PHPの重大な脆弱性でWebサイト停止が相次いだ今こそ考えたい「Web-BCP」

PHPの重大な脆弱性で「自主停止」が相次いだWebサイト

2026年10月20日（協定世界時）、PHPの開発チームが「緊急」レベルの脆弱性（CVE-2026-109618・CVE-2026-109619）を修正すると予告しました。深刻度はCVSS v4.0で2件とも9.2。認証なしで外部からサーバー上のプログラムを実行されるおそれがあるものです。

修正版（PHP 8.5.12・8.4.27・8.3.36・8.2.35）は日本時間10月21日23時に公開されました。

それまでの数時間、国内では行政・大学・鉄道・EC・ゲーム、レンタルサーバーなど幅広い組織が、念のためにWebサイトやサービスを一時停止しました。欧州などでも政府系サイトが相次いでオフラインになったと報じられています。

ここで注目したいのは、今回の停止の多くが「攻撃されたから」ではなく「攻撃される前に自ら止めた」ものだった点です。つまり、「自社のWebサイトが半日止まる」という事態は、災害や障害だけでなく、脆弱性対応という“正しい判断”の結果としても起こりうるのです。

Webサイトが止まったとき、何で伝える？情報発信手段の複層化

今回、多くの組織が「これから止めます」「再開は明日の朝の予定です」という告知を、XなどのSNS公式アカウントで発信しました。国のサイバーセキュリティを担う国家サイバー統括室も、公式XでPHP利用の確認と修正版適用の準備を呼びかけています。

Webサイトを止めると、そのサイトに「停止中です」と書くことさえ難しくなります。このとき、Webサイトとは別の仕組みで動いている発信手段を持っているかどうかで、お客さまや取引先の不安の大きさが変わります。

説明がないままサイトが見えなくなれば、「ハッキングされたのでは」という誤解やデマを招きかねません。

「塩の道」に学ぶ、一本に頼らない備え

かつて塩や物産を運んだ「塩の道」は、一本の道ではなく幾筋もありました。一本が途絶えても、迂回して届けるためです。Web-BCPでも同じで、ひとつの連絡手段に頼り過ぎないことが基本です。これを「情報発信手段の複層化」と呼びます。

ポイントは、手段の「数」だけでなく、「止まる原因が重ならないこと」です。同じサーバーで動くサイトをいくつ持っていても、サーバーが止まればすべて止まります。

発信手段	Webサイト停止時に使えるか	向いている情報	平時にやっておくこと
公式Webサイト	使えない	正式なお知らせ・詳細情報	停止時に表示するメンテナンスページを用意
SNS公式アカウント（X、Facebook、Instagramなど）	使える	停止・再開の速報、状況の更新	公式であることをサイトに明示、複数担当者でログイン可能に
LINE公式アカウント・メール配信	使える（配信サービスが別なら）	既存顧客への個別案内	配信先リストと文面テンプレートを整備
外部のプレスリリース・ブログサービス	使える	公式見解、経緯の説明	アカウントを事前に開設
Googleビジネスプロフィール	使える	店舗・拠点の営業状況	オーナー確認と投稿権限の整理
電話・自動音声案内	使える	問い合わせへの個別対応	想定問答と受付体制を用意

SNS公式アカウントを「平時から」育てておく

SNSは、いざというときに急に作っても役に立ちません。フォロワーがいなければ届かず、「本当に公式か」も判断されにくいからです。次の3点を平時から整えておきましょう。

・公式であることを示す：Webサイトのフッター等にSNS公式アカウントへのリンクを掲載し、「障害時はこちらでお知らせします」と明記しておきます。

・発信ルールを決める：誰が、どの段階で、何を発信するか。「停止の告知」「経過報告」「再開の報告」の文面テンプレートを用意しておくと、当日に迷いません。

・伝える相手を整理する：顧客、取引先、社員、行政など、相手ごとに「いつまでに、何を、どの手段で」伝えるかを決めておきます。

情報を詳しく、正確に、いち早く伝えることは、非常時にも関係者との信頼を守ることにつながります。

「いざというとき」は日々の保守で決まる！WordPress・PHPの更新と脆弱性対策

今回の修正版は、サポート中のPHP 8.2〜8.5向けに公開されました。サポートが終了したPHP 8.1以前には、今回は例外的に7.4・8.0・8.1向けの最小限の修正がソースコードで提供されたものの、開発元はサポート対象のバージョンへの移行を勧めています。また、PHP 8.2も2026年12月31日でサポート終了の予定です。

ここから分かるのは、日頃から更新しているサイトほど、いざというときに速く復旧できるということです。古いPHPのまま放置されているサイトは、修正版が出てもすぐに適用できません。

バージョンを上げるとテーマやプラグイン、問い合わせフォームが動かなくなることがあり、その対応の間、サイトを止め続けることになりかねません。

レンタルサーバーを使っている場合も安心はできません。サーバー会社がPHPを更新しても、その上で動くWordPress本体・テーマ・プラグインが新しいPHPに対応しているかどうかは、サイト運営者側の責任だからです。

平時にやっておきたい保守の基本

項目	内容	目安の頻度
PHPのバージョン確認	サポート期限内のバージョンか確認し、期限前に計画的に上げる	半年に1回＋期限の前
WordPress本体・テーマ・プラグインの更新	使っていないプラグインは削除	毎月
バックアップと復元確認	取るだけでなく、実際に戻せるかを確認	日次バックアップ＋定期の復元テスト
検証環境（ステージング）	本番と同じ環境で更新の影響を先に確認	更新のタイミングで
脆弱性・改ざん・死活の監視	脆弱性情報とサイトの異常にいち早く気づく	常時
管理画面の保護と権限整理	不要なアカウントの削除、ログイン画面の保護	四半期に1回程度
緊急時の手順書	「誰が、何を確認し、止めるか否かをどう判断するか」を文書化	年1回見直し

今回のような重大な脆弱性は、発表から修正版公開まで数十時間しかありませんでした。その短い時間で「自社のどのサイトでPHPを使っているか」「バージョンは何か」「誰が更新できるか」を把握できるかどうかは、平時の管理しだいです。

IPAも今回、PHPを使うプログラムの棚卸しと、速やかに修正を適用できる体制づくりを呼びかけています。

「止まっても伝えられる」「止めてもすぐ戻せる」備えを

今回のPHP脆弱性問題は、Webサイトがいつでも止まりうることを、多くの企業に示しました。Web-BCPの要点は、次の2つです。

• 止まっても伝えられる：SNS公式アカウントなど、Webサイトとは別の発信手段を平時から育てておく
• 止めてもすぐ戻せる：WordPress・PHPを日頃から更新し、修正版をすぐ適用できる状態を保つ

「うちのサイト、大丈夫？」に、すぐ答えられる管理体制をつくりませんか？

「自社サイトのPHPやWordPressのバージョンが分からない」

「制作会社に任せたまま、何年も更新していない」

「更新が大事なのは分かっているが、社内に担当者がいない」

このような方向けに、BourndForでは「WordPressセキュリティ保守パック」を提供しています。更新・監視・バックアップをお引き受けし、実施内容と残るリスクをレポートでご報告するサービスです。担当者が一人で抱え込まずに、社内でも社外でも、状況をいつでも説明できるようになります。

その他、BoundForでは

• デジタルマーケティング戦略
• 戦略的Webサイト構築・運用
• Webマニュアル制作
• デジタルマーケティング運用支援
• コンサルティング事業

などをおこなっております。

何かお困りごとがございましたら、まずはお気軽にお問い合わせください。