PHPの脆弱性情報が公開されたら？まず確認したいこと
PHPの脆弱性（セキュリティ上の弱点）についてのお知らせは、専門用語が多く、自分のホームページに関係があるのか分かりにくいものです。
この記事では、お知らせが出たときにまず確認したいことと、自分のホームページが対象だったときの進め方を、順番に解説します。
1.まず確認するのは3つだけ
PHPの脆弱性情報が公開されたら、慌てて何かを変える前に、次の3つを順番に確認しましょう。
- 01情報の出どころが公式か
PHPの公式サイトや、公的な機関、契約しているサーバー会社のお知らせで確かめます。
- 02自分のPHPのバージョンが対象か
サーバーの管理画面で、使っているPHPのバージョンを確かめ、お知らせに書かれた対象と見比べます。
- 03対象なら、修正されたバージョンにする
バックアップを取ってから更新し、表示や機能に問題がないかを確かめます。
対象のバージョンでなければ、すぐに作業をする必要はありません。まずは「自分に関係があるか」を確かめることが、いちばん大切です。
2.なぜ、この順番で確認するのか
脆弱性のニュースは、SNSやまとめ記事で先に広まることがあります。なかには、内容が正確でないものや、不安をあおってソフトの導入や連絡を求める、だますことが目的のメールもあります。そのため、最初に公式の情報で確かめます。
また、脆弱性が見つかっても、すべてのホームページが影響を受けるわけではありません。影響があるのは、対象のバージョンを使っていて、さらに条件に当てはまる場合です。自分のバージョンを確かめずに更新すると、必要のない作業で、かえって表示や機能に問題が出ることもあります。
大切なのは、公式の情報で、自分のホームページが対象かを確かめてから動くことです。順番を守ると、必要な対応を落ち着いて、確実に進められます。
3.公式の情報を確かめる
次のような、公式の情報を確認しましょう。
- PHPの公式サイト（php.net）のお知らせや変更履歴
- JVN（Japan Vulnerability Notes）やIPA（情報処理推進機構）が公開している脆弱性情報
- 契約しているレンタルサーバー会社のお知らせ
※メールやメッセージのリンクから開くのではなく、公式サイトを自分で開いて確認しましょう。
4.お知らせで読むところは4つ
脆弱性のお知らせには多くの情報が書かれていますが、まずは次の4つを確認すると、自分に関係があるかを判断しやすくなります。
| 項目 | 書かれていること | 見るポイント |
|---|---|---|
| 対象のバージョン | 弱点があるPHPのバージョン | 自分のホームページのバージョンが含まれているか |
| 修正されたバージョン | 弱点が直されたバージョン | 「8.x.y 以降で修正」のように書かれていることが多い |
| 深刻度 | 影響の大きさの目安。CVSSという点数で示されることが多い | 点数が高いものほど、優先して確認する |
| 条件 | 特定の機能や設定、OSを使っているときだけ影響する場合がある | 自分の環境が条件に当てはまるか |
お知らせには「CVE-2026-12345」のような番号がついていることがあります。これは脆弱性ごとにつけられる、世界共通の番号です。サーバー会社や制作会社に問い合わせるときに伝えると、どの弱点の話かがすぐに伝わります。
※ここで書いた番号は、形を見せるための例です。
深刻度が高くても、条件に当てはまらなければ影響を受けない場合があります。反対に、深刻度がそれほど高くなくても、すでに悪用が確認されていると書かれている場合は、早めの対応が必要です。
5.自分のPHPのバージョンを確かめる
使っているPHPのバージョンは、レンタルサーバーの管理画面で確認できることがほとんどです。「PHP設定」「PHPバージョン」などの項目を探してみましょう。1つのサーバーで複数のホームページを動かしている場合は、ホームページ（ドメイン）ごとにバージョンが違うことがあるため、それぞれ確認します。
レンタルサーバーを使っている場合
多くのレンタルサーバーでは、利用者が「8.2」「8.3」のような大きな区切りを選び、その中の細かい修正はサーバー会社が適用する仕組みになっています。サーバー会社のお知らせで、今回の弱点に対応済みかどうかを確認しましょう。仕組みはサーバー会社によって違うため、分からない場合は問い合わせるのが確実です。
自分でサーバーを管理している場合
VPS（自分で設定や管理をする形のサーバー）などを使っている場合は、PHPの更新も自分でおこなう必要があります。使っているOSの更新の仕組みや、PHPをどの方法で入れたかを確認したうえで、修正されたバージョンに更新します。
6.対象だったときの進め方
自分のホームページのバージョンが対象に含まれていた場合は、次の順番で進めると安心です。
- 01バックアップを取る
ホームページのファイルと、データベース（WordPressの記事や設定が入っている場所）の両方を保存します。
- 02修正されたバージョンに更新する
修正されたバージョン、またはサポートが続いているバージョンに切り替えます。
- 03表示と機能を確かめる
トップページや主なページの表示、お問い合わせフォームの送信、管理画面へのログインなどを確認します。
- 04記録を残す
いつ、どのバージョンからどのバージョンに変えたかを残しておくと、あとで問題が起きたときに原因を探しやすくなります。
※バージョンを大きく上げる（たとえば 7.4 から 8 台へ）と、古いプラグインやテーマが動かなくなる場合があります。できれば、テスト用の環境で先に確認しましょう。
7.よくある質問
外部のツールでPHPのバージョンが分かりません。安全ということですか？
安全とは限りません。PHPのバージョンを外に出さない設定になっていることが多いためです。バージョンは、必ずサーバーの管理画面で確認しましょう。
対象のバージョンでなければ、何もしなくてよいですか？
今回の弱点については、すぐの対応は必要ありません。ただし、使っているバージョンのサポートが終わっている場合は、新しい弱点が見つかっても修正が出ないため、切り替えの計画を立てておきましょう。
自分でPHPを更新しても大丈夫ですか？
サーバーの管理画面で切り替えられる場合が多いですが、プラグインやテーマが新しいバージョンに対応していないと、表示や機能に問題が出ることがあります。不安な場合は、バックアップを取ったうえで、制作会社や管理担当者に相談しましょう。
サーバー会社に問い合わせるときは、何を伝えればよいですか？
お知らせに書かれた番号（CVEの番号）、ホームページのドメイン、今使っているPHPのバージョンを伝えると、話が早く進みます。
「すぐに対応しないと危険」というメールが届きました。
メールのリンクは開かず、PHPの公式サイトや、契約しているサーバー会社のお知らせを自分で開いて確かめましょう。公式の連絡かどうか分からない場合は、サーバー会社の窓口に問い合わせてください。
8.まとめ
PHPの脆弱性情報が公開されたら、まずは「公式の情報か」「自分のバージョンが対象か」「対象なら修正されたバージョンにする」の3つを、順番に確認しましょう。
- 情報は、公式サイトやサーバー会社のお知らせで確かめる
- お知らせでは、対象・修正・深刻度・条件の4つを読む
- PHPのバージョンは、サーバーの管理画面で確かめる
- 更新する前には、必ずバックアップを取る
PHPには、バージョンごとにサポート期間があり、PHPの公式サイトの「Supported Versions」のページで確認できます。PHPそのものについては、PHPの脆弱性とは？ホームページで確認したいことで解説しています。
9.自分のホームページを確認する
何から確認すればよいか分からない方は、まず無料チェックをお試しください。ホームページのURLを入力すると、公開情報から確認できる範囲で、サイトの状態をチェックできます。
※無料チェックで確認できるのは、外部から見える公開情報の範囲です。サーバー内部の設定や、すべての弱点を確認できるわけではありません。結果は、ホームページ全体の安全性を保証するものではありません。ご自身のサイト、または管理者の了承があるサイトでご利用ください（利用規約）。
もっと詳しく調べたい場合や、修正・復旧について困っている場合もご相談いただけます。相談する