うちの店は関係ある？PHPの脆弱性の影響判定｜ホームページ・予約・EC・POS・グルメサイト別

ホームページの裏側で動くプログラム（PHP）に、外からホームページを乗っ取られるおそれのある欠陥が見つかりました（この記事では「PHPの脆弱性」と呼びます。ニュースでは「PHP2Shell」とも呼ばれています）。そのニュースやサーバー会社のお知らせを見て「うちの店も関係あるのだろうか」と迷っている方は多いと思います。飲食店はホームページのほかに、予約サービス、ネットショップ、POSレジ、グルメサイトなど、いくつものネットの仕組みを使っています。そのどれが関係して、どれが関係ないのかは、意外と整理されていません。

この記事では、飲食店がよく使う仕組みを一つずつ取り上げ、「関係あり」「提供元任せ」「関係なし」のどれにあたるか、誰が対応し、店は何をすればよいかを判定します。判定に迷うときの見分け方もまとめました。

PHPの脆弱性そのものの意味や、なぜ急ぐ必要があるのかは10分まとめ（何が起きたのか）で解説しています。

結論：判定の決め手は「そのサーバーを誰が管理しているか」

PHPの開発元は、今回の脆弱性の対象を「Webのアクセスを処理するすべてのPHP」としています。つまり、PHPで動くホームページや予約・注文の仕組みは、どれも当てはまりえます。そのうえで、店がやることは「そのサーバーを誰が管理しているか」で決まります。

• 関係あり：店（または店が頼んだ制作会社）が借りたサーバーで動いているもの。WordPressのホームページ、自店のサーバーに設置した予約・注文・ネットショップの仕組み
• 提供元任せ：サービス会社が自社のサーバーでまとめて運営しているもの。ホームページ作成サービス、予約サービス、クラウドのPOSレジ、グルメサイト
• 関係なし：店のスマホ・パソコン・Wi-Fi・レジ本体。PHPはサーバーで動くもので、店の端末には入っていません

1つの店で、この3つが同時に当てはまるのが普通です。「ホームページは関係あり、予約は提供元任せ、レジは関係なし」というように、仕組みごとに別々に判定してください。

「借りている店舗」と「自分で建てた店舗」で考える

ネットの仕組みは、大きく2つの形に分かれます。

形	たとえと、誰が直すか
設置型	土地（サーバー）を借りて、自分で店舗を建てた状態。建物の設備（PHP）の点検・修理は、オーナー側（店や、頼んだ制作会社）が手配する → 店側で確認が必要
サービス型	商業施設のテナントとして入っている状態。建物の設備は施設側（提供元）が一括で管理する → 提供元が対応する。店は案内を見る

IPAも、PHPを利用する製品への影響は各製品の開発者やサービス提供元の情報で確認するよう案内しています。サービス型の仕組みについて、店の側から「影響があったか」を確かめる方法はありません。提供元の公表を待ち、案内があればそれに従うのが正しい動き方です。

注意したいのは、サービス名が同じでも、形が違うことがある点です。たとえば予約の仕組みには、予約サービスに申し込んで使うもの（サービス型）と、制作会社がホームページの中に組み込んだ予約フォーム（設置型）の両方があります。

飲食店がよく使う仕組み別の判定

1. ホームページ（WordPress・制作会社が作ったサイト）：関係あり

WordPressはPHPで動いています。制作会社に作ってもらったホームページも、多くはレンタルサーバー上で動く設置型です。PHPの更新はサーバー側の作業なので、WordPressやプラグインを更新してもPHPの脆弱性は直りません。サーバー会社のお知らせを見て、制作会社に状況を確認します。

2. ホームページ作成サービス（Wix・Jimdo・STUDIO・ペライチなど）：提供元任せ

作成サービスは、提供元が自社のサーバーでまとめて運営しています。利用者がサーバーやPHPを触る場所はありません。対応が必要な場合は提供元が行います。店がやることは、使っているサービスの公式のお知らせを確認することだけです。

ただし「作成サービスだから影響はない」と決めつけないでください。影響の有無は提供元にしか分かりません。お知らせに記載がなければ、「記載がない」と受け止めておきます。

3. 予約・順番待ち・テイクアウト注文：形によって分かれる

• 予約サービスやグルメサイトの予約機能に申し込んで使っている → 提供元任せ。提供元のお知らせを見る
• 制作会社がホームページに予約フォームや注文の仕組みを組み込んだ → 関係あり。ホームページと同じサーバーで動いていることが多いため、ホームページと一緒に制作会社へ確認する

予約フォームやテイクアウト注文で、お客さまの氏名・電話番号・メールアドレスを預かっている場合は、確認の優先度を上げてください。

4. ネットショップ（通販・ギフト・お取り寄せ）：形によって分かれる

• ネットショップ作成サービスで開いている → 提供元任せ。提供元のお知らせを見る
• 自店のサーバーにショップの仕組みを設置している → 関係あり。設置した制作会社へ確認する

設置型のショップの仕組みには、PHPで動くものがあります。たとえばEC-CUBE（日本で使われているネットショップ構築の仕組み）の公式のシステム要件では、EC-CUBE 4.2の対応PHPは7.4〜8.1、4.3は8.1〜8.3です。古い版のまま動いているショップは、サポートが終わったPHP（8.1以前）で動いている可能性があります。何年も手を入れていないショップほど、設置した制作会社に早めに確認してください。

5. POSレジ・会計・予約台帳（クラウド型）：提供元任せ

クラウド型のPOSレジや予約台帳は、提供元のサーバーで動いています。店のレジ端末やタブレットにPHPは入っていません。提供元から案内があれば従い、なければ通常どおり使って構いません。

6. グルメサイト・Googleビジネスプロフィール・Instagram：店がやることはない

これらは提供元が運営するサービスで、店が対応する作業はありません。注意したいのは便乗の偽メールです。「脆弱性対応のため至急ログインを」といったメールやメッセージが届いても、リンクは踏まず、公式アプリや公式サイトを自分で開いて確認してください。

7. 店のスマホ・パソコン・Wi-Fi・レジ本体：関係なし

PHPはサーバーで動くプログラムで、店の端末には入っていません。端末の電源を切る、Wi-Fiを止めるといった対応は不要です。「PHP対策アプリ」のようなものを入れさせようとする案内は、偽物を疑ってください。

判定の一覧

使っているもの	判定／誰が対応／店がやること
WordPress・制作会社のホームページ	関係あり／サーバー会社・制作会社／お知らせを見て制作会社に確認
ホームページ作成サービス	提供元任せ／提供元／お知らせを見る
予約・注文（サービスに申し込み）	提供元任せ／提供元／お知らせを見る
予約・注文・ショップ（自店のサーバーに設置）	関係あり／制作会社・サーバー会社／設置した制作会社に確認
クラウドPOS・予約台帳	提供元任せ／提供元／案内があれば従う
グルメサイト・GBP・SNS	店の作業なし／提供元／偽メールに注意
店のスマホ・PC・Wi-Fi・レジ本体	関係なし／—／何もしなくてよい

判定に迷うときの見分け方

「予約フォームはどちらの形なのか」「ホームページは誰のサーバーで動いているのか」が分からないときは、次の4つの手がかりで見当がつきます。

手がかり1：毎月・毎年の支払い先

カードの明細や口座の引き落としを見てください。「レンタルサーバー」「ホームページ保守」の名目で払っていれば設置型の可能性が高く、サービスの月額利用料として払っていればサービス型です。制作会社にまとめて払っている場合は、制作会社に聞くのが最短です。

手がかり2：契約書・請求書の品目

制作会社との契約書や請求書に「サーバー管理」「保守」「CMS（WordPress）」といった品目があれば、設置型のホームページを制作会社が管理している形です。保守の範囲に「PHPなどサーバー側の更新」が含まれているかも、あわせて確認しておくと後で役に立ちます。

手がかり3：管理画面のアドレス

お知らせの更新などで管理画面にログインしている場合は、そのアドレスを見てください。自店のホームページのアドレスの後ろに「wp-admin」が付いていれば、WordPressで動く設置型です。サービス会社のアドレスでログインしているなら、サービス型と考えられます。

なお、ホームページのアドレスが独自ドメイン（お店の名前のアドレス）かどうかは決め手になりません。作成サービスでも独自ドメインは使えます。

手がかり4：それでも分からなければ制作会社に聞く

次の一文を送れば足ります。

PHPの脆弱性「PHP2Shell」（CVE-2026-109618 / CVE-2026-109619）の件で確認させてください。当店のホームページと、予約フォーム・注文・ネットショップの仕組みは、どこのサーバーで動いていて、PHPの更新は誰が担当していますか。

PHPのバージョンの見方や、返事が来たあとの確認の進め方は確認の手順の記事で扱います。

判定の結果ごとに、次にやること

• 「関係あり」が1つでもある → 今日やることチェックリストの5つ（サーバー会社のお知らせ、PHPのバージョン確認、制作会社に1通、直せない場合の判断、偽メール対策）へ進みます。制作会社と連絡がつかない、古いPHPのまま直せないといった場合は、すぐ直せないときの決め方を参考にしてください。
• 「提供元任せ」だけ → 使っているサービスの公式のお知らせを確認し、案内があれば従います。それ以上の作業はありません。
• 「関係なし」だけ → 作業はありません。便乗の偽メールにだけ注意してください。

ホームページに不審な表示がある、身に覚えのないメールが送られているなど、すでに様子がおかしい場合は、判定より先に被害の見分け方と初動を確認してください。

確認の間にホームページを一時的に閉じることになっても、Googleビジネスプロフィール（Googleマップ）に営業時間・メニュー・予約方法が載っていれば、お客さまは店にたどり着けます。予約の受け口をGoogleマップに用意しておく方法はGoogleビジネスプロフィールに予約リンクを設定する方法にまとめています。

判定でよくある勘違い

• 「作成サービスやクラウドのサービスなら、影響はゼロ」→ そうとは言い切れません。影響の有無は提供元にしか分かりません。店は「提供元が対応する範囲」と理解し、お知らせを確認します。
• 「予約は外部サービスだから、ホームページも大丈夫」→ 別々に判定します。予約がサービス型でも、ホームページが設置型なら関係ありです。
• 「独自ドメインだから設置型」→ 決め手になりません。作成サービスでも独自ドメインは使えます。支払い先や管理画面で見分けます。
• 「WordPressを最新にしたから大丈夫」→ 直りません。欠陥はPHP本体にあり、PHPの更新はサーバー側の作業です。
• 「店のスマホやレジも止めるべき」→ 不要です。PHPは店の端末には入っていません。

まとめ

• 判定の決め手は「そのサーバーを誰が管理しているか」。店や制作会社が借りたサーバーなら関係あり、提供元がまとめて運営していれば提供元任せ
• WordPress・制作会社のホームページ、自店に設置した予約・注文・ネットショップは関係あり。古い版のショップの仕組みはサポートが終わったPHPで動いている可能性もある
• 作成サービス・予約サービス・クラウドPOS・グルメサイトは提供元任せ。影響ゼロと決めつけず、お知らせを見る
• 店のスマホ・Wi-Fi・レジ本体は関係なし。便乗の偽メールにだけ注意
• 迷ったら支払い先・契約書・管理画面のアドレスで見当をつけ、最後は制作会社に一文で聞く

「関係あり」が1つでもあれば、今日やることチェックリストへ進んでください。連載の全体はシリーズまとめにあります。

出典

• IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日掲載・同日確認）
• The PHP Group「PHP Security Advisory」（2026年10月21日・2026年10月22日確認）
• CERT-EU「Security Advisory 2026-018: Critical Vulnerabilities in PHP」（2026年10月21日・2026年10月22日確認）
• WordPress.org「Requirements」（2026年10月22日確認）
• EC-CUBE「システム要件 - for EC-CUBE 4 Developers」（2026年10月22日確認）

本記事は2026年10月22日時点で公表されている資料にもとづいています。各サービスが影響を受けたかどうかは提供元の公表が正であり、本記事はそれを判定するものではありません。実際の判断は最新の公式情報と、契約先のサーバー会社・制作会社・サービス提供元への確認にもとづいて行ってください。

投稿者プロフィール

matokaスタッフ

飲食店専門のWEB集客支援を行う、matoka株式会社（東京都品川区西五反田）の編集チームです。

普段の仕事は、Googleビジネスプロフィールの運用と口コミ対応（MEO対策）、食べログ・ホットペッパーグルメなどグルメサイトの運用代行、SNS運用とホームページ制作、訪日外国人向けの多言語対応、AIを使ったMEO支援（droptip）、そして成果報酬型のインフルエンサーPR「clues restaurant」の運営です。

このブログには、その現場で実際に手を動かして分かったことを書いています。AI検索（ChatGPTなど）に自分の店がどう出るかの確かめ方、口コミ返信やGoogleマップ投稿の時短、グルメサイトとMEOの使い分け、多言語メニュー、求人票、決済まわりのリスクまで、テーマはすべて店舗からの相談が出発点です。

編集方針は2つあります。営業の合間にスマホで読んでも、その日のうちに1つ試せる形で書くこと。そして成果を保証せず、うまくいかない条件や向かない店舗も併せて書くことです。

集客の困りごとは、matoka.co.jp のお問い合わせページからご相談いただけます。

最新の投稿

• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性と飲食店のホームページ｜シリーズまとめ・最新情報と更新履歴
• ニュース・制度の変化に備える2026年10月22日飲食店ホームページの最低限の維持ルール｜年1回のチェックリスト付き（PHPの脆弱性から学ぶ）
• ニュース・制度の変化に備える2026年10月22日ホームページが乗っ取られていないかの見分け方と、被害に遭ったときの初動｜飲食店向け（PHPの脆弱性）
• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性をすぐ直せないとき｜古いPHP・連絡がつかない制作会社・放置サイトをどうするか