ホームページのセキュリティ対策、今すぐ確認したいこと｜PHPの重大な脆弱性と沖縄の中小企業がやるべき対策

2026年10月21日（日本時間23時）、WordPressなど多くのホームページを動かしているプログラミング言語「PHP」に、深刻度「緊急」の脆弱性が2件見つかり、修正版が公開されました。国内でも、修正版の公開に合わせてサービスを一時停止したり、緊急メンテナンスを行ったりする企業が相次ぎ、政府からも注意喚起が出ています。

さらに10月に入ってからは、国内企業の情報漏えいや不正アクセスの公表が続いています。業務の委託先を経由した被害や、社員のアカウントを乗っ取られた被害も目立ちます。「うちは小さい会社だから狙われない」とは言い切れない状況です。

「ニュースを見て不安になったけれど、何から手をつければいいのか分からない」。そんな沖縄の中小企業の経営者さま、Web担当者さまに向けて、那覇で2002年から中小企業のホームページ運用を支援してきたオービックが、 「今日やること」「今週中にやること」「普段から続けること」 に分けて対策を整理しました。専門知識がなくても確認できるところから、順番に進めてください。

※本記事は2026年10月22日時点の公開情報をもとにしています。

何が起きたのか：PHPの重大な脆弱性「PHP2Shell」

PHPは、WordPressをはじめ、世界中のホームページの約7割で使われているプログラミング言語です。ホームページを見る人のパソコンではなく、ホームページを動かしている「サーバー」側で動いています。

今回見つかった脆弱性（ソフトウェアの弱点）は2件で、研究者のあいだでは「PHP2Shell」と呼ばれています。

項目	内容
脆弱性の番号	CVE-2026-109618、CVE-2026-109619
深刻度	いずれも9.2（10点満点中。最も深刻な「緊急」に分類）
起こりうること	ログインしていない第三者が、外部からサーバー上で不正なプログラムを実行できるおそれ（サーバーの乗っ取りにつながる）
影響するバージョン	PHP 5.4 〜 8.5.11
修正済みのバージョン	PHP 8.2.35／8.3.36／8.4.27／8.5.12
注意点	PHP 8.1以前はサポートが終了しており、正式な修正版は提供されません。PHP 8.2以上への切り替えが必要です

今回は、修正版の公開前に脆弱性の情報が外部に漏れてしまったこともあり、大きな騒ぎになりました。一般に、脆弱性は修正版が公開された直後が最も危険だと言われます。攻撃者が、まだ更新していないサーバーを探して回るからです。

WordPress側の対策だけでは、今回の問題は防げません

ここが今回いちばんお伝えしたいポイントです。

ログイン画面の保護やプラグインの更新は、WordPressのセキュリティ対策として欠かせません。しかし今回の脆弱性は、WordPressよりも土台にある「PHP」そのものの問題です。設定によっては、WordPressが動き出す前の段階で攻撃が成立するとも報告されています。

ホームページのセキュリティは、次のように「層」で考えると整理しやすくなります。

	主な対策	主な担当
① サーバー（PHP）	PHPを修正済みのバージョンにする	サーバー会社・保守担当者
② WordPress本体	WordPressを最新版に更新する	サイト管理者・保守担当者
③ テーマ・プラグイン	不要なものを削除し、使うものを更新する	サイト管理者・保守担当者
④ ログイン	不正ログインを防ぐ仕組みを入れる	サイト管理者
⑤ 人・アカウント	パスワード、二段階認証、担当者の管理	社内の全員
⑥ 万一の備え	バックアップと復元の準備	サイト管理者・保守担当者

どこか1つが弱いと、そこから入られてしまいます。「ログイン対策はしているから大丈夫」ではなく、すべての層を一度点検することが大切です。

この記事では、各対策を「ご自身で確認できること」と「Web制作会社に依頼すること」に分けて書いています。サーバーやFTPなど専門的な作業は、無理にご自身で操作せず、制作会社さまに伝えて対応してもらってください。

沖縄の中小企業によくある「セキュリティの落とし穴」

中小企業のホームページでは、技術の問題よりも「誰が管理しているのか分からない」という体制の問題が、セキュリティの穴になっていることがよくあります。次のような状況に心当たりはありませんか。

• ホームページを作った制作会社と連絡が取れない、どこに頼んだか分からない
• 社内のWeb担当者が1人だけで、ほかの業務と兼任している
• 保守契約はあるが、PHPやサーバーの更新まで含まれているか確認したことがない
• 予約フォームや問い合わせフォームで、お客さまの名前や連絡先を受け取っている
• 何年も前に作ったまま、ほとんど手を入れていない

観光・宿泊・飲食・医療など、フォームでお客さまの情報を受け取る業種は特に注意が必要です。万一情報が漏れると、お客さまへの影響だけでなく、地域での信用にも関わります。

一つでも当てはまる場合は、今回のニュースをきっかけに、次の章から順番に確認してみてください。

今日やること：PHPとWordPressのバージョンを確認する

PHPのバージョンを確認する

• ご自身で：管理画面の「サイトヘルス」でバージョンを確認し、サーバー会社のお知らせを見る
• 制作会社に依頼：古いバージョンだった場合の切り替え作業

WordPressの管理画面から、専門知識がなくても確認できます。

1. 管理画面のメニューから「ツール」→「サイトヘルス」を開く
2. 「情報」タブを開く
3. 「サーバー」の項目を開き、「PHPバージョン」を確認する

表示されたバージョンを、次のように見てください。

• 8.2.35／8.3.36／8.4.27／8.5.12以上：修正済みです
• 8.2〜8.5系だが、上の数字より小さい：サーバー会社の更新を待つか、手動で更新が必要です
• 8.1、8.0、7.x など：サポートが終了したバージョンです。PHP 8.2以上への切り替えを急いでください

レンタルサーバーを利用している場合、PHPの更新はサーバー会社が行うことが多いですが、どのバージョンを使うかの切り替えは、契約者側の設定になっているケースがよくあります。ご利用中のサーバー会社のお知らせ（障害・メンテナンス情報）もあわせて確認しましょう。

PHPを切り替える前の注意

• ご自身で：切り替え後に、いつも使うページやフォームが動くか確認する
• 制作会社に依頼：バックアップの取得、PHPの切り替え、不具合が出たときの対応

古いバージョン（7.x〜8.1）から8.2以上に切り替えると、古いテーマやプラグインが動かなくなり、画面が真っ白になる・問い合わせフォームが動かないといった不具合が起きることがあります。

• 切り替え前に、必ずバックアップを取る
• 切り替え後に、トップページ、主要なページ、問い合わせフォーム、予約・購入機能などを確認する
• 不具合が出たときに元に戻す方法を確認しておく

ただし、「不具合が怖いから」と更新を先延ばしにするのは、今回は特に危険です。不安な場合は、保守担当者や制作会社にすぐ相談してください。

WordPress本体も最新版か確認する

• ご自身で：「更新」画面で最新版になっているか確認する
• 制作会社に依頼：更新作業（ご自身での更新が不安な場合）

2026年7月にも、WordPress本体に「wp2shell」と呼ばれる深刻な脆弱性が見つかっています（WordPress 6.8.6、6.9.5、7.0.2以降で修正）。管理画面の「ダッシュボード」→「更新」で、WordPress本体が最新になっているか確認しましょう。

今週中にやること：WordPressの基本セキュリティ対策

ここからは、オービックがお客さまのサイトで実際に取り入れている対策です。

1. 管理画面とFTPを「ベーシック認証」「IPアドレス制限」で守る

• ご自身で：社外やスマートフォンから管理画面を使うことがあるかを、制作会社に伝える
• 制作会社に依頼：ベーシック認証・IPアドレス制限の設定、FTPのIPアドレス制限とSFTPへの切り替え

WordPressのログイン画面（wp-login.php）や管理画面に入る前に、もう1つ別のIDとパスワードを求める仕組みです。ログイン画面そのものを第三者に見せないため、パスワードを総当たりで試す攻撃に強くなります。

多くのレンタルサーバーでは、管理パネルから設定できます。ただし設定のしかたによっては、問い合わせフォームや一部の機能が動かなくなることがあるため、設定後は必ず動作確認をしてください。

さらに効果が高いのが「IPアドレス制限」です。IPアドレスは、インターネット上の住所のようなものです。会社のネット回線など、決まった場所からしか管理画面に入れないように設定すると、それ以外の場所からはログイン画面にたどり着くこともできなくなります。あわせて、サイトのファイルを直接やり取りする「FTP」にもIPアドレス制限をかけると、セキュリティのレベルがさらに上がります。FTPに入られると、ホームページのファイルそのものを書き換えられてしまうからです。

また、昔ながらのFTPは通信が暗号化されない方式です。暗号化される「SFTP」や「FTPS」に切り替えると、より安全になります。

FTPは、ふだんは制作会社や保守担当者が使うもので、お客さまご自身が操作する必要はありません。「FTPにIPアドレス制限をかけているか」「SFTPなど暗号化された方式に切り替えているか」を、ホームページを管理しているWeb制作会社さまに伝えて、確認・対応を依頼してください。

ただし、次の点に注意が必要です。

• 会社の回線が「固定IPアドレス」の契約になっている必要がある
• 自宅や外出先、スマートフォンからは管理画面に入れなくなる
• 回線やプロバイダーを変えると、設定の変更が必要になる

社外から更新する機会が多い場合は、許可する場所を追加するなど、運用に合わせた設定を保守担当者と相談しましょう。

2. 「SiteGuard WP Plugin」でログインを守る

• ご自身で：ログイン通知メールを受け取る担当者を決める
• 制作会社に依頼：プラグインの導入と設定

国産の無料セキュリティプラグインで、日本のWordPressサイトで広く使われています。主に次のような機能があります。

• ログイン時にひらがなの画像認証を入力させる（海外からの自動攻撃に強い）
• ログイン画面のURLを変更する
• ログインに何度も失敗した相手を一定時間ロックする
• 管理者がログインしたときにメールで通知する

ひらがな認証は、機械的な不正ログインを防ぐうえでとても効果的です。

3. パスワードは13桁以上の英数字記号にする

• ご自身で：WordPressのパスワードを変更する
• 制作会社に依頼：サーバーやFTPのパスワードの変更

パスワードは13桁以上で、英大文字・小文字・数字・記号を組み合わせることを徹底しましょう。

• ほかのサービスと同じパスワードを使い回さない
• 社名、電話番号、誕生日など推測しやすい言葉を使わない
• 覚えられない長いパスワードは、パスワード管理ツールで管理する

パスワードの決め方や管理のしかたは、こちらの記事で詳しく解説しています。

4. 二段階認証を設定する

• ご自身で：会社のメールアカウントに二段階認証を設定する
• 制作会社に依頼：WordPressへの二段階認証の導入

パスワードに加えて、スマートフォンのアプリなどで確認コードを入力する仕組みです。万が一パスワードが漏れても、それだけではログインされにくくなります。WordPressのログインはもちろん、次で触れるメールアカウントにも設定をおすすめします。

二段階認証のしくみや設定のポイントは、パスワード管理と二段階認証の記事でも紹介しています。

5. ユーザーアカウントと権限を見直す

• ご自身で：ユーザー一覧を見て、退職者や使っていない人を洗い出す（社内の事情は社内でしか分かりません）
• 制作会社に依頼：アカウントの削除や権限の変更（ご自身でも操作できます）

見落としがちですが、とても大切なポイントです。

• 退職した社員や、以前の制作会社のアカウントが残っていないか
• 全員が「管理者」になっていないか（記事を書くだけなら「編集者」や「投稿者」で十分です）
• ログインIDが「admin」や社名など、推測しやすいものになっていないか

使っていないアカウントは、それだけで侵入口になります。

6. 古いプラグイン・テーマは「停止」ではなく「削除」する

• 制作会社に依頼：どれが不要かの判断と削除（判断を誤るとサイトが動かなくなるため）

プラグインやテーマは、「停止」しただけではサーバー上にファイルが残っています。古いファイルに弱点があると、そこから攻撃されることがあります。

• 使っていないプラグインは削除する
• 使っていないテーマも削除する（今使っているテーマと、その親テーマは残す）
• 長期間（目安として1〜2年）更新されていないプラグインは、代わりのものを検討する

7. 使うプラグイン・テーマ・WordPress本体を更新する

• ご自身で：更新後に、ホームページの表示やフォームを確認する
• 制作会社に依頼：更新作業と、不具合が出たときの対応

更新には、見つかった弱点の修正が含まれていることがほとんどです。更新の通知が出たら、なるべく早く対応しましょう。

更新でまれに不具合が出ることもあるため、更新前にバックアップを取り、更新後は主要なページとフォームを確認する習慣をつけると安心です。

8. バックアップを「サーバーの外」にも保存する

• ご自身で：保守契約にバックアップと復元が含まれているか確認する
• 制作会社に依頼：サーバー外へのバックアップの保存と、復元のテスト

サーバーのバックアップ機能だけに頼らず、別の場所にもバックアップを保存しておきましょう。サーバーそのものが被害を受けた場合、同じサーバー内のバックアップも使えなくなるおそれがあるからです。

そして大切なのは、「バックアップから本当に戻せるか」を一度試しておくことです。

9. サーバーの「WAF」機能をオンにする

• 制作会社に依頼：WAFの設定と、設定後の動作確認

WAF（ワフ）は、ホームページへの不審なアクセスをサーバーの入口で防ぐ仕組みです。多くのレンタルサーバーに標準で付いていますが、初期状態ではオフになっていることもあります。サーバーの管理パネルで設定状況を確認しましょう。

普段から続けること：「仕組み」と「人」の対策

使っていないサイトを放置しない

• ご自身で：自社で持っているサイトを洗い出す
• 制作会社に依頼：不要なサイトの閉鎖作業

キャンペーン用のサイト、テスト用のサイト、昔のブログなど、更新されずに残っているサイトはありませんか。放置されたサイトは古いPHPやプラグインのままになりやすく、攻撃の入口になりがちです。不要なものは閉鎖を検討しましょう。

「誰が更新するのか」を決めておく

• ご自身で：社内で情報を整理し、共有する

今回のような緊急時に困るのは、「サーバーは誰が契約しているのか」「PHPの更新は誰がやるのか」が分からないケースです。

• サーバー会社と契約者（名義）
• サーバー管理画面のログイン情報の保管場所
• 保守を依頼している会社と連絡先

これらを社内で共有しておくだけで、いざというときの対応が大きく早くなります。

メールやクラウドのアカウントも守る

• ご自身で：社内でメールを管理している担当者が設定する

2026年10月の国内の被害事例を見ると、社員のメールアカウントへの不正ログインや、業務委託先を経由した被害も目立ちます。ホームページだけでなく、会社のメール（Microsoft 365やGoogle Workspaceなど）にも二段階認証を設定しておきましょう。

異変に気づける仕組みをつくる

• ご自身で：通知メールを受け取る担当者を決める
• 制作会社に依頼：Google Search Consoleへの登録

Google Search Consoleにサイトを登録しておくと、サイトが改ざんされたりマルウェアが仕込まれたりした場合に、Googleから通知を受け取れます。SiteGuard WP Pluginのログイン通知とあわせて、「いつもと違う」に早く気づける体制をつくりましょう。

セキュリティ対策チェックリスト

印刷して、社内の点検にお使いください。【自社】はご自身で確認・対応できる項目、【依頼】はWeb制作会社さまに伝えて対応してもらう項目です。

今日やること

• 【自社】PHPのバージョンを確認した（8.2.35／8.3.36／8.4.27／8.5.12以上）
• 【自社】サーバー会社のお知らせを確認した
• 【自社】WordPress本体が最新版になっている

今週中にやること

• 【依頼】管理画面のベーシック認証・IPアドレス制限と、FTPの設定（IPアドレス制限・SFTPへの切り替え）を依頼した
• 【依頼】SiteGuard WP Pluginを導入し、ひらがな画像認証を設定した
• 【自社】WordPressのパスワードを13桁以上の英数字記号にした（使い回しなし）
• 【依頼】WordPressに二段階認証を導入した
• 【自社】不要なユーザーを洗い出し、削除と権限の見直しをした
• 【依頼】使っていないプラグイン・テーマを削除した
• 【依頼】使っているプラグイン・テーマを更新した
• 【依頼】バックアップをサーバー外にも保存し、復元を試した
• 【依頼】サーバーのWAFをオンにした

普段から続けること

• 【自社】放置しているサイトがないか確認した
• 【自社】サーバーの契約者・更新担当者・保守会社を社内で共有した
• 【自社】会社のメールアカウントに二段階認証を設定した
• 【依頼】Google Search Consoleに登録し、通知を受け取れるようにした

「これで完全に安全」はありません。だからこそ、続けることが大切です

セキュリティ対策に「これをやれば100％安全」というものはありません。今回のPHPのように、自分たちでは防ぎようのない土台の部分に弱点が見つかることもあります。

それでも、基本的な対策を重ねておけば、被害にあう可能性は大きく下げられます。そして、何かあったときに「すぐ更新できる」「すぐ元に戻せる」体制があれば、被害を最小限に抑えられます。

セキュリティ対策に不安がある沖縄の中小企業の方へ

オービックは、那覇市を拠点に2002年から沖縄の中小企業のWeb制作・Webマーケティングを支援しており、「ホームページを作らないWeb制作会社」として、既存サイトの改善・運用を専門にサポートしています。

「PHPのバージョンの見方が分からない」「更新して表示が崩れないか心配」「保守の担当者がいない」といった場合は、お気軽にご相談ください。ご相談の際は、次の情報があるとスムーズです。

• ホームページのURL
• 利用しているサーバー会社名
• 分かる範囲でのPHPのバージョン
• 現在の保守契約の有無

今回のPHPの脆弱性は、対策が急がれる問題です。オービックは、より多くの沖縄の企業が安心してWebを活用できるよう、こうした場面でこそお役に立ちたいと考えています。まずはお気軽にお問い合わせください。