PHPの脆弱性の確認手順｜サイトヘルスの見方・サーバー会社のお知らせ・制作会社への質問テンプレ

ホームページを外から乗っ取られるおそれのある今回の欠陥（この記事では「PHPの脆弱性」と呼びます。ニュースでは「PHP2Shell」とも呼ばれています）について、「うちのホームページも関係ありそうだ」と分かったら、次は自分の店のサーバーで修正が済んでいるかを確かめる番です。ただ、「サイトヘルスってどこ？」「制作会社に何と聞けばいい？」と、具体的な手順で止まってしまう方も多いはずです。

この記事では、確認の手順を「自分で確認できる人」と「自分では確認できない人」の2つのルートに分けて、画面のたどり方、お知らせの読み方、制作会社にそのまま送れる質問文、返事の読み方までを順に説明します。

結論：そろえる材料は3つ、ルートは2つ

確認でそろえる材料は、次の3つです。

1. PHPのバージョン（自分の店のサーバーで動いている番号）
2. サーバー会社のお知らせ（修正が「完了」しているか、利用者に作業があるか）
3. 制作会社の回答（ホームページを任せている場合）

どこから集めるかは、あなたがどちらのルートかで変わります。

ルート	あてはまる人／やること
A：自分で確認できる	WordPressの管理画面にログインできる。サーバー会社の契約者が自分（店）で、会社名が分かる → A-1〜A-3を読む（制作会社がいれば、ルートBの質問もあわせて送る）
B：自分では確認できない	ホームページを制作会社に任せきりで、ログイン情報やサーバー会社名が分からない → ルートBの質問文を制作会社に送る

そもそも自分の店が関係あるのかがまだ分からない方は、今日やることチェックリストの30秒判定、またはホームページ・予約・POSの影響判定を先にご覧ください。

ルートA-1：サイトヘルスでPHPのバージョンを見る

WordPressには、サイトの状態をまとめて表示する「サイトヘルス」という画面があります。WordPress公式の案内どおり、次の順にたどります。

1. WordPressの管理画面（ダッシュボード）にログインする
2. 左のメニューから「ツール」→「サイトヘルス」を開く
3. 上部の「情報」タブを押す
4. 「サーバー」の行を開き、PHPのバージョンを見る

情報タブは表示するだけの画面で、ここから設定は変えられません。開いても店のサイトは変わりません。メニューに「ツール」や「サイトヘルス」が見当たらないときは、無理に探さず、ルートBで制作会社に聞いてください。

表示された番号の読み方

PHPの修正版は8.2.35 / 8.3.36 / 8.4.27 / 8.5.12です。表示された番号を次のように読みます。

表示	読み方
修正版の番号以上	修正版に更新されている可能性が高い。お知らせの「完了」と合わせて確認する
8.2〜8.5で、修正版より小さい	サーバー会社が番号を変えずに独自の修正を当てている場合がある。お知らせを必ず読む
8.1以前	PHP公式の修正版はない。お知らせで独自修正の有無を確かめ、新しいバージョンへの移行を制作会社と相談する

あわせて「ステータス」タブも見ておきましょう。WordPress公式は、古いPHPで動いているサイトに対して、更新が必要だという趣旨のメッセージをセキュリティの項目として表示すると説明しています。表示されていたら、ルートBの質問に「移行の予定」を必ず入れてください。

情報タブには、表示内容をまとめてクリップボードにコピーする機能もあります。制作会社やサーバー会社のサポートに状況を伝えるときに便利です。サーバーの構成が含まれる情報なので、渡す相手は契約先のサポートや制作会社に限り、SNSなど公開の場所には貼らないでください。

ルートA-2：サーバー会社のお知らせを読む

次に、契約しているレンタルサーバー会社のお知らせを探します。探す場所は公式サイトの「お知らせ」「メンテナンス・障害情報」、契約者用の管理画面のお知らせ、公式SNSの3か所です。「PHP」「脆弱性」「CVE-2026-109618」で探すと見つけやすくなります。

見つけたら、次の3点だけ読み取ります。

1. 「完了」と書かれているか

タイトルや本文に「完了」「対応済み」とあるか、最終更新の日時とあわせて見ます。お知らせは何度も書き換えられるため、古い版を読んでいないか日時で確かめます。

2. 利用者に必要な作業があるか

「お客様の作業は不要」とあれば待つだけです。一方で、「完了」でも利用者に作業を求めている場合があります。

3. 古いバージョンのPHPをどう扱っているか

8.1以前などの古いPHPについて、「独自に修正した」「今後は修正が提供されない可能性がある」「新しいバージョンへの切り替えを検討してほしい」と書かれていないかを見ます。

読み方の例（2026年10月23日18時確認）

• さくらインターネット：コントロールパネルで選べる全PHPバージョンで対応済み、利用者の緊急の作業はなし。ただし、サポート期間内の最新版への移行を検討するよう案内しています。→ 今すぐの作業はないが、古い版を使っていれば移行の相談が必要。
• ロリポップ！：タイトルに【完了】。ただし、全バージョンで一部の機能を無効にしたため、利用者に自分のサイトの動作確認を求めています。PHP 8系と7.4は公式の修正版、それ以外は独自の修正で、古い版は今後修正が提供されない可能性があるとしています。→ 「完了」でも、予約フォームや問い合わせフォームが動くかの確認が必要な例。
• KAGOYA：10月23日12時30分の更新で、レンタルサーバー（PHP 7.4〜8.5系）は修正版への更新が完了。一方、マネージド専用・共用・WordPress専用サーバーは恒久対応を調整中で、暫定策としてサイトの公開停止やアクセス制限の検討を案内しています。→ 同じ会社でもプランによって状況が違う例。契約しているプランの名前で読む必要がある。
• ConoHa WING：10月22日20時45分にすべての対応が完了（終報）。利用中のPHPバージョンのまま修正を当てたため、サイトヘルスなどに出るバージョン番号は、修正版の番号にならない場合があると案内しています。→ 番号だけでは判断できず、お知らせと合わせて読む必要がある例。

主なサーバー会社の状況と公式お知らせへのリンクは、今日やることチェックリストの表にまとめています。表にない会社でも、読み取る3点は同じです。

ルートA-3：PHPのバージョンを切り替えるとき

お知らせで新しいバージョンへの切り替えを勧められた場合や、PHPが8.1以前だった場合は、バージョンの切り替えが必要になります。共用のレンタルサーバーでは、契約者用の管理画面から切り替えられることが多いのですが、切り替えた途端にホームページが表示されなくなることがあります。次の条件を守ってください。

• 制作会社がいるなら、必ず先に相談する。テーマやプラグイン、予約フォームなどが新しいPHPで動くかは、作った人でないと判断できません。
• 切り替える前にバックアップを取る。WordPress公式も、更新前のバックアップと、WordPress・テーマ・プラグインを先に最新にすることを勧めています。
• 切り替えた後に、表示と予約・問い合わせフォームを確認する。スマホでも開いて確かめます。
• 戻せるかを先に確かめる。さくらのレンタルサーバは、不具合があれば古いバージョンを選び直せば戻せると案内しています。一方ロリポップ！は、PHP 7.1以前から上げると元に戻せないと注意しています。

操作の手順は、各社の公式マニュアルを見てください。たとえばさくらのレンタルサーバ「PHPのバージョンを変更したい」、ロリポップ！「PHP設定」です。ほかの会社も、公式サイトのマニュアルで「PHP バージョン 変更」と探すと見つかります。自分で切り替えるのが不安なら、無理をせず制作会社やサーバー会社のサポートに頼んでください。

ルートB：制作会社に聞く（質問テンプレと返事の読み方）

ホームページを制作会社に任せている場合は、次の文面をそのまま送ってください。ルートAで確認できた人も、制作会社がいるなら送っておくと確実です。

件名：PHPの脆弱性（PHP2Shell）への対応状況の確認のお願い

PHPの脆弱性「PHP2Shell」（CVE-2026-109618 / CVE-2026-109619）について、当店のホームページの状況を教えてください。

1. ホームページが動いているサーバー会社とプラン名、契約者の名義
2. 現在のPHPのバージョン
3. 修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）またはサーバー会社の修正が適用済みか、それを確認した日時
4. PHP 8.1以前・8.2の場合、新しいバージョンへの移行の予定・時期・費用（8.2は2026年12月31日にサポート終了）
5. 予約フォームや問い合わせフォームなど、当店のサーバーで動いている仕組みの有無と、その動作確認の結果
6. 不審なファイルや改ざんがないかの確認結果
7. 今後のPHPの更新が、保守契約の範囲に含まれるか

参考：IPA https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

返事の読み方

返事	次にすること
「対応済みです」だけ	いつ・何を確認して対応済みと判断したのか（PHPのバージョン、サーバー会社のお知らせ）を聞き返す
「サーバー会社が対応したので問題ありません」	そのお知らせのURLをもらい、ルートA-2の3点を自分でも読む
「古いPHPなので移行が必要です」	費用・期間と、移行が終わるまでの間どうするかを聞く。すぐに直せない場合の考え方はすぐ直せないときの決め方へ
「保守契約の範囲外です」	見積もりをもらう。今後の更新を誰が担うかも、このときに決めておく

返事が来ないとき

まずは期限を区切って再送し、電話でも一度連絡します。それでもつながらない場合は、請求書や毎月の引き落とし、ドメインの更新案内のメールから、サーバー会社と契約者の名義を確かめてください。

• 契約者が店（自分）の場合：サーバー会社のサポートに直接問い合わせ、ルートA-2の3点を確認できます。
• 契約者が制作会社の名義の場合：店からはサーバーを操作できないことがあります。公開を続けるかどうかの判断が必要になるので、すぐ直せないときの決め方を参考にしてください。

確認した結果を記録しておく

確認が終わったら、次の項目をメモやスプレッドシートに残しておきます。状況はこれからも変わるため、次に確認するときや、万一おかしな表示に気づいたときの手がかりになります。

• 確認した日時と、確認した人
• PHPのバージョン（サイトヘルスの表示、または制作会社の回答）
• サーバー会社のお知らせのタイトル・URL・最終更新日時と、「完了」「利用者作業」の有無
• 制作会社の回答（誰が・いつ・何と答えたか）
• 次にやること（移行の予定、再確認する日など）

改ざんなど被害の兆候が気になる場合の見分け方は、被害の見分け方と初動で扱います。

やらなくていいこと・よくある誤解

• 「サイトヘルスの番号だけで安全・危険を決める」→ 決められません。独自の修正では番号が変わらないことがあります。お知らせと必ず合わせて読みます。
• 「お知らせに『完了』とあれば何もしなくていい」→ そうとは限りません。ロリポップ！のように、完了後に利用者の動作確認を求めている会社があります。
• 「とにかく最新のPHPに自分で上げる」→ 慌てて切り替えない。表示が崩れたり、フォームが止まったりすることがあり、戻せない場合もあります。制作会社に相談してからにしてください。
• 「サイトヘルスの情報を誰にでも見せる」→ 公開の場所には貼らない。渡す相手は契約先のサポートや制作会社だけにします。
• 「メールのリンクから管理画面にログインして確認する」→ しない。この時期はサーバー会社や制作会社をかたる偽メールが増えます。管理画面は、ブックマークや公式サイトから自分で開いてください。

「WordPressを最新にすれば直る」「スマホやWi-Fiを止める」といった話が誤りである理由は、10分まとめ（何が起きたのか）で説明しています。

まとめ

• そろえる材料はPHPのバージョン・サーバー会社のお知らせ・制作会社の回答の3つ
• 管理画面に入れる人は、ツール→サイトヘルス→情報→サーバーでPHPのバージョンを見る。番号だけで判断せず、お知らせと合わせて読む
• お知らせは「完了」と更新日時・利用者作業・古いバージョンの扱いの3点を読む
• PHPの切り替えは、制作会社に相談・バックアップ・切り替え後の表示とフォームの確認が条件。戻せない場合もある
• 任せきりの人は質問テンプレをそのまま送り、あいまいな返事は根拠を聞き返す。連絡がつかなければ契約者の名義を確かめる。結果は日時つきで記録する

この先、ホームページを無理なく安全に保つための年1回の見直しは、飲食店ホームページの最低限の維持ルールにまとめています。

出典

• WordPress.org「Site Health screen」（2026年10月22日確認）／日本語版「サイトヘルス画面」（同日確認）
• WordPress.org「Get a faster, more secure website: update PHP today」（2026年10月22日確認）
• IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日掲載・同日確認）
• The PHP Group「PHP Security Advisory」（2026年10月21日・2026年10月22日確認）
• さくらインターネット「PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について」（2026年10月22日13時45分更新・同日確認）／「PHPのバージョンを変更したい」（同日確認）
• ロリポップ！「【完了】【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」（2026年10月22日16時57分更新・同日確認）／マニュアル「PHP設定」（同日確認）
• KAGOYA「PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について」（2026年10月23日12時30分更新・2026年10月23日確認）
• ConoHa WING「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」（2026年10月22日・2026年10月23日確認）

本記事は2026年10月22日時点で公表されている資料にもとづき、2026年10月23日にサーバー各社の例を更新しています。各社のお知らせは更新されるため、実際の判断は最新の公式情報と、契約先のサーバー会社・制作会社への確認にもとづいて行ってください。本記事は技術的な設定作業の手順を示すものではありません。

投稿者プロフィール

matokaスタッフ

飲食店専門のWEB集客支援を行う、matoka株式会社（東京都品川区西五反田）の編集チームです。

普段の仕事は、Googleビジネスプロフィールの運用と口コミ対応（MEO対策）、食べログ・ホットペッパーグルメなどグルメサイトの運用代行、SNS運用とホームページ制作、訪日外国人向けの多言語対応、AIを使ったMEO支援（droptip）、そして成果報酬型のインフルエンサーPR「clues restaurant」の運営です。

このブログには、その現場で実際に手を動かして分かったことを書いています。AI検索（ChatGPTなど）に自分の店がどう出るかの確かめ方、口コミ返信やGoogleマップ投稿の時短、グルメサイトとMEOの使い分け、多言語メニュー、求人票、決済まわりのリスクまで、テーマはすべて店舗からの相談が出発点です。

編集方針は2つあります。営業の合間にスマホで読んでも、その日のうちに1つ試せる形で書くこと。そして成果を保証せず、うまくいかない条件や向かない店舗も併せて書くことです。

集客の困りごとは、matoka.co.jp のお問い合わせページからご相談いただけます。

最新の投稿

• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性と飲食店のホームページ｜シリーズまとめ・最新情報と更新履歴
• ニュース・制度の変化に備える2026年10月22日飲食店ホームページの最低限の維持ルール｜年1回のチェックリスト付き（PHPの脆弱性から学ぶ）
• ニュース・制度の変化に備える2026年10月22日ホームページが乗っ取られていないかの見分け方と、被害に遭ったときの初動｜飲食店向け（PHPの脆弱性）
• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性をすぐ直せないとき｜古いPHP・連絡がつかない制作会社・放置サイトをどうするか