【PHP緊急脆弱性】自社サイトは大丈夫？株式会社Yamanaka JAPANが確認手順を公開

URLだけで申し込める無料Webサイト点検を開始
2026年10月21日に公表されたPHPの重大な脆弱性に対応

株式会社Yamanaka JAPAN（本社：東京都港区、代表取締役：山中勇輝）は、2026年10月22日、企業が運営するWebサイトのセキュリティ状況を外部から確認する「無料Webサイト点検」の受付を開始しました。2026年10月21日に、Webサイトの運用に広く利用されているプログラミング言語「PHP」で、緊急性の高い脆弱性2件が公表されたことを受けた取り組みです。今回の無料点検では、企業が管理するWebサイトのURLを送信するだけで、PHPのバージョン情報の露出状況、SSL証明書、HTTPS通信、ドメインの有効期限、メールのなりすまし対策など、外部から確認できるセキュリティ項目を調査します。

点検結果は、対応の優先度に応じて「赤・黄・灰」の3色に分類し、改善が必要な項目を一覧形式でお知らせします。管理画面へのログインやパスワードの提供は不要で、専門知識のない企業担当者でも申し込めます。

PHPに緊急の脆弱性2件が発覚、WordPressなど幅広いWebサイトに影響するおそれ

2026年10月21日、PHPの開発元であるThe PHP Groupは、認証を必要とせず、外部からサーバー上で任意のプログラムを実行されるおそれがある重大な脆弱性2件を公表しました。

対象となる脆弱性は、以下の2件です。

CVE-2026-109618： メモリ不足時の内部処理に起因する脆弱性
CVE-2026-109619： メモリ解放後に残る内部状態の不適切な利用に起因する脆弱性

いずれも深刻度を示すCVSS v4.0の基本値が9.2と評価されており、条件によっては攻撃者がログインせずにサーバー上でコードを実行できる可能性があります。PHPは世界中のWebサイトで利用されているプログラミング言語です。Web技術の統計サービス「W3Techs」によると、2026年10月時点で、サーバー側のプログラミング言語が判明しているWebサイトの69.3％がPHPを利用しています。企業サイトやECサイト、WordPressで構築されたホームページなど、幅広いWebサービスで利用されているため、今回の問題は多くのサイト運営者に関係する可能性があります。

高市首相も緊急対応を呼びかけ、修正版PHPが公開

10月21日午後10時前には、高市早苗首相がXで「今夜に対応して頂きたい大至急のお願い」として、修正プログラムを速やかに適用するよう呼びかけました。同様に国家サイバー統括室などからも注意喚起が行われ、PHPの利用状況を確認するとともに、必要な更新を実施することが求められています。

同日午後11時ごろには、開発元から脆弱性に対応した修正版PHPが公開されました。すぐに修正プログラムを適用できない場合には、Webサイトの一時停止などによってリスクを低減する対応も選択肢となります。

【確認手順】自社サイトのPHPバージョンを調べる4つのステップ

今回の脆弱性への対応として、まず重要なのは、自社のWebサイトがPHPを使用しているか、使用している場合は修正版が適用されているかを確認することです。

STEP 1：自社サイトがPHPを使用しているか確認する

WordPressで構築されたWebサイトは、PHPを使用しています。一方、WixやSTUDIOなどのクラウド型Webサイト制作サービスを利用している場合は、基本的に利用企業がPHPを直接管理・更新する必要はありません。サービス提供事業者のセキュリティ対応状況をご確認ください。

STEP 2：現在のPHPバージョンを確認する

レンタルサーバーの管理画面にある「PHP設定」「PHPバージョン」などの項目から確認できます。WordPressの場合は、管理画面の「ツール」から「サイトヘルス」を開き、「情報」内の「サーバー」でPHPのバージョンを確認する方法もあります。

今回公表された修正版は以下のとおりです。

各系列で上記より古いバージョンを使用している場合は、修正版以降への更新が必要です。

STEP 3：古いPHPを利用している場合はサポート状況を確認する

PHP 7.4、8.0、8.1などは、PHP公式開発プロジェクトによるサポートが終了しています。これらのバージョンを使用している場合は、契約中のレンタルサーバー事業者に修正プログラムの提供状況を確認し、可能な限りサポート対象の新しいバージョンへ移行することを推奨します。なお、サーバー事業者によっては独自にセキュリティ修正を適用している場合もあるため、表示されているバージョン番号だけでは更新状況を判断できないことがあります。

STEP 4：すぐに更新できない場合は一時停止も検討する

システムの互換性などの理由でPHPを直ちに更新できない場合には、サイトの一時停止や外部からのアクセス制限を検討することが重要です。特に、顧客情報や問い合わせ情報を扱うWebサイトでは、問題が発生した場合の影響が大きくなる可能性があります。更新前にはデータのバックアップを取得し、WordPress本体やプラグイン、テーマとの互換性を確認したうえで、速やかに対応することが推奨されます。

URLを送るだけで7項目を確認、無料Webサイト点検サービスを開始

PHPの脆弱性対策が必要と分かっていても、すべての企業がWebサイトの管理画面を操作できるわけではありません。「サイトを制作した会社との契約が終了している」「社内にWebサイトの担当者がいない」「サーバーの管理画面にログインできない」といった事情により、セキュリティ状況を把握できていない企業もあります。こうした課題に対応するため、株式会社Yamanaka JAPANでは、WebサイトのURLと連絡先を送るだけで申し込める無料点検サービスを提供します。

調査対象は、外部から確認できる以下の7項目です。

1．PHPなどのバージョン情報

PHPやWebサーバー、CMSなどのバージョン情報が外部に公開されていないかを確認します。PHPのバージョンが確認できる場合は、今回の修正版との比較を行います。ただし、外部にバージョン情報が表示されていない場合は、実際の更新状況までは判断できません。

2．SSL証明書・HTTPS通信

WebサイトがHTTPSによる暗号化通信に対応しているか、SSL/TLS証明書が有効か、有効期限が近づいていないかなどを確認します。証明書の期限切れや設定不備は、Webサイトへのアクセス時に警告が表示される原因となり、利用者の信頼性にも影響します。

3．ドメインの有効期限

企業のWebサイトやメールアドレスに使用しているドメインの期限情報を、外部から確認できる範囲で調査します。ドメインが失効するとWebサイトやメールが利用できなくなるほか、第三者に再取得されるリスクもあります。

4．メールのなりすまし対策（SPF・DKIM・DMARC）

企業のドメインを悪用したなりすましメールへの対策として、SPF・DKIM・DMARCなどの設定状況を確認します。これらは、送信元の認証や不正なメールの判定に役立つ仕組みです。設定されていない場合や設定内容が不適切な場合には、改善が必要になることがあります。

5．管理画面の外部公開状況

WordPressなどのログイン画面や管理用ページが、インターネット上からアクセス可能な状態になっているかを確認します。ログイン画面が公開されていること自体が直ちに脆弱性を意味するわけではありませんが、適切なアクセス制限や認証対策を検討する材料になります。なお、点検時にログインを試すことはありません。

6．問い合わせフォームの安全性

問い合わせフォームの通信がHTTPSで保護されているか、送信先の設定やメールアドレスの公開状況など、外部から確認できる範囲を調査します。問い合わせフォームは個人情報を取り扱う場合もあるため、通信経路の暗号化や適切な情報管理が重要です。

7．その他の公開情報・設定状況

Webサイトの公開ソースに内部情報が残されていないか、意図しない公開ストレージへのリンクが存在しないかなど、外部から確認可能な情報を調べます。これにより、日常的なサイト管理では見落としやすい設定上の問題の早期発見を支援します。

点検結果は「赤・黄・灰」の3段階で報告

無料点検の結果は、各項目の確認状況や対応の優先度に応じ、3色に分類してお知らせします。

例えば、外部から確認できたPHPのバージョンが修正版より古い場合は、早急な対応を促します。一方、PHPのバージョン情報が外部に表示されていない場合は「灰」とし、サーバー管理画面などでの確認を依頼します。「外部から確認できないこと」と「安全であること」は同じではありません。今回の点検では、確認できた内容と確認できなかった内容を明確に区別し、サイト全体の安全性を保証するものではないことを前提に結果を報告します。また、点検ではログイン情報の取得や脆弱性を悪用した検証、システムへの侵入テストなどは実施しません。

2026年の個人情報漏えい、延べ1億6,500万人分を超える規模に

今回の取り組みの背景には、国内で相次いでいる不正アクセスや個人情報漏えいの問題があります。セキュリティ企業の株式会社マクニカによる集計をもとにした2026年10月16日のNHK報道では、2026年に入ってから不正アクセスによって個人情報が漏えいした、または漏えいした可能性があると公表された情報が、延べ1億6,500万人分を超えたとされています。この数値は漏えいの可能性がある情報を含む延べ集計であり、実際に被害を受けた固有の人数を示すものではありません。

サイバー攻撃は大企業だけの問題ではなく、Webサイトや業務システムを運用する中小企業にとっても、日常的に備えるべき経営課題となっています。こうした状況のなか、株式会社Yamanaka JAPANは、企業が自社サイトの状態を知り、必要な対策につなげるための初期点検を無料で提供します。

無料点検は10月31日まで、先着30社限定で受付

今回の無料Webサイト点検は、1社ずつ確認して結果を整理するため、2026年10月31日までの期間限定で、先着30社を対象に実施します。

サービス概要

点検結果は、普段利用しているWeb制作会社やサーバー管理会社にも共有しやすいよう、対応が必要な項目を整理してお渡しします。点検と結果報告までは無料です。実際の設定変更、PHPの更新、Webサイトの修正などを別途依頼する場合には、有料での対応となります。また、無料点検に申し込んだからといって、自動的に有料サービスへ移行することはありません。

株式会社Yamanaka JAPAN 代表取締役・山中勇輝氏のコメント

「自分の会社のサイトが何で動いているか、即答できる経営者は少ないと思います。『サイトを作った制作会社との契約が切れていて、誰に聞けばいいか分からない』『管理画面の見方が分からない』——そういう相談が寄せられたことから本点検を受け付けることといたしました。今回の無料点検は喫緊のPHPが中心になりますが、まずは初期の対応だけでも、お役に立てないかと思っています」

株式会社Yamanaka JAPAN 代表取締役 山中勇輝

株式会社Yamanaka JAPANについて

株式会社Yamanaka JAPANは、東京都港区に本社を置き、企業・ブランドの調査研究、経営コンサルティング、SaaS・Webサービスの企画・開発、法人向けAI研修などを展開しています。企業が抱える課題の発見から、改善策の立案、業務に定着する仕組みづくりまでを支援しています。

主なサービス

AI会社台帳
URL:https://kaishadaicho.jp
ChatGPTやGeminiなどの生成AIが企業をどのように認識・説明しているかを調査するサービスです。AIによる企業情報の認識状況を可視化し、正確な情報発信や企業ブランドの改善を支援します。

AI実技測定
URL:https://ai-jitsugi.jp
企業の従業員が実際の業務に近い課題を通じてAIをどのように利用するかを測定する法人向けサービスです。情報の取り扱いなどを実技形式で評価し、AIの安全な業務活用と社内研修に役立てます。

会社概要

記事検証参考文献

・PHP公式：2026年10月21日のセキュリティリリース
・IPA：PHPのセキュリティリリースに関する注意喚起
・W3Techs：PHPのWebサイト利用率