# PHPの脆弱性、自分のサイトを確認
URL: https://soranoru.com/answers/php-vulnerability-check
最終更新日: 2026-10-22
まず管理画面か契約先で、PHPの利用状況と修正の適用状況を確認します。2026年10月公表の脆弱性について、店舗向けの確認手順と管理会社への問い合わせ文をまとめました。
## 最初に確認すること
まず管理画面か契約先でPHPの利用状況と、今回の修正が適用されているかを確認します。2026年10月21日に公表された2件の脆弱性には修正版が公開済みです。WordPress本体の更新だけでなく、サーバー側のPHPへの対応が必要です。
## 確認と対応の順番
- 管理画面または契約先でPHPの利用状況を確認する
- サービス提供元の告知と照合し、修正の適用状況を確認する
- 未対応・不明なら管理者へ連絡し、必要な更新や一時停止を相談する
- 現在の対応を済ませたうえで、今後の保守とサイト構成を見直す
## まず確認すること：PHPの利用状況と、修正の適用状況
2026年10月22日確認。対象はCVE-2026-109618、CVE-2026-109619（PHP2shell）です。PHPの開発元は、Webリクエストを処理するPHP環境への速やかな更新を呼びかけています。サイトを作った方法や見た目だけで判断せず、管理画面かサービス提供元で確認してください。

WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。これはWordPress本体のバージョンとは別の情報です。

制作会社に管理を任せている場合や管理画面を開けない場合は、下の確認文を使って契約先へ問い合わせます。ホスティング型の作成サービスでは、そのサービスの公式告知とサポート窓口で影響・対応状況を確認してください。

- [PHPの利用確認と更新について（WordPress.org 日本語・10月21日）](https://ja.wordpress.org/2026/10/21/critical-php-security-release/)
- [今回の脆弱性と対策（IPA・10月22日）](https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html)
## 修正バージョンと、サービス提供元で確認するポイント
PHP公式が公表した修正バージョンは、8.2系が8.2.35、8.3系が8.3.36、8.4系が8.4.27、8.5系が8.5.12です。利用中の系統に対応する修正版、またはサービス提供元が今回の修正を含むと案内する更新を確認します。

古いバージョンでも、OSや長期サポートの提供元が修正を取り込んだパッケージを用意している場合があります。表示された数字だけで修正の有無を決めず、今回の2件への対応が適用済みかを契約先に確認してください。

PHP 8.1以前は通常の公式サポートが終了しています。PHP公式は今回、一部旧版向けの最小限のソース修正も案内していますが、店主が自分で組み込む手順ではありません。管理者に対応方法と、サポート中の環境へ移す計画を確認します。

- [修正版・提供元の更新・旧版への対応を確認する（PHP公式）](https://www.php.net/archive/2026.php#2026-10-21-5)
## 管理会社へ送る確認文
角括弧の部分を自分の情報に置き換えて、普段利用している制作会社・サーバー会社の窓口へ送ってください。管理画面のパスワードや認証コードを、この文面に書き添える必要はありません。

### コピーして使う問い合わせ文

- 文面: 当店のホームページ［自社サイトのURL］について、2026年10月公表のPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況を確認したく、ご連絡しました。

1. 当サイトの公開環境でPHPを利用していますか。利用中のバージョンと管理元を教えてください。
2. 今回の2件に対する修正は適用済みですか。適用日時、確認できる告知、当方で必要な作業を教えてください。
3. 未対応の場合は、対応予定と、それまでの一時停止等の判断・作業を誰が行うか教えてください。
4. 作業に伴うサイト・問い合わせ・予約・メールへの影響と、必要な確認方法を教えてください。
## 外から分からない場合・すぐ更新できない場合
URLに「.php」がない、ブラウザーでPHPの情報が見つからない、トップページがHTMLで表示される、といった理由だけではPHPを使っていないとは判断できません。別のフォームや同じサーバー上の機能で使われている可能性もあるため、実際の公開環境を確認します。

PHP公式は、更新が完全な対策であり、個別の緩和策だけでは安全にならないと説明しています。すぐ更新できない場合は、管理者・サービス提供元と一時停止を含む対応を相談してください。変更後に必要な再起動や動作確認も管理者へ確認します。

不審な改ざんなどがある場合は、契約先や対応できる専門家に連絡し、調査と復旧を優先してください。新しいサイトを作っても、古いサーバーの問題や情報漏えいの有無が自動で解決するわけではありません。
## PHPを使わない店舗サイトへ見直すか、判断する目安
今回の更新を済ませた後、これから誰が保守するかを考えます。PHPやWordPressを更新しながら使い続ける方法と、必要な機能を整理して別の作成・公開方法へ変える方法があります。すべてのサイトに移行が必要なわけではありません。

店舗サイトで残したい機能と、見直すときの確認点

| 今のサイトの役割 | 見直し方 |
| --- | --- |
| 店舗紹介・メニュー・営業時間・交通案内 | HTML中心の紹介サイトとして作り直す候補。原稿・写真・旧URLを整理する |
| 外部サービスでの予約や購入 | 契約とリンク先を維持できるか確認。新しいサイトから完了まで試す |
| 会員・注文処理・大量の記事・独自業務機能 | 機能とデータの移行を個別に設計する。紹介ページの作り直しだけで置き換えない |

スマートフォンでは表を横にスクロールして確認できます。

- [WordPressなどの旧サイトから移行する手順：URL・ドメイン・メールの確認](https://soranoru.com/answers/homepage-renewal)
## Soranoruの今回の対象範囲と、作成・公開の条件
2026年10月22日に実装と公開基盤を確認した範囲では、Soranoruの主サービスと当社ホスティングの生成サイトはPHPを実行しておらず、今回のPHPの2件の脆弱性は該当しません。これは、他の種類の脆弱性がないことや、連携先・移行元まで安全であることを保証するものではありません。

Soranoruでは、店舗情報を入力したり、既存の公開ページから読み込めた紹介文・写真候補を確認したりして、新しいサイトの下書きを作れます。旧サイトを一括移行する機能ではなく、現在のサーバーやDNSを自動変更するものでもありません。

FreeではWebサイト1件とLP1件を無料で作成・プレビュー編集できます。Freeの公開枠はWebサイト0件・LP0件で、長期公開は含まれません。公開するときに有料プランを選びます。

独自ドメインの取得・更新、メール、既存の予約・決済サービスなどの契約は別途確認してください。旧サイトの転送やメールを維持する準備を終えてから公開先を切り替えます。

- [今のサイトを参考に、無料で下書きを作る](https://soranoru.com/create/website)
- [作成・公開プランと料金を確認する](https://soranoru.com/pricing)
## 判断するときの注意点
- 外からPHPの情報が見えないことは、安全の証明になりません。
- 修正済みか分からない場合は、自己判断で安全とせず契約先に確認してください。
- 新サイトの作成は、旧サーバーの修正や侵害調査の代わりにはなりません。
## 関連ページ
- [ホームページのリニューアル・移行手順](https://soranoru.com/answers/homepage-renewal)
- [Webサイト作成と公開にかかる費用](https://soranoru.com/answers/website-cost)
- [店舗向けホームページ作成の流れ](https://soranoru.com/answers/shop-website-flow)
## よくある質問

### WordPressを更新すれば今回の問題は解決しますか
今回の2件はPHPの脆弱性なので、WordPress本体の更新だけでは解決しません。サーバー側のPHPに今回の修正が適用されているかを、管理画面とサービス提供元の案内で確認してください。

### URLに.phpがなければ対象外ですか
URLの末尾や見た目だけでは判断できません。PHPの情報を外部に表示しない設定もあり、別のフォームや同じサーバー上の機能で使われることもあります。管理画面または契約先で確認してください。

### このページでサイトの安全診断を受けられますか
このページは自分で確認する手順と問い合わせ文を案内するものです。URLを調べて安全を判定したり、脆弱性を検査・修復したりするサービスではありません。外部から情報が見えない場合も安全とは判定できません。

### Soranoruの主サイトや生成サイトは今回の対象ですか
2026年10月22日に確認したSoranoruの主サービスと当社ホスティングの生成サイトはPHPを実行しておらず、今回の2件は該当しません。外部の予約・決済サービスや移行前のサーバーは、それぞれの提供元で確認してください。他の安全性まで保証する説明ではありません。