事がGoogleのトップニュースに出やすくなります。ボタン1回で登録できます。
コメント