PHPの緊急の脆弱性、Wix・Jimdo・ペライチでも何かする？サービス別の「自分でやること」

自分のサイトはどれ？サービス別の「自分でやること・やらなくてよいこと」

使っているサービスごとに、各社の公式のお知らせ（2026年10月22日20時（日本時間）時点）に書かれている内容だけを並べました。対応は日々進むため、最新の状況はリンク先の各社のページで確かめてください。

出典：各社の公式のお知らせ（このページ末尾の出典の一覧）。2026年10月22日20時（日本時間）に確認

サイト作成サービスは、PHP を動かしているのがサービスの会社なので、利用者が PHP を触る場面はありません。表で「自分でやること」が残っているのは、メンテナンス中に止まっていた機能（公開ページ・フォーム）の後始末だけです。

今回のPHPの脆弱性は何？いつ、どの版で直った？

PHP は、WordPress などホームページを動かすソフトに使われているプログラムの言語です。IPA は「PHPは、様々なウェブアプリケーションやソフトウェア製品で利用されています」としています。PHP の開発元は2026年10月20日に「重大な脆弱性2件の修正を10月21日 14:00 UTC（日本時間23:00）に公開する」と予告し、予定どおり修正版を公開しました。2件とも深刻度は CVSS v4.0 で 9.2 です（出典：PHP『Upcoming Critical PHP Security Release』）。

出典：PHP『Security advisory: Critical remote code execution vulnerabilities, update now』（2026年10月21日）、JVN『JVNVU#99905564』、IPA『PHPの脆弱性対策について』、JPCERT/CC『JPCERT-AT-2026-0033』

PHP 公式は「更新だけが完全な解決」としています。設定で一部の攻撃の道を狭める方法も示していますが、それで安全になるわけではないと明記しています。IPA の注意喚起は、発見者（Wiz）の情報として、PHP 5.4 以降が少なくとも一方の影響を受けると紹介しています。

レンタルサーバーの会社は何を発表している？

共用のレンタルサーバーでは、PHP の本体を入れ替えるのはサーバー会社です。主な会社の公式の発表は次のとおりです（2026年10月22日20時時点）。

出典：各社の公式のお知らせ（このページ末尾の出典の一覧）

どの会社も、サーバー側の修正は会社が行うとしています。一方で、ロリポップとお名前.com、さくらは古い版を使い続けないよう促しています。PHP 公式のサポート期間は、8.2 が2026年12月31日まで（PHP 8.2.35 の公開のお知らせ）なので、切り替えるなら 8.3 以上を選ぶと、次に同じことが起きたときにも公式の修正版を受け取れます。

自分のサイトのPHPの版はどう確かめる？

WordPress を使っているなら、WordPress の管理画面で確かめるのがいちばん早い方法です。WordPress.org も、この方法を案内しています（出典：WordPress.org『Critical PHP Security Release』）。

1. WordPress の管理画面にログインする
2. 左のメニューの「ツール」→「サイトヘルス」を開く
3. 上の「情報」タブを押し、「サーバー」を開く
4. 「PHP のバージョン」の欄の数字を控える
5. その数字を下の表に当てはめる

出典：PHP『Security advisory』、JVN『JVNVU#99905564』、ConoHa WING・お名前.com の公式のお知らせをもとに整理

WordPress を使っていない場合や管理画面に入れない場合は、契約しているサーバー会社の管理画面の「PHP の設定」の画面で、ドメインごとに使っている版を見られます。ロリポップでは、ユーザー専用ページの「サーバーの管理・設定」→「PHP設定」で切り替えられると案内されています。8.1 以前には PHP 公式の修正版（番号）が無いため、版の数字だけでは修正済みかを判断できません。サーバー会社のお知らせで確かめてください。

サイトが改ざんされていないかはどう確かめる？

修正が当たる前に攻撃を受けていた場合、修正版にしただけでは、書き換えられたページや埋め込まれたファイルは消えません。ホームページの持ち主が自分でできる確かめ方を、Google の公式の資料から並べます。

1. Search Console の「セキュリティの問題」レポートを開く：Google がハッキングされたコンテンツやマルウェアを見つけると、ここに表示されます（出典：Search Console ヘルプ『セキュリティの問題レポート』）。登録の手順はSearch Consoleの登録方法にあります
2. Google で「site:自社のドメイン」と検索する：覚えのないページや、意味の通らない日本語の説明文が並んでいないかを見ます。Google は、乗っ取られたページの検索結果に自動で作られた日本語の文が出ることがあるとしています（出典：web.dev『日本語キーワードによるハッキングを修正する』）
3. Search Console の「ユーザーと権限」を見る：知らない人が所有者として追加されていたら、ハッキングされている可能性が高いと Google は説明しています（同）
4. WordPress の管理画面の「ユーザー」を見る：覚えのない管理者のアカウントが増えていないかを確かめます
5. 問い合わせフォームから自分あてに送ってみる：メンテナンスや PHP の切り替えの後でも、フォームが届くかを確かめます（ロリポップが利用者に依頼している確認）

VPS など、サーバーを自分で管理している場合は、JPCERT/CC が発見者の情報として挙げている3つの跡も調べます。①過去の応答で、不自然に長い・形のおかしい PHPSESSID の Cookie が設定されていないか　②不審な multipart/form-data のリクエストと、その前後の PHP のメモリ上限のエラーや HTTP 500 エラーが無いか　③PHP のワーカーの異常な終了や頻繁な再起動の跡が無いか、です。JPCERT/CC は、これらの跡が見つからなくても攻撃を受けていないとは言い切れないとも注記しています（出典：JPCERT/CC『JPCERT-AT-2026-0033』）。

改ざんの跡が見つかったら、まずサーバー会社に連絡し、元に戻す手順を相談します。Search Console に問題が出ていた場合は、直した後にレポートから「審査をリクエスト」を送ります。Google は、すべての問題を直す前に送らないよう求めています（出典：Search Console ヘルプ『セキュリティの問題レポート』）。

8.1以前でサーバーを自分で管理している場合は？

PHP 公式は、8.1 以前に修正版を出しません。PHP 公式の案内は、①使っている Linux のディストリビューションや長期サポートの会社が出す修正を当てる（各社には事前に修正が渡されている）②サポート中の版へ上げる、のどちらかです。ソースから作る人向けに 7.4・8.0・8.1 の最小限の当て布も公開されています。

IPA は、すぐに更新や移行ができない場合は暫定の対策とアクセスの制限を行い、それも難しければ外部からのアクセスの遮断やサービスの停止を検討するよう呼びかけています（出典：IPA『PHPの脆弱性対策について』）。WordPress.org も、自分で管理しているサーバーで 8.2 より前の PHP を使っているなら、上げる作業の間はサイトを止めることを検討するよう書いています。

PHP 公式が示す当座の設定（memory_limit を -1 にする、session.upload_progress.enabled を 0 にする など）は、特定の攻撃の道を狭めるだけで、PHP 公式は「安全にはならない」としています。設定を変えた場合も、修正版への更新は別に必要です。

次にやること

• サイト作成サービスを使っているなら：上の表で自分のサービスの行を見て、メンテナンス中の問い合わせの取りこぼしだけを確かめる
• レンタルサーバーなら：今日中に PHP の版を確かめ、8.1 以前なら 8.2 以上（できれば 8.3 以上）に切り替えて、表示とフォームを試す
• どちらでも：Search Console の「セキュリティの問題」と「site:」検索で、覚えのないページが無いかを見る

サーバーの保守を誰がしているかで、今回のような件で自分の手間が変わります。費用の目安はホームページの維持費は月額・年間いくら？内訳と管理費の比較方法、作り方ごとの違いはWordPressとWixの選び方にまとめています。