【速報】プログラミング言語「PHP」に緊急レベルの脆弱性｜保護者が知っておきたいことと、今日やること

2026-10-21

こんにちは！現役IT講師のきっちゃん先生です。

2026年10月21日、プログラミング言語「PHP」に、緊急レベルの脆弱性（ぜいじゃくせい）が2件見つかりました。国内でも、いくつかのサービスが緊急メンテナンスや一部機能の停止を発表しています。

ニュースを見て、こう思った方もいるかもしれません。

「うちの子が使っているゲームや学習サービスは大丈夫？」 「パソコンやスマホを、いま更新しないといけないの？」

この記事では、専門用語をできるだけ使わずに、何が起きたのかと家庭でやることを整理します。

この記事の読み方

数字や事実は、出典を付けて書いています
私の意見には💭 のマークを付けています
公開直後の情報で、報道によって細部が食い違っている部分があります。分かっていないことは「分かっていない」と書きます

内容は2026年10月21日夜〜22日朝の報道と、エックスサーバーの公式のお知らせ（22日6:45時点）にもとづきます。状況が動いたら、この記事を更新します。

まず結論：保護者が今夜やることは、多くありません

先に、一番知りたいことを書きます。

ご家庭のパソコンやスマホを、今回の件のために更新する必要は、基本的にありません。問題があるのは、Webサイトを動かすサーバー側です。直すのは、サービスやサイトの運営者です
利用中のサービスからお知らせが来ていないか確認してください。公式の案内に従えば大丈夫です
同じパスワードを複数のサービスで使い回していないか、この機会に見直してください
「メンテナンスのお知らせ」「パスワード再設定」を装った偽のメールやメッセージに注意してください
学校・PTA・習い事などのホームページを自分で管理している方と、お子さんがPHPを自分のパソコンで学んでいる家庭は、記事の途中にある「あなたの場合は？」の②・③を読んでください

慌てて何かを変える必要はありません。落ち着いて、順番に確認すれば十分です。

何が起きたのか

PHPって何？

PHPは、Webサイトの裏側で動くプログラミング言語です。

たとえるなら、レストランの厨房です。お客さん（私たち）が見ているのは、きれいな店内（Webサイトの画面）だけ。でも、注文を受けて料理を作っているのは、見えない厨房です。PHPは、その厨房で働いている道具のひとつです。

ブログやお店のサイトでよく使われるWordPress（ワードプレス）も、PHPで動いています。学校やPTA、習い事教室のホームページに使われていることも多いです。

「脆弱性」って何？

プログラムの中にある、うっかり作ってしまった穴のことです。

プロのエンジニアが作っても、こうした穴は見つかります。穴が見つかったら、直した新しい版を配ります。「見つかる」こと自体は、珍しいことではありません。

今回は何が「緊急」なのか

今回の2件は、10点満点中9.2という、とても高い深刻度が付けられています（CVSS v4.0）。

報道や専門企業の解説によると、次のような内容です。

ログインしなくても、外から特別なリクエストを送るだけで
サーバー上で相手の好きなプログラムを動かされてしまうおそれがある

専門用語では「リモートコード実行」といいます。

厨房にたとえると、裏口の鍵が壊れていて、外の人が勝手に入って、厨房で好きなことをできてしまうような状態です。

PHPの開発チームは10月20日に「修正版を出す」と予告し、10月21日夜に修正版を公開しました。修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。

出典：ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件修正版を日本時間21日深夜に公開へ」、GMO Flatt Security「PHPの重大な脆弱性『php2shell』の概要と対応指針」、CERT-EU「Critical Vulnerabilities in PHP」

実際に、攻撃は始まっているの？

報道では、この脆弱性を悪用するための情報が公開され、攻撃を試みる通信も観測されたとされています。だからこそ、各社が急いで対応しています。

一方で、「実際に誰かの情報が漏れた」という確認は、私が調べた範囲では見つかっていません。

出典：BleepingComputer「PHP ships emergency patches for critical PHP2Shell flaws」（英語）

国内のサービスで起きていること

21日、国内のいくつかのサービスが、緊急メンテナンスや一部機能の停止を発表しました。

Cygamesのゲームや、pixivなどが緊急メンテナンスを発表したと報じられています
エックスサーバーが、予防的な安全対策として、公式サイトと管理画面を一時停止しました。22日朝の時点で、PHP 8.2〜8.5については、対象のすべてのサーバーへの修正パッチの適用が完了したと案内されています（詳しくは下の「レンタルサーバーの状況」を参照）

混同しないでください。同じ時期に、さくらインターネットもレンタルサーバーの緊急メンテナンスを行っていますが、こちらはPHPとは別の件（Linux側の脆弱性への対応）です。「PHPの件で、さくらも止まっている」というわけではありません

「メンテナンス」と聞くと不安になりますが、セキュリティ対応のために先に止めて直す、というのは、運営者として正しい動きです。ただし、理由は会社ごとに違います。各社の公式のお知らせで確認してください。

出典：日経xTECH「PHPの重大な脆弱性で緊急メンテナンス相次ぐ」、さくらインターネットの件はセキュリティ対策Lab「さくらインターネットがレンタルサーバ・VPSを緊急メンテナンス」

💭 私の意見です。サービスが止まると不安になりますが、先に止めて直してくれる運営者のほうが、信頼できると私は思っています。逆に、何も告知がなく、いつまでも古いまま動いているサイトのほうが心配です。

あなたの場合は？ 3つのタイプで見てください

ご家庭によって、やることが違います。当てはまるものを1つ選んで読んでください。

タイプ	こんな人	やること
① 使うだけの人	ゲームや学習アプリ、学校の連絡サービスを使っている（ほとんどの保護者）	下の①を読む
② サイトを運営している人	学校・PTA・習い事・お店などのホームページを、自分で管理している	下の②を読んだあと、「その1」「その2」（サイトの作り方／レンタルサーバー）へ
③ お子さんがPHPを学んでいる家庭	プログラミング教室などで、PHPを自分のパソコンに入れて学んでいる	下の③を読む

どれにも当てはまらなければ、この記事は「知っておく」だけで大丈夫です。

① サービスを「使うだけ」の人（ほとんどの保護者）

ご家庭のパソコンやスマホの更新は、基本的に要りません。次の3つを確認してください。

1. 利用中のサービスのお知らせを見る

お子さんが使っているゲーム、学習アプリ、学校の連絡サービスなどです。メールやリンクからではなく、公式アプリや、ブックマークした公式サイトから確認してください。

2. パスワードの使い回しを見直す

今回の件で「パスワードを変えなさい」と、公式に求められているわけではありません。ただ、同じパスワードを複数のサービスで使っていると、1か所で漏れたときに被害が広がります。この機会に見直す価値はあります。可能なら二段階認証も設定しましょう。

3. 偽のメールやメッセージに注意する

こういうニュースが出ると、それを口実にした詐欺が増えがちです。

「システム障害のため、パスワードの再設定が必要です」
「メンテナンスのため、こちらにログインしてください」

このようなメールのリンクは開かないでください。サービスの公式アプリや、自分で登録した公式サイトから確認します。

② 学校・PTA・習い事のサイトを運営している人

あなたのサイトがPHPで動いているなら、運営者側の対応が必要です。

まず、次の3つだけ確認してください。

自分のサイトが、どんな作り方かを確認する（次の「その1」で、5つのタイプに分けて説明します）
契約しているサーバー会社の「お知らせ」を見る（「その2」で、各社の状況をまとめています）
分からなければ、サイトを作ってくれた業者さんか、サーバー会社に、「PHPの脆弱性の件、うちのサイトは対応済みですか？」と聞く（これが一番早いです）

その他の注意点です。

自己判断で、管理画面のPHP設定をいじらないでください。サイトが表示されなくなることがあります。サーバー会社の案内を待つのが安全です
もう使っていない古いサイトは、この機会に停止や削除も検討してください。会員名簿などの個人情報が残っているサイトは、特に優先です
PHPのバージョンは、WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で見られます
使っているPHPが8.1以前の場合は、PHPの公式な修正版が出ていません。サーバー会社の対応を確認するか、新しい版への移行が必要です

出典：WordPress日本語サイト「PHP の重大なセキュリティリリース」

③ お子さんが、自分のパソコンでPHPを学んでいる家庭

プログラミング教室などで、PHPを自分のパソコンに入れて学んでいる場合があります。

パソコンの中だけで動かしている（外から誰もアクセスできない）なら、リスクは低いと考えられます
ただ、PHPを新しい版に更新しておくのが安心です。お子さん自身にやってもらうと、いい学習になります
自分で作ったサイトを、インターネットに公開している場合は、サーバー側の更新が必要です。公開をいったん止めるのも手です

【②のサイト運営者の方へ】その1：サイトの作り方で、影響が違います

ここは、ホームページを自分で管理している方向けの内容です。ホームページの作り方は、いくつかあります。自分のサイトがどれかを確認してください。

サイトの作り方	今回の影響	やること
WordPressを、自分でレンタルサーバーに入れている（WordPress.org版）	あり。PHPで動いています	サーバーのPHPを更新（次の「その2」を参照）。WordPress本体の更新では直りません
WordPress.comなど、運営会社がサーバーを管理するタイプ	管理は運営会社側	利用者がPHPを更新する作業は、基本的にありません。運営会社のお知らせを確認
Wix・Shopify・Squarespaceなどのホームページ作成サービス	管理はサービス側	利用者が更新する作業は、基本的にありません。ただし、私が調べた範囲では、今回の件についての各社の公式発表は見つかっていません。公式のお知らせを確認してください
静的サイト（HTMLを並べただけのサイト。HugoやGitHub Pages、Cloudflare Pagesなど）	サイト側にPHPがないので、対象外	特になし
PHPのサイトの前に、Cloudflareを置いている	応急の防御が効く場合あり。ただし、これで終わりではありません	下の「Cloudflareを使っている場合」を参照

WordPressについて

WordPress日本語サイトでは、「この問題のためにWordPressを更新する必要はない」と案内されています。直すべきは、WordPressが動いているサーバー側のPHPです。

つまり、WordPressの管理画面で「更新」ボタンを押しても、今回の件は直りません。サーバーのPHPを更新する必要があります。

Wixなどのホームページ作成サービスについて

Wixのようなサービスは、サーバーの管理をサービス側が行っています。契約者がPHPを更新する、ということは基本的にありません。

ただ、各社の内部でどんな技術を使っているかは、私には分かりません。「PHPを使っていないから大丈夫」と決めつけず、Wixなどからのお知らせが来ていないか、念のため確認してください。

Cloudflareを使っている場合

Cloudflareは、サイトの前に置いて、攻撃を防ぐWAF（ウェブ・アプリケーション・ファイアウォール）という仕組みを持っています。

Cloudflareは今回、公表の前に、防御のルールを配りました。無料プランでは自動で入るとされています。有料プランの場合は、ルールが有効（ブロックモード）になっているか、確認が勧められています。

ただし、注意点が2つあります。

Cloudflareを通っている通信だけが守られます。サーバーに直接アクセスされる道が残っていると、防げません
Cloudflare自身が、これを応急処置と位置づけています。PHPの更新は、結局必要です

出典：Cloudflare Blog「Cloudflare deploys protections against php2shell vulnerability」（英語）、WordPress日本語サイト「PHP の重大なセキュリティリリース」

【②のサイト運営者の方へ】その2：レンタルサーバーの状況（22日朝の時点）

自分でWordPressなどを入れている場合、PHPを更新するのはレンタルサーバー会社です。報道されている範囲の状況をまとめます。

サービス	報じられている状況
エックスサーバー	公式のお知らせ（22日6:45時点）：PHP 8.2〜8.5は、対象のすべてのサーバーへの修正パッチの適用が完了。旧バージョンは、準備が整い、検証・確認が終わったものから順に適用中で、その他の旧バージョンも対応を進めているとのことです。公式サイトと管理画面は、予防的な安全対策として一時停止していました。「本対応は、当社サービスに対する不正アクセスの発生に伴うものではない」と明記されています。契約者が、自分でPHPを更新する作業は、基本的にありません（旧バージョンの場合は、お知らせで確認してください）
さくらインターネット	21日13時ごろから22日8時ごろまで緊急メンテナンス。ただし、PHPとは別の件（Linux側の脆弱性への対応）です
ロリポップ！	21日21時50分の時点で、公式サイトがメンテナンス中で、お知らせを確認しにくい状態と報じられています
ConoHa WING／mixhostなど	私が調べた範囲では、状況を確認できませんでした

状況は、刻々と変わっています。この表は目安にしてください。

契約しているサーバー会社の確認のしかた

サーバー会社の「お知らせ」ページを見る（メールやSNSのリンクではなく、ブックマークした公式サイトから）
管理画面で、PHPのバージョンを確認する。修正版は、8.5.12、8.4.27、8.3.36、8.2.35以降です
会社が自動で更新してくれるのか、自分で版を切り替える必要があるのかを、お知らせで確認する
版を切り替える場合は、先にサイトのバックアップを取り、サーバー会社の案内に従う。古いプラグインやテーマが、新しい版で動かなくなることがあります

出典：ITmedia NEWS「PHPの『緊急』レベルの脆弱性、開発元が修正バージョン公開」、SkyPenguin「PHPの重大な脆弱性、レンタルサーバー各社の対応は？」

💭 ここからは私の意見：子どもに伝えたいこと

ここから先は、出典のない、私の考えです。

「穴は、プロでも作る」ことを教える機会です

プログラミングを教えていると、子どもたちは「プログラムは正しく動くもの」と思いがちです。でも、現実は違います。世界中で使われているプログラムにも、穴は見つかります。

今回のニュースは、それを伝えるいい題材だと思っています。「なんで穴ができるの？」「誰が見つけるの？」「見つけたらどうするの？」。親子で話してみてください。

「更新する」は、立派なセキュリティ対策です

今回の対策の中心は、結局「新しい版に更新する」です。特別な技術ではありません。

ソフトウェアの更新の通知が来たら、後回しにせず入れる。これを習慣にすることが、一番効く守り方だと私は思っています。

「インフラは大人、創作は子供」

国東観光AIアバターのシリーズでも書きましたが、サーバーや認証情報のような「インフラ」は、大人が管理するのが基本です。子どもが作ったものを公開するときは、どこで動かすのか、誰が更新を見ているのかを、大人が責任を持って決めておきましょう。

💭 ちなみに、このブログ（ai-kids-pc.com）は、PHPを使わない静的なサイトです。サイト側にPHPの部分がありません。ただ、「自分は大丈夫」と思い込まず、使っているものが何で動いているかを知っておく習慣は大事だと思っています。

この記事の確かさについて

内容	確かさ
2件の脆弱性があり、10月21日に修正版（8.5.12／8.4.27／8.3.36／8.2.35）が公開されたこと	複数の報道・専門企業・CERT-EUが一致しています
深刻度9.2（CVSS v4.0）	複数の情報源が一致しています。10.0と報じた情報もありましたが、確認できていません
エックスサーバーの状況	同社の公式のお知らせ（22日6:45時点）にもとづきます。時間とともに更新されるため、最新はお知らせで確認してください
そのほかの国内サービス・レンタルサーバー各社の状況	報道にもとづく。理由や内容は会社ごとに違います。各社の公式案内で確認してください
Wixなどの作成サービス・WordPress.comの扱い	私の整理です。各社の公式発表は、調べた範囲では見つかっていません
Cloudflareの防御	Cloudflare自身の発表にもとづきます。ただし応急処置であり、PHPの更新が必要です
攻撃が試みられていること	報道にもとづく。実際に情報が漏れたという確認は、私は見つけていません
「家庭のパソコンの更新は基本的に不要」	今回の問題がサーバー側にあることからの私の整理です
パスワード変更・二段階認証	一般的な対策。今回の件で公式に求められたものではありません
PHP公式・JPCERT/CC・IPAの発表	私の環境からは直接確認できていません。下の参考資料から、最新の情報をご確認ください

参考資料

公式・公的な情報（最新の状況はこちらで確認してください）

PHP公式サイト：php.net
IPA（情報処理推進機構）セキュリティ情報：ページを見る
JPCERT/CC：ページを見る
WordPress日本語サイト「PHP の重大なセキュリティリリース」（2026年10月21日）：ページを見る
CERT-EU「Critical Vulnerabilities in PHP」：ページを見る

サービス事業者の発表

エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日6:45時点）：エックスサーバー公式サイトのお知らせから確認できます
Cloudflare Blog「Cloudflare deploys protections against php2shell vulnerability」（英語）：記事を見る

報道・専門企業の解説

ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件修正版を日本時間21日深夜に公開へ」：記事を見る
日経xTECH「PHPの重大な脆弱性で緊急メンテナンス相次ぐ」：記事を見る
GMO Flatt Security「PHPの重大な脆弱性『php2shell』の概要と対応指針」：記事を見る
ITmedia NEWS「PHPの『緊急』レベルの脆弱性、開発元が修正バージョン公開『直ちにアップデートを』」：記事を見る
SkyPenguin「PHPの重大な脆弱性、レンタルサーバー各社の対応は？」：記事を見る
セキュリティ対策Lab「さくらインターネットがレンタルサーバ・VPSを緊急メンテナンス」（※PHPとは別の件）：記事を見る
BleepingComputer「PHP ships emergency patches for critical PHP2Shell flaws」（英語）：記事を見る

更新履歴

2026年10月21日：初版を公開（修正版の公開直後の情報にもとづく）。WordPress・Wixなどの作成サービス・Cloudflare・レンタルサーバーの状況を追記
2026年10月21日：さくらインターネットのメンテナンスはPHPとは別の件であることを明記。エックスサーバーの緊急メンテナンスの記述を更新
2026年10月22日：エックスサーバーの公式のお知らせ（22日6:45時点）をもとに、PHP 8.2〜8.5の修正パッチ適用が完了したこと、不正アクセスに伴う対応ではないことを反映

状況が動いたら、この記事を更新します。

まとめ

プログラミング言語「PHP」に、緊急レベルの脆弱性2件が見つかり、10月21日夜に修正版が公開されました
直すのは、サービスやサイトの運営者です。ご家庭のパソコンやスマホの更新は、基本的に要りません
利用中のサービスの公式のお知らせを確認し、パスワードの使い回しを見直し、偽のメールに注意してください
サイトを運営している方は、作り方によって対応が違います。WordPress（自前のサーバー）はサーバーのPHPの更新が必要で、Wixなどはサービス側のお知らせを確認、静的サイトは対象外です
「穴は、プロでも作る。だから更新が大事」。お子さんと話すきっかけにしてみてください