最初に確認すること
まず管理画面か契約先でPHPの利用状況と、今回の修正が適用されているかを確認します。2026年10月21日に公表された2件の脆弱性には修正版が公開済みです。WordPress本体の更新だけでなく、サーバー側のPHPへの対応が必要です。
SORANORU GUIDE
PHPの脆弱性、自分のサイトを確認
まず管理画面か契約先で、PHPの利用状況と修正の適用状況を確認します。2026年10月公表の脆弱性について、店舗向けの確認手順と管理会社への問い合わせ文をまとめました。
まず確認すること：PHPの利用状況と、修正の適用状況
2026年10月22日確認。対象はCVE-2026-109618、CVE-2026-109619（PHP2shell）です。PHPの開発元は、Webリクエストを処理するPHP環境への速やかな更新を呼びかけています。サイトを作った方法や見た目だけで判断せず、管理画面かサービス提供元で確認してください。
WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。これはWordPress本体のバージョンとは別の情報です。
制作会社に管理を任せている場合や管理画面を開けない場合は、下の確認文を使って契約先へ問い合わせます。ホスティング型の作成サービスでは、そのサービスの公式告知とサポート窓口で影響・対応状況を確認してください。
修正バージョンと、サービス提供元で確認するポイント
PHP公式が公表した修正バージョンは、8.2系が8.2.35、8.3系が8.3.36、8.4系が8.4.27、8.5系が8.5.12です。利用中の系統に対応する修正版、またはサービス提供元が今回の修正を含むと案内する更新を確認します。
古いバージョンでも、OSや長期サポートの提供元が修正を取り込んだパッケージを用意している場合があります。表示された数字だけで修正の有無を決めず、今回の2件への対応が適用済みかを契約先に確認してください。
PHP 8.1以前は通常の公式サポートが終了しています。PHP公式は今回、一部旧版向けの最小限のソース修正も案内していますが、店主が自分で組み込む手順ではありません。管理者に対応方法と、サポート中の環境へ移す計画を確認します。
管理会社へ送る確認文
角括弧の部分を自分の情報に置き換えて、普段利用している制作会社・サーバー会社の窓口へ送ってください。管理画面のパスワードや認証コードを、この文面に書き添える必要はありません。
コピーして使う問い合わせ文
- 文面
- 当店のホームページ［自社サイトのURL］について、2026年10月公表のPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況を確認したく、ご連絡しました。 1. 当サイトの公開環境でPHPを利用していますか。利用中のバージョンと管理元を教えてください。 2. 今回の2件に対する修正は適用済みですか。適用日時、確認できる告知、当方で必要な作業を教えてください。 3. 未対応の場合は、対応予定と、それまでの一時停止等の判断・作業を誰が行うか教えてください。 4. 作業に伴うサイト・問い合わせ・予約・メールへの影響と、必要な確認方法を教えてください。
外から分からない場合・すぐ更新できない場合
URLに「.php」がない、ブラウザーでPHPの情報が見つからない、トップページがHTMLで表示される、といった理由だけではPHPを使っていないとは判断できません。別のフォームや同じサーバー上の機能で使われている可能性もあるため、実際の公開環境を確認します。
PHP公式は、更新が完全な対策であり、個別の緩和策だけでは安全にならないと説明しています。すぐ更新できない場合は、管理者・サービス提供元と一時停止を含む対応を相談してください。変更後に必要な再起動や動作確認も管理者へ確認します。
不審な改ざんなどがある場合は、契約先や対応できる専門家に連絡し、調査と復旧を優先してください。新しいサイトを作っても、古いサーバーの問題や情報漏えいの有無が自動で解決するわけではありません。
PHPを使わない店舗サイトへ見直すか、判断する目安
今回の更新を済ませた後、これから誰が保守するかを考えます。PHPやWordPressを更新しながら使い続ける方法と、必要な機能を整理して別の作成・公開方法へ変える方法があります。すべてのサイトに移行が必要なわけではありません。
| 今のサイトの役割 | 見直し方 |
|---|---|
| 店舗紹介・メニュー・営業時間・交通案内 | HTML中心の紹介サイトとして作り直す候補。原稿・写真・旧URLを整理する |
| 外部サービスでの予約や購入 | 契約とリンク先を維持できるか確認。新しいサイトから完了まで試す |
| 会員・注文処理・大量の記事・独自業務機能 | 機能とデータの移行を個別に設計する。紹介ページの作り直しだけで置き換えない |
スマートフォンでは表を横にスクロールして確認できます。
Soranoruの今回の対象範囲と、作成・公開の条件
2026年10月22日に実装と公開基盤を確認した範囲では、Soranoruの主サービスと当社ホスティングの生成サイトはPHPを実行しておらず、今回のPHPの2件の脆弱性は該当しません。これは、他の種類の脆弱性がないことや、連携先・移行元まで安全であることを保証するものではありません。
Soranoruでは、店舗情報を入力したり、既存の公開ページから読み込めた紹介文・写真候補を確認したりして、新しいサイトの下書きを作れます。旧サイトを一括移行する機能ではなく、現在のサーバーやDNSを自動変更するものでもありません。
FreeではWebサイト1件とLP1件を無料で作成・プレビュー編集できます。Freeの公開枠はWebサイト0件・LP0件で、長期公開は含まれません。公開するときに有料プランを選びます。
独自ドメインの取得・更新、メール、既存の予約・決済サービスなどの契約は別途確認してください。旧サイトの転送やメールを維持する準備を終えてから公開先を切り替えます。
要点まとめ
確認と対応の順番
- 管理画面または契約先でPHPの利用状況を確認する
- サービス提供元の告知と照合し、修正の適用状況を確認する
- 未対応・不明なら管理者へ連絡し、必要な更新や一時停止を相談する
- 現在の対応を済ませたうえで、今後の保守とサイト構成を見直す
判断するときの注意点
- 外からPHPの情報が見えないことは、安全の証明になりません。
- 修正済みか分からない場合は、自己判断で安全とせず契約先に確認してください。
- 新サイトの作成は、旧サーバーの修正や侵害調査の代わりにはなりません。
よくある質問
WordPressを更新すれば今回の問題は解決しますか
今回の2件はPHPの脆弱性なので、WordPress本体の更新だけでは解決しません。サーバー側のPHPに今回の修正が適用されているかを、管理画面とサービス提供元の案内で確認してください。
URLに.phpがなければ対象外ですか
URLの末尾や見た目だけでは判断できません。PHPの情報を外部に表示しない設定もあり、別のフォームや同じサーバー上の機能で使われることもあります。管理画面または契約先で確認してください。
このページでサイトの安全診断を受けられますか
このページは自分で確認する手順と問い合わせ文を案内するものです。URLを調べて安全を判定したり、脆弱性を検査・修復したりするサービスではありません。外部から情報が見えない場合も安全とは判定できません。
Soranoruの主サイトや生成サイトは今回の対象ですか
2026年10月22日に確認したSoranoruの主サービスと当社ホスティングの生成サイトはPHPを実行しておらず、今回の2件は該当しません。外部の予約・決済サービスや移行前のサーバーは、それぞれの提供元で確認してください。他の安全性まで保証する説明ではありません。
最終更新日: