PHPの脆弱性をすぐ直せないとき｜古いPHP・連絡がつかない制作会社・放置サイトをどうするか

サーバー会社のお知らせを見て、PHPのバージョンも確かめた。けれど「PHPが古くて修正版が出ていない」「制作会社と連絡がつかない」「サーバー会社がまだ調整中」――そんな理由で、すぐには直せない飲食店もあるはずです。

この記事では、ホームページを外から乗っ取られるおそれのある今回の欠陥（この記事では「PHPの脆弱性」と呼びます。ニュースでは「PHP2Shell」とも呼ばれています）について、修正版への更新がすぐにできないときに、何を決めて、誰に何を頼めばよいかを整理します。IPA（情報処理推進機構）が示した「修正対応が難しい場合」の考え方を、飲食店の言葉に置き換えて説明します。

まだ自店の状況を確かめていない方は、先に今日やることチェックリストをご覧ください。

結論：直せないときは「4つの道」から選ぶ

• 「そのうち直す」と放置するのがいちばん危険です。IPAは、更新や移行が終わるまで脆弱な状態を放置せず、暫定的な対策をとるよう求めています。
• 選べる道は、①更新・移行する ②一時的に止める ③閉じる・作り直す ④外部のサービスに置き換えるの4つです。
• どの道を選んでも、Googleビジネスプロフィール（Googleマップ）とSNSが整っていれば、集客は止まりません。ホームページの判断と集客の判断は分けて考えてください。

IPAが示す「修正が難しいとき」の6項目を店の言葉で

IPAは2026年10月22日の注意喚起で、修正版への更新が難しい場合の対応を6つ挙げています。企業のシステム担当者向けの文章ですが、飲食店に置き換えると次のようになります。

IPAの項目	飲食店でいうと
1. サポート状況の確認	自店のPHPがサポート中の版かを知る。8.1以前は修正版が出ないので、新しい版への更新か、別の仕組みへの移行が必要
2. 暫定対策	直るまでの間、アクセスを制限するなどの手を打つ。それも難しければ、ホームページを一時的に止めるかどうかを決める
3. 状況の把握	ホームページが何の役に立っているか（予約・メニュー・求人など）を確認し、Googleマップや予約サービスで代わりがきくかを考える
4. 実現性の検討	直したあとも、更新を続ける人・予算・保守契約をオーナー自身が用意できるかを考える
5. 方針の決定	用意できるなら更新・移行。見通しが立たないなら、機能を減らす・公開をやめることも選択肢に入れる
6. 影響の考慮	止める・閉じる前に、お客さまへの案内と、データ（予約・問い合わせの記録など）の保存を段取りする

注目したいのは4と5です。IPAは、長く更新されていないシステムほど、改修や動作確認の負担、資料や担当者の不足、保守契約の終了などで対応が難しくなると指摘しています。「直す」だけでなく「直し続けられるか」まで考えて道を選ぶ、というのがIPAの考え方です。

状況別：あなたの店はどのケース？

ケース1：PHPが8.1以前で、移行先が決まっていない

PHPの開発元は、8.1以前には今回の公式の修正版を出していません。サーバー会社が独自に修正を当てている場合もあるため、まず契約先のお知らせで、古い版にも修正が当たっているかを確かめます。当たっていなければ、新しい版への更新が必要です。

ただし古いWordPressやプラグインは、PHPだけを新しくすると表示や機能に影響が出ることがあるため、更新は制作会社に相談しながら進めます。費用や期間の見積もりが合わない場合は、ケース4と同じく「閉じる・作り直す」「置き換える」も比べてください。

ケース2：制作会社と連絡がつかない・廃業している

最初に確かめるのは、サーバーとドメイン（ホームページの住所）の契約者が誰かです。請求書や契約時の書類、サーバー会社からのメールを探してください。

• 契約者が自店：サーバー会社のサポートに直接相談できます。修正の適用状況、PHPの版、一時停止の方法を聞けます。
• 契約者が制作会社：店からはサーバーに手を出せないことがあります。連絡を続けつつ、別の制作会社への引き継ぎや、ケース4・置き換えを検討します。契約や名義の扱いで迷う場合は、契約書を確認のうえ専門家に相談してください。

ケース3：サーバー会社が「調整中」のまま

サーバー会社によっては、修正の適用に時間がかかり、その間の暫定策としてサイトの公開停止やアクセス制限の検討を利用者に案内している会社もあります。お知らせを毎日確認し、「完了」になるまで待てるか、その間だけ止めるかを決めます。迷ったら、サーバー会社のサポートに「自分の契約プランはいつ修正されるか」「待つ間に何をすべきか」を聞いてください。

ケース4：何年も更新していない「放置サイト」

開店時に作ったまま、メニューも営業時間も古いままのホームページは、IPAの言う「長期間更新されていないシステム」そのものです。直す費用をかける前に、そのホームページが今も集客に役立っているかを見てください。役割がGoogleマップやSNSで足りているなら、閉じる・置き換えるほうが、今後の負担まで含めて軽くなることがあります。

ケース5：自分でWordPressを立てたが、仕組みが分からない

契約しているレンタルサーバー会社のサポートに相談するのが近道です。管理画面でPHPの版を切り替えられるサーバーもありますが、表示崩れなどの影響を確かめながら進める必要があります。具体的な確認の手順は確認の手順で扱います。自信がなければ、無理に作業せず一時停止や置き換えを選んでも構いません。

4つの道の選び方

IPAが「機能の縮小」を挙げているように、道は組み合わせても構いません。たとえば「予約フォームだけ外部の予約サービスへ移し、ホームページは案内ページだけにする」という形もあります。お客さまの個人情報を預かる部分を自店のサーバーから外せば、守るべき範囲が小さくなります。

ホームページを止めても、集客は止めない

Googleマップ・SNS・グルメサイトは、ホームページとは別に、お客さまが店を見つける入口です。ホームページを止めたり閉じたりする前に、次の4つを整えておけば、お客さまは店にたどり着けます。

1. Googleビジネスプロフィールの情報を最新にする：営業時間・定休日・メニュー・写真。整え方は飲食店のAI×MEO対策ガイドにまとめています。
2. 予約の受け皿をGoogleマップに置く：予約サービスを使っていれば、Googleマップから直接予約できるようにします。手順はGoogleビジネスプロフィールに予約リンクを設定する方法で解説しています。
3. SNSのプロフィールで案内する：「ホームページはメンテナンス中です。予約はこちら」のように、代わりの連絡先を示します。
4. ホームページのURLを載せている場所を確認する：Googleマップ、グルメサイト、SNSのプロフィールなど。閉じる場合は書き換え、止める期間だけなら案内ページが出ることを確かめます。

ホームページを再開・作り直すときに何を載せるべきかは、飲食店ホームページに絶対必要な5つの要素が参考になります。

やらなくていいこと・よくある誤解

• 「設定を少し変えれば、更新しなくても大丈夫」→ 大丈夫ではありません。PHPの開発元は、設定による暫定的な緩和策は「インストールを安全にするものではない」とし、更新だけが安全な修正だとしています。
• 「誰も見ていない古いサイトだから、放っておいても平気」→ 平気ではありません。攻撃はサイトを機械的に探して試されるため、見られていないサイトも対象になります（理由は10分まとめ（何が起きたのか）で解説しています）。
• 「ホームページを止めたら、店の情報がネットから消える」→ 消えません。Googleマップ、SNS、グルメサイトの情報はホームページとは別に残ります。
• 「とりあえず全部削除すれば安全」→ 先に相談を。予約や問い合わせの記録が消えるほか、Googleは削除や非公開の扱いによってはURLが検索から消えると案内しています。消す前に、保存すべきデータと止め方を制作会社やサーバー会社に相談してください。
• 「制作会社と連絡がつかないから、何もできない」→ できることはあります。契約者が自店なら、サーバー会社に直接相談できます。

なお、止めている間に「改ざんされているかも」と感じたら、判断の前に被害の見分け方と初動を確認してください。

そのまま使える相談の文面

制作会社やサーバー会社に送るときは、「何を決めたいのか」を書くと話が早く進みます。必要な部分だけ使ってください。

PHPの脆弱性「PHP2Shell」（CVE-2026-109618 / CVE-2026-109619）の件で、当店のホームページの今後を決めたいと考えています。次の点を教えてください。

1. 当店のホームページに修正が適用済みか。未適用なら、いつ適用できるか
2. PHPを新しい版に更新する場合の、作業内容・費用・期間と、表示や機能への影響
3. 修正までの間、ホームページを一時的に止める（または案内ページだけにする）場合の方法と費用
4. 閉じる場合に保存しておくべきデータ（予約・問い合わせの記録など）
5. サーバーとドメインの契約者と、今後の保守契約の範囲

参考：IPA https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

返事をもらったら、4つの道のどれにするかを決めます。今回の件が落ち着いたら、同じことで慌てないための維持ルールも決めておきましょう。詳しくは飲食店ホームページの最低限の維持ルールで扱います。

まとめ

• すぐ直せないときも、放置はしない。IPAは、直るまでの暫定対策と、一時停止の要否の判断を求めている
• 選べる道は①更新・移行 ②一時停止 ③閉鎖・作り直し ④外部サービスへの置き換え。組み合わせてもよい
• 決め手は「直したあとも更新を続けられるか」と「そのホームページが集客に役立っているか」
• 制作会社と連絡がつかなければ、まずサーバーとドメインの契約者を確かめる
• 一時停止は数日までが目安。止める前にGoogleマップ・予約リンク・SNSを整えれば、集客は止まらない

出典

• IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日掲載・同日確認）
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日掲載・2026年10月22日確認）
• The PHP Group「PHP Security Advisory」（2026年10月21日・2026年10月22日確認）
• CERT-EU「Security Advisory 2026-018: Critical Vulnerabilities in PHP」（2026年10月21日・2026年10月22日確認）
• Google検索セントラル「ウェブサイトを一時停止または無効にする」（2026年10月22日確認）

本記事は2026年10月22日時点で公表されている資料にもとづいています。状況は変わるため、実際の判断は最新の公式情報と、契約先のサーバー会社・制作会社への確認にもとづいて行ってください。本記事は技術的な設定作業の手順や、契約に関する個別の判断を示すものではありません。

投稿者プロフィール

matokaスタッフ

飲食店専門のWEB集客支援を行う、matoka株式会社（東京都品川区西五反田）の編集チームです。

普段の仕事は、Googleビジネスプロフィールの運用と口コミ対応（MEO対策）、食べログ・ホットペッパーグルメなどグルメサイトの運用代行、SNS運用とホームページ制作、訪日外国人向けの多言語対応、AIを使ったMEO支援（droptip）、そして成果報酬型のインフルエンサーPR「clues restaurant」の運営です。

このブログには、その現場で実際に手を動かして分かったことを書いています。AI検索（ChatGPTなど）に自分の店がどう出るかの確かめ方、口コミ返信やGoogleマップ投稿の時短、グルメサイトとMEOの使い分け、多言語メニュー、求人票、決済まわりのリスクまで、テーマはすべて店舗からの相談が出発点です。

編集方針は2つあります。営業の合間にスマホで読んでも、その日のうちに1つ試せる形で書くこと。そして成果を保証せず、うまくいかない条件や向かない店舗も併せて書くことです。

集客の困りごとは、matoka.co.jp のお問い合わせページからご相談いただけます。

最新の投稿

• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性と飲食店のホームページ｜シリーズまとめ・最新情報と更新履歴
• ニュース・制度の変化に備える2026年10月22日飲食店ホームページの最低限の維持ルール｜年1回のチェックリスト付き（PHPの脆弱性から学ぶ）
• ニュース・制度の変化に備える2026年10月22日ホームページが乗っ取られていないかの見分け方と、被害に遭ったときの初動｜飲食店向け（PHPの脆弱性）
• ニュース・制度の変化に備える2026年10月22日PHPの脆弱性をすぐ直せないとき｜古いPHP・連絡がつかない制作会社・放置サイトをどうするか