「PHPに重大な脆弱性」
「Javaに緊急の更新」
こんなニュースを見て、心配になった方もいるかもしれません。
うちのホームページは大丈夫なのか、と。
先に書いておくと、PHPやJavaが特別に危ないわけではありません。
どの言語でも、こういうことは起きます。
大事なのは、自分のホームページが関係あるかを知ることです。
その確かめ方を書いておきます。
脆弱性とは、設備に見つかった欠陥のこと
ホームページを、お店にたとえて考えてみます。
サーバーは、店舗の建物です。
PHPなどのプログラムは、その建物の中で動いている設備です。
脆弱性（ぜいじゃくせい）は、その設備に見つかった欠陥のことです。
ひどいものだと、鍵を持っていない人が裏口から入れてしまいます。
入られると、ホームページを書き換えられたり、預かっている情報を盗まれたりするおそれがあります。
2026年10月のPHPの脆弱性
2026年10月21日に、PHPの公式サイトが重大な脆弱性を2件公表しました。
番号は、CVE-2026-109618とCVE-2026-109619です。
ログインしていない人でも、外からプログラムを動かせるおそれがある、というものでした。
公式は、すぐに更新するよう強く勧めています。
設定で危険を減らす方法も案内されていますが、完全な対策は更新だけだとしています。
どの言語が悪い、という話ではない
同じ時期に、ほかの言語でも更新が続いています。
最近の例を並べてみます。
- PHP（2026年10月）：先ほど書いた2件です。
- Java（2026年10月）：Oracleが緊急のお知らせを出しました。通信相手を確かめる証明書に関する問題です。
- JavaScript（2025年12月）：Reactという部品で、深刻度10.0の脆弱性が見つかりました。
- Ruby（2026年7月）：Ruby on Railsの画像を扱う機能で、深刻度9.5の脆弱性が見つかりました。
深刻度は、危なさを10点満点で表した数字です。
言語そのものだけでなく、組み込んで使う部品に見つかることもあります。
2021年には、Javaで広く使われていたLog4jという部品で、深刻度10.0の脆弱性が見つかりました。
どのメーカーの鍵にも、欠陥が見つかることはあります。
プログラムも同じです。
人が作るものなので、欠陥がゼロにはなりません。
「この言語なら安全」「この言語は危ない」とは、言えないと考えています。
差が出るのは、欠陥が見つかったあとに、直された版へ替えているかどうかです。
公表されたということは、直し方が用意されたということでもあります。
怖いのは、知らないまま古いものを使い続けることです。
うちのホームページは関係あるのか
ここからは、今回のPHPを例に確かめていきます。
ほかの言語でも、考え方は同じです。
1. PHPを使っているか確かめる
WordPressで作ったホームページは、PHPで動いています。
文章や画像だけのHTMLで作ったホームページなら、PHPを使っていないこともあります。
ホームページ作成サービスを使っている場合は、サービスの運営会社が管理しています。
自分で判断がつかなければ、制作会社に聞くのが確実です。
2. PHPの版を確かめる
WordPressなら、管理画面の「ツール」から「サイトヘルス」を開きます。
「情報」の中の「サーバー」に、PHPの版が書かれています。
サーバー会社の管理画面でも、確かめられることが多いです。
「PHPバージョン」のような項目を探してください。
3. 修正された版と見比べる
今回の修正が入った版は、次のとおりです。
あわせて、PHP公式の案内にある更新の終了日も書いておきます。
- 8.5系：8.5.12以降（2029年12月31日まで）
- 8.4系：8.4.27以降（2028年12月31日まで）
- 8.3系：8.3.36以降（2027年12月31日まで）
- 8.2系：8.2.35以降（2026年12月31日まで）
- 8.1以前：PHP公式からの更新は終了しています
版の最初の2つの数字が同じなら、最後の数字を見比べてください。
たとえば8.3系なら、8.3.36より小さいと修正前の可能性があります。
8.1以前の場合は、新しい版への切り替えを考える時期です。
サーバー会社などが独自に修正を入れていることもあるので、番号だけでは判断できません。
8.2系を使っている場合も、年内で公式の更新が終わります。
早めに計画を立てておくと安心です。
4. サーバー会社のお知らせを見る
レンタルサーバーの場合、修正をサーバー会社が進めていることもあります。
利用者の作業が必要かどうかは、会社や契約によって違います。
サーバー会社のお知らせや、障害情報のページを見てください。
脆弱性の番号や「PHP」で探すと見つけやすいです。
5. 制作会社に聞く
自分で確かめられないときは、聞いてしまうのが早いです。
次のように送れば伝わります。
PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）のニュースを見ました。
うちのホームページは影響がありますか。
対応が必要な場合は、内容と費用を教えてください。
更新の前に、気をつけること
修正が入った版が見つかっても、いきなり切り替えないでください。
同じ系統の中での更新と違い、8.1から8.3のように大きく上げるときは注意が必要です。
古いテーマやプラグインが動かなくなり、画面が崩れることがあります。
ホームページが開かなくなることもあります。
作業の順番は、次のとおりです。
- ホームページのバックアップを取る
- テーマやプラグインが新しい版に対応しているか確かめる
- できれば確認用の環境で先に試す
- 問い合わせが少ない時間に切り替える
- トップページ、問い合わせフォーム、管理画面を確かめる
- 問題があれば、元に戻す
見覚えのない画面が出ているときは
見覚えのない広告が出る。
別のサイトに飛ばされる。
知らないページが増えている。
こういうときは、更新より先に、サーバー会社や制作会社へ連絡してください。
書き換えられている可能性があります。
詳しくは、こちらの記事に書いています。
わからないときは
版の見方がわからない。
制作会社と連絡が取れない。
だれが管理しているのかわからない。
そういうときも、そのままにしないでください。
HAKONIWAでは、他社で作ったホームページの引き継ぎや保守もお受けしています。
まずは状況を聞かせてください。
- 更新代行・保守運用のページ
- お問い合わせ（LINEでも相談できます）