10月21日、PHPプロジェクトは2件の深刻なセキュリティ上の欠陥に対する修正を公開しました。ログインなしで、第三者が御社のウェブサーバー上で任意のコードを実行できてしまう種類の欠陥です。この2件は「PHP2Shell」と呼ばれています。銀行や航空会社はニュースになりました。中小企業のウェブサイトはニュースになりませんでしたが、1か月後も未対応のまま残る可能性がもっとも高いのは、そうしたサイトです。
御社のウェブサイトが WordPress で動いているなら、PHPで動いています。何が起きたのか、今日何をすべきか、そして Surmado（スルマド）のサイトに更新が不要だった理由を尋ねられたときに私たちがお答えしていることを、ご説明します。
何が起きたのか、平易な言葉で
PHPは、WordPress が書かれているプログラミング言語です。WordPress のページが開かれるたびに、サーバー上でPHPのプログラムが動き、データベースから御社のコンテンツを取り出し、その場でページを組み立てます。そのプログラムにある2つのバグ、CVE-2026-109618 と CVE-2026-109619 により、攻撃者は細工したリクエストをひとつ送るだけで、サーバー上で自分のコードを実行できます。パスワードは不要です。PHPプロジェクトは、どちらも10点満点中9.2と評価しています。
知っておくべき点がいくつかあります。
- これは WordPress のバグではありません。 PHPで作られたあらゆるサイトに影響します。WordPress、Drupal、Joomla、Magento、そして数多くのオーダーメイドのサイトです。WordPress.org は、WordPress の更新は必要なく、予定もないとしています。修正はPHP本体にあります。
- 修正済みのバージョンは PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。 PHP 8.1 以前には、PHPプロジェクトからの修正は提供されません。御社のサイトがそれらのバージョンなら、必要なのはパッチではなく、より大きなアップグレードです。
- 攻撃者は、報道される前からすでに試行していました。 Amazon のハニーポットネットワークは、一般公開の4日前にあたる10月17日に悪用の試行を記録しており、実証コードもすでに出回っています。
- 安全な回避策はありません。 PHPプロジェクト自身の言葉では、更新だけが安全な選択です。
今日すべきこと
1. 御社のサイトで動いているPHPのバージョンを確認します。 WordPress の管理画面で、ツール、サイトヘルス、「情報」タブ、サーバーの順に開きます(英語表示ではTools、Site Health、Info、Server)。PHPのバージョンがそこに表示されます。多くのホスティングのコントロールパネルでも確認できます。
2. バージョンが 8.2.35、8.3.36、8.4.27、8.5.12 以降であれば、対応は完了です。 ただし注意点があります。ホストによっては、画面上のバージョン番号を変えずに修正を適用している場合があります。ホストがPHP2Shellへの対応済みをメールや告知で伝えている場合は、番号よりもその通知を信頼してください。
3. それより低い場合は、まずホストに確認します。 多くのホストは、修正が公開されるとすぐにPHPの更新やファイアウォールルールの追加を始めました。ステータスページ、メール、ホスティングアカウント内のバナーを探してください。何もなければ、チケットを開いて直接尋ねます。「私のアカウントで、CVE-2026-109618 と CVE-2026-109619 に対するPHPのパッチは適用されていますか?」
4. PHP 8.1 以前をお使いなら、必要なのはパッチではなくプロジェクトです。 サイトをサポート対象のブランチへ移行する必要があり、その移行によって古いテーマやプラグインが動かなくなることもあります。古いバージョンのサーバーを自分で管理している方に対する WordPress.org の助言は、アップグレードの間はサイトをオフラインにすることを検討する、というものです。ほかの誰かが管理している場合は、今日中に判断すべき案件です。
5. セキュリティプラグインに頼らないでください。 WordPress のプラグインはPHPの内部で動くため、PHP自体の欠陥は直せません。攻撃は、WordPress のコードが何も動き出す前に発動することがあります。ホストやサイトの手前に置くファイアウォールは、既知の攻撃パターンを遮断できます。多くのホストが最初に行ったのは、まさにこれです。
6. 12月の予定をカレンダーに入れてください。 PHP 8.2 は2026年12月31日にサポートが終了します。それ以降はセキュリティ修正も提供されず、次のPHP2Shellが現れても、パッチは来ません。
なぜこれが繰り返されるのか
ここまでの内容は、WordPress を批判するものではありません。優れたソフトウェアであり、十分な理由があって、中小企業のウェブの大きな割合を支えています。ただ、WordPress のサイトを購入したときに何を引き受けたのかは、理解しておく価値があります。購入の時点では、誰も説明してくれないからです。
WordPress のサイトは、誰かが訪れるたびに動くプログラムです。それが柔軟性の源です。プラグインがほとんど何でもできるのは、いつでも動けるプログラムがそこにあるからです。同時にそれは、パッチの一覧が決してゼロにならない理由でもあります。PHP、WordPress 本体、テーマ、すべてのプラグインが実行されるコードであり、そのどれもが永続的に更新を必要とします。ウェブサイトのメンテナンスとは、ほとんどの場合、この一覧を最新に保つ仕事です。そして遅れたサイトは、スパムリンクをひそかに埋め込まれる結果になります。
PHP2Shell が特別なのは、その深さだけです。例年、怖いバグはプラグインにあります。今回は、すべての土台にある言語の中にありました。
「静的」とは何か、そして Surmado Sites がその方式で作られている理由
Surmado Sites は、その正反対のアプローチを取ります。私たちは御社のウェブサイトをプログラムとして動かしません。サイトに変更があるたびに、完成したページをあらかじめ作成し、その完成したファイルを訪問者に配信します。誰かが御社のトップページを開いても、PHPは動かず、データベースへの問い合わせも行われず、プラグインのコードも実行されません。あるのはファイルだけで、訪問者の近くにあるサーバーのネットワークから届けられます。
それが「静的」の意味です。目に見えるデザイン上の選択ではありません。公開インターネットと御社の事業との間に、実行中のコードをどれだけ置くかという判断です。
これで何が得られ、何が得られないのかを、正直にお伝えします。
- PHP2Shell のような欠陥には、到達する先がありません。 御社のサイトには悪用されるPHPがありません。10月21日、この件でお客様にしていただくことはゼロでした。私たちが素早くパッチを当てたからではありません。パッチを当てるものがなかったからです。
- パッチの一覧は残ります。ただしそれは私たちの担当で、しかも短いものです。 Surmado Sites が入力を受け付けるのは2か所です。問い合わせフォームと、チャット機能をお持ちのサイトではチャット画面です。これらはページとは切り離された別のサービスとして動き、私たちが保守・更新しています。ドメインと証明書も引き続き管理が必要で、それはメンバーシップに含まれています。変わるのは、公開されるコードの量と、それを担当する人です。
- 絶対にハッキングされないものはありません。 そう言う人は、何かを売ろうとしています。静的サイトは標的を小さくし、WordPress サイトを襲う攻撃のほとんどが狙う先を失う状態にします。それは別の主張であり、私たちが自信を持って申し上げられるのは、こちらです。
WordPress にとどまるべき方
静的なページにできないこともあります。後から気づかれるより、先にお伝えしたいと考えています。
- オンラインで販売している場合。 ストアは、顧客ごとにカートの計算、決済の受付、在庫の確認を行う必要があります。そのためにはプログラムが必要です。Surmado Sites はオンラインストアを扱いません。ショッププラットフォームで販売されている場合は、サイトからそこへリンクします。
- 事業がプラグインの上に成り立っている場合。 予約システム、会員エリア、顧客ポータルなどです。訪問者がログインし、サイトがその人だけのために何かを計算するなら、WordPress かそれに似たものが適切な道具であり、それに伴うメンテナンスは、その機能の対価です。
- 御社がお使いのマネージド WordPress ホストが、お気づきになる前にこの件を修正済みで、その対価に満足されている場合。 それこそが、マネージドホスティングの役割です。10月21日にメールを受け取り、何もする必要がなかったのであれば、御社の環境は機能しています。
それ以外のほとんどの中小企業にとって、サイトとは、事業内容、所在地、営業時間、連絡方法、そしてブログからなるページの集まりです。そのようなサイトにとって、WordPress の柔軟性は、使うことのない能力のためにメンテナンスという代金を払っているのと同じです。そして10月21日のような日には、宿題が増える理由になります。
よくあるご質問
私のサイトは WordPress ではありません。影響はありますか?
PHPで作られていれば、あります。Drupal、Joomla、Magento、そして制作会社が作ったオーダーメイドのサイトの多くはPHPで動いています。Wix、Squarespace、Shopify のようなホスト型ビルダーをお使いの場合は、運営会社がサーバーを管理しており、御社がインストールするものはありません。わからない場合は、制作した方にお尋ねください。
Surmado で WordPress サイトを移行できますか?
はい。サイトのアドレスをお送りいただければ、無料で作り直します。コンテンツ、写真、ページ構成、URLは同じまま、リダイレクトとメタデータを引き継ぎ、古いコードは置いていきます。人の目による42項目のQAチェックリストで確認し、プレビューをお見せします。ご承認いただくまで、お支払いは発生しません。ほとんどの作り直しは24時間以内に完了します。
ブログはなくなりますか?
なくなりません。Surmado Sites ではブログが標準で付いており、Pro+ プランでは毎週の記事も私たちが作成します。
静的サイトは検索順位に悪影響がありますか?
たいていは逆です。あらかじめ作られたページは、訪問ごとに組み立てるページよりも速く読み込まれ、表示速度は順位の要因です。検索エンジンやAIアシスタントがサイトを読むために必要なものは、すべて完成したファイルの中にあります。
まとめ
WordPress のサイトをお持ちなら、今日PHPのバージョンを確認し、ホストが対応済みであることを確かめ、12月31日をカレンダーに入れてください。やるべきことはそれだけで、1時間かける価値があります。
聞いたこともない言語のバグのせいで宿題が増えるのは、これを最後にしたいとお考えなら、Surmado Sites に含まれるものと現在の料金をご覧ください。作り直しは無料で、気に入っていただけた場合にのみお支払いいただきます。