10月21日、PHPに深刻な脆弱性が2件（CVE-2026-109618／CVE-2026-109619）見つかったという発表がありました。
WordPressの土台になっているプログラムなので、弊社で管理しているサイトも対象になり得ると。
情報をいち早くつかんで、その日のうちに対応を始めました。
まずやったのはバックアップの取得です。
管理しているサイトのバックアップを順番に取っていって、結局夜遅くまでかかりました。
で、その夜から、サーバーにつながらなくなったんですよね。
サーバーの中に入れない状態です。
なので、ひとまずバックアップを取る対応ができたのはよかったかなと思ってます。
翌日にはPHPのバージョンを確認して、管理しているサイトはすべて修正版へ更新しました。
今回あらためて気になったのが、福祉業界のホームページです。
作ってそのままになっているものが結構あるので、そこは気をつけた方がいいです。
僕も、以前働いていた職場にすぐ連絡しました。
こういう脆弱性が出ているので、制作会社さんに連絡してください、と理由も一緒に伝えて。
すぐにメールを送ってくれたとのことでした。
じゃあ、作ったまま放置しているサイトが狙われると、どうなるのか。
よくあるのは、ページを書き換えられる「改ざん」です。
開くと知らない怪しいサイトに飛ばされるようになったり、見に来た人のパソコンにウイルスを入れようとするページにされたりします。
もう1つが「踏み台」です。
乗っ取られたサイトやサーバーが、迷惑メールの送信や、ほかのサイトへの攻撃に使われてしまう。
こうなると、自分たちも被害者のはずなのに、攻撃の発信元として事件に巻き込まれることになります。
福祉施設なら、利用者さんやご家族からの信頼にも関わってきます。
煽りたいわけではないんですけど、放置しているとこういうことが起こり得る、ということです。
なので、そうなる前に対策しておきましょう、と。
やることはシンプルで、この3つです。
- サイトのバックアップを取っておく
- WordPressやPHPを新しいバージョンにしておく（PHPは8.2以上）
- 自分で分からなければ、作ってもらった制作会社さんに連絡する
具体的に言うと、PHPは8.2以上にしておかないと厳しいです。
8.1以下のバージョンは公式のサポートがもう終わっていて、今回のような脆弱性が見つかっても、修正版が出ません。
サーバーの管理画面でPHPのバージョンが選べるので、8.2以上になっているか、一度確認してみてください。
しかも、その8.2も、公式のサポートは2026年12月末で終わる予定です。
年が明けたら、今度は8.3以上が目安になります。
PHPは毎年新しいバージョンが出て、古いものから順にサポートが切れていくので、一度上げたら終わりではないんですよね。
何年かに一度はバージョンを上げる前提で、サイトを持っておく必要があります。
ただ、古いバージョンから上げると、プラグインやテーマが対応していなくて、表示が崩れる可能性があります。
それでも、乗っ取られるよりは、表示が崩れる方がまだいいです。
表示崩れは直せますが、乗っ取られて改ざんや踏み台に使われてからだと、取り返しがつかないこともあるので。
なので、バージョンは上げましょう。
上げてみて表示が崩れた、自分では解決できない、という場合はご連絡ください。
一緒に直していきます。
もう管理ができない、やらないという方は、WordPressをやめてHTMLにするだけでも、ちょっとは変わるかなと思います。
HTMLだけのサイトなら、PHPを使わないので。
その対応もできます。
他の会社で作ったサイトを、僕が保守管理するのも可能です。
弊社では、これからも脆弱性の情報を常にキャッチアップして、必要であればアップデートをしていきます。
今後の取り組みとしては、PHPを使わない方法、EmDashなども視野に入れて、サイト構築を行っていきたいと思ってます。
