PHPの脆弱性は一般人にも影響ある？サーバー主だけかをわかりやすく解説

話題のPHPの脆弱性は、一般人にも影響がありますが、PHPを直すのはサイトやサーバーを運営する側で、サイトを見るだけの人が自分のスマホで何かを更新する必要は基本的にありません。

影響は、使っているサービスが一時的に止まることや、運営側の対策が遅れたサイトで預けた情報が漏れるおそれ、という形で間接的に現れます。

「ニュースで騒がれているけれど、専門用語ばかりで自分に関係あるのか分からない」と感じている人に向けて、今回の問題をたとえを使ってわかりやすく整理し、立場ごとの対策をまとめます。

※2026年10月22日時点の情報です。

最新の情報は公式サイトでご確認ください。

PHPの脆弱性は一般人にも影響ある？立場別の判断表

対策をするのはサーバーやサイトの運営者ですが、影響を受ける可能性があるのはサイトを使う一般の人も同じです。

PHPの開発チームは2026年10月21日に修正版を公開しており、利用中のサービスが更新を終えていれば、そのサービスを通じた影響は小さくなると考えられます。

ただし、すべてのサイトが更新を終えたと確認されたわけではありません。

自分がどの立場かを、次の表で確かめてください。

「サーバー主だけの問題？」という疑問への答えは、「直すのはサーバー主、影響を受けうるのは利用者も含む」です。

次の章から、そもそも何が起きたのかを順番に見ていきます。

PHPの脆弱性とは？今回の問題をわかりやすく解説

今回の問題は、多くのWebサイトの裏側で動く「PHP」に、外部から悪用されうる重大な欠陥が2つ見つかったというものです。

深刻度は10点満点中9.2で、最も重い区分にあたります。

ここでは、用語の意味と、2026年10月に起きたことをかみくだいて説明します。

PHPと脆弱性をたとえで理解する

PHPは、Webサイトの裏側で動くプログラムを書くための言語です。

ITmedia NEWSによると、ブログや企業サイトでよく使われるWordPressもPHPで書かれていて、米W3Techsの調査では、サーバー側の言語が分かっているサイトの約7割がPHPを使っています。

ネットショップで「カートに入れる」を押したときや、ログイン画面でパスワードを入れたとき、その情報を処理しているのはサイト側のコンピューター（サーバー）です。

たとえるなら、PHPはお店の厨房で使われている調理の道具で、私たちはカウンターで注文するお客さんです。

ITmedia NEWSも、一般のユーザーがPHPに直接触れることはほとんどないと説明しています。

脆弱性について、総務省の「国民のためのサイバーセキュリティサイト」は、プログラムの不具合や設計上のミスが原因で生じるサイバーセキュリティ上の欠陥で、「セキュリティホール」とも呼ばれると説明しています。

建物でいえば、作った人も気づいていなかった裏口の鍵の欠陥です。

総務省は、脆弱性を残したまま使うと、不正アクセスやホームページの改ざんなどにつながるおそれがあり、アップデートで塞ぐことが対策の基本だとしています。

2026年10月に見つかった2つの欠陥と修正版

PHP公式サイトは2026年10月20日、重大な脆弱性2件の修正版を10月21日（日本時間23時）に公開すると予告し、予定どおり公開しました。

2件はCVE-2026-109618とCVE-2026-109619という番号で管理されていて、深刻度の点数（CVSS）はどちらも9.2です。

ITmedia NEWSによると、CVSSは深刻度を0〜10で表す共通の物差しで、9.0以上は最も深刻な「Critical（緊急）」に分類されます。

PHP公式の説明をやさしく言い換えると、1つ目は「作業用のメモリが足りなくなって処理が止まったとき、後片付けが中途半端なまま進んでしまう」問題です。

2つ目は「前のお客さんの注文メモが机に残っていて、次のお客さんの処理で使われてしまう」ような問題です。

PHP公式は、悪用されるとログインしていない外部の人がサーバー上でプログラムを動かせる「リモートコード実行」につながる可能性があるとしています。

Wiz Researchの報告では、条件によってはサーバーの作業用メモリを読み取られ、そこにほかの利用者のパスワードなどが含まれるおそれもあるとのことです。

GMO Flatt Securityは、どちらも「ある通信の処理中にメモリに不完全なデータが残り、別の通信がそれを使うことで想定外の動作が起きる」という2段階の問題だと説明しています。

Huntressによると、この脆弱性の情報は10月20日に予定より早くインターネット上に出回りました。

そのため、修正版の公開を待たずに、念のためサービスを止める会社が相次ぎました。

一般人への影響と今やっておきたい対策

一般の人にとって身近な影響は「サービスの一時停止」で、やっておきたい対策は「お知らせの確認」と「パスワードの使い回しをやめること」です。

スマホのOSを更新して直る問題ではないので、自分の機器をいじる必要はありません。

ここでは、影響の出方と、具体的な対策の手順を説明します。

サービスの一時停止と情報流出の可能性

ITmedia NEWSによると、10月21日には保育園向けサービス「コドモン」、ゲーム「Shadowverse: Worlds Beyond」、「さくらのレンタルサーバ」などが緊急メンテナンスに入りました。

「BASE」や「エックスサーバー」なども、同日23時ごろからのメンテナンスを予告しました。

日経クロステックは、Cygamesやpixivも緊急メンテナンスを発表したと伝えています。

セキュリティ情報をまとめているpiyologは、国の機関、自治体、銀行、鉄道、大学、電子書籍、チケット販売など、国内の211組織が停止やメンテナンスなどを告知したと整理しています。

ゲームにログインできない、注文フォームが止まっている、といった現象の多くは、運営側が安全のための対応を進めている表れです。

ITmedia NEWSによると、日本では国家サイバー統括室も、できるだけ早い対応を求めています。

もし運営側が更新しないまま攻撃を受けると、そのサイトに登録した個人情報やパスワードが漏れるおそれがあります。

悪用の状況について、piyologによるとPatchstackは修正直後の観測では探るような攻撃が中心で、侵入の確かな証拠はまだないとしていました。

Huntressも、10月21日の時点では、自社が見ている環境での悪用を確認していないと説明していました。

今回の件で利用者の個人情報が流出したという公式発表は、2026年10月22日時点で見当たりません。

今後、各サービスから個別のお知らせが出る可能性はあるので、よく使うサービスの発表は確認しておきましょう。

パスワードとお知らせの確認方法

一般の人ができる対策は、次の3つです。

• よく使うサービスの「重要なお知らせ」を、公式アプリや公式サイトで確認する
• 同じパスワードを複数のサービスで使い回している場合は、サービスごとに変える
• 使えるサービスでは、多要素認証（2段階認証）を設定する

総務省は、1つのサイトから情報が漏れると、同じパスワードを使う別のサービスにもログインを試されるおそれがあるとして、使い回しをしないよう呼びかけています。

流出や不正利用の事実がなければ、定期的に変える必要はないとしていて、流出が分かったときに速やかに変更すればよいとしています。

パスワードに加えてスマホへの確認コードなどを組み合わせる多要素認証も、不正ログインを防ぐのに役立つ手段の1つです。

お知らせを確認するときは、メールやSMSのリンクから開かず、いつも使うアプリや自分で開いた公式サイトから確かめると安心です。

総務省は、メールやSMSのリンクから本物ではないサイトへ誘導する手口が多く報告されていると注意を呼びかけています。

話題のニュースに合わせて届く不審なメールにも、同じように気をつけてください。

WordPressでブログを持つ人・サーバー主がやること

自分でブログやネットショップを持っている人は「お店の側」なので、PHPが修正版になっているかを確認する必要があります。

設定の変更による一時的な対策は完全ではなく、修正版への更新だけが確かな解決策だというのが、PHP公式の立場です。

ここでは、確認の手順と、レンタルサーバーを使っている場合の考え方を説明します。

PHPのバージョンをサイトヘルスで確認する

WordPress.orgの説明によると、WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」タブにある「サーバー」の項目で、PHPなどサーバーの情報を確認できます。

表示された版が、上の表の修正版（8.5.12・8.4.27・8.3.36・8.2.35）以上になっていれば、PHP本体は対応済みです。

同じページでは、サーバーの設定を変えたいときはホスティング会社への問い合わせが必要な場合が多いとも説明しています。

Patchstackは、公式ではない「修正プラグイン」や出どころの分からないコードの貼り付けは、効果が確かめられておらずサイトが壊れるおそれもあるとして、避けるよう呼びかけています。

業者にサイトの管理を任せている場合は、「PHPを今回の修正版に更新したか」を業者に確認するのが確実です。

サーバー会社の案内と古いPHPの扱い

レンタルサーバーでは、PHP本体の更新をサーバー会社が行うことが多いので、契約しているサーバー会社のお知らせで対応状況を確認しましょう。

管理画面でPHPの版を自分で選ぶ仕組みのサーバーでは、新しい版への切り替えが必要な場合があります。

切り替える前には、念のためバックアップを取っておくと安心です。

PHP公式によると、PHP 8.1以前は開発チームからの更新が提供されないため、OSの提供元などに修正があるか確認するか、サポート中の版へ移る必要があります。

PHP 8.2も2026年12月31日でサポートが終わり、それ以降はセキュリティの修正が出ません。

Wiz Researchによると、PHP 5.4以降のほぼすべての版が2件のうち少なくとも1件の影響を受けるため、古い版のまま使い続けるのは避けたいところです。

今のうちに8.3以降への切り替えを計画しておくと、次に同じような問題が起きたときも慌てずに済みます。

IPAは、PHPがソフトウェア製品やネットワーク機器の内部で使われている場合もあるとして、利用状況の確認を呼びかけています。

まとめ：PHPの脆弱性で一般人がやること

PHPの脆弱性は、多くのWebサイトの裏側で動くPHPに重大な欠陥が見つかった問題で、2026年10月21日に修正版が公開されました。

直すのはサイトやサーバーの運営者で、一般の人は自分の機器で何かを更新する必要はありませんが、預けた情報を通じて間接的に影響を受ける可能性はあります。

• サイトを見るだけの人：運営元のお知らせを公式アプリや公式サイトで確認し、パスワードの使い回しをやめる
• ブログやネットショップを持つ人：サイトヘルスやサーバー会社の案内で、PHPが修正版か確認する
• 業者に管理を任せている人：修正版に更新済みかを業者に確認する

メールで届く案内は、リンクから開かずに公式アプリなどから確かめるようにしてください。