PHPとは？重大な脆弱性で何が危険なのか初心者向けに解説

2026年10月、Webサイトを動かすプログラミング言語「PHP」に、重大な脆弱性（ぜいじゃくせい）が見つかったことが話題になっている。日本でも、財務省や国土交通省、大阪市などが、安全を確かめるために一部のWebサービスを止める事態になった。

とはいえ、PHPという名前を聞いたことがない人も多いだろう。この記事では、PHPとは何か、何が危険なのか、そして私たちは何をすればいいのかを、できるだけかんたんな言葉で解説する。

PHPとは？Webサイトの裏側で動くプログラミング言語

PHPとは、Webサイトの裏側で動くプログラミング言語の一つだ。ログインしたり、商品を買ったり、予約したりと、入力した内容に応じて画面が変わるサイトの多くで使われている。

Webサイトの「表側」と「裏側」

Webサイトは、私たちが見ている画面（表側）と、見えないところで処理をする部分（裏側）でできている。PHPが動くのは裏側で、Webサイトのデータや仕組みが置かれている「サーバー」というコンピューターの中だ。

レストランで例えるなら、Webサイトの画面は客席、PHPは厨房の調理スタッフのようなものだ。客席から厨房は見えないが、注文した料理が届くまでには、裏でさまざまな作業が行われている。

身近なWebサービスでも使われている

PHPという名前を知らなくても、PHPで作られたサービスを使ったことがある人は多いはずだ。

今回見つかった脆弱性とは？

脆弱性はプログラムの「弱点」

脆弱性とは、プログラムにある安全上の弱点のことだ。例えば、鍵のかかった玄関でも、ある方法を使えば外から開けられてしまう構造だったら、その方法を知っている人に侵入されてしまう。プログラムの脆弱性も、これとよく似ている。

外から勝手にプログラムを動かされるおそれ

今回見つかったのは2つの脆弱性で、まとめて「PHP2Shell」とも呼ばれている。危険度は10点満点中9.2と、とても高い。

本来、サーバーでプログラムを動かせるのは、許可された管理者だけだ。ところが今回の脆弱性では、条件がそろえば、管理者のIDやパスワードを知らなくても攻撃できるおそれがある。

悪用されると何が起きる？官公庁や銀行が止まった理由

もし脆弱性が悪用されると、主に次のような被害が考えられる。

これは私たちのパソコンやスマホが直接壊れる問題ではなく、Webサイトを提供している側の問題だ。

サービスの停止は「被害が出た」という意味ではない

今回、官公庁や銀行の一部サービスが止まったのを見て、もう攻撃されたのではと心配した人もいるかもしれない。しかし、多くは被害を防ぐための一時停止だ。建物に欠陥が見つかったら、事故が起きる前に点検のため使用を止めるのと同じである。

実際、財務省は対策を行い、安全を確認したページから順番に公開を再開している。

普通にネットを使う人への影響と対策

PHPはサーバー側で動いているので、普通にネットを見ているだけの人が、自分のスマホやパソコンで何かを更新する必要はない。

ただし、使っているサービスを通じて、間接的に影響を受けることはある。

一般の利用者ができること

特に気をつけたいのが、ニュースに便乗した偽メールだ。「緊急のセキュリティ対策が必要です」と書かれたメールが届いても、リンクは開かず、公式サイトから確認しよう。

WordPressなどでサイトを運営している人がやること

WordPressもPHPで動いている。WordPress本体を最新にしていても、サーバー側のPHPが古いままなら、PHP自体の脆弱性は残る。ブログやサイトを運営している人は、PHPのバージョンを確認しておきたい。

PHPのバージョンを確認する

WordPressでは、管理画面から次の手順で確認できる。

今回の問題が直ったバージョンは次のとおりだ。これより新しい修正版が出ていれば、そちらを使えばいい。

レンタルサーバーのお知らせも確認する

レンタルサーバーを使っている場合は、サーバー会社がPHPの更新や対策をしてくれていることもある。まずは契約しているサーバー会社の公式サイトで、今回の脆弱性への対応を確認しよう。

古いPHPをすぐ更新できない理由

ただし、PHPを新しくすると、使っているテーマやプラグインが動かなくなることがある。古いサイトほど、昔のPHPに合わせて作られているからだ。

更新する前には必ずバックアップを取り、テーマやプラグインが新しいPHPに対応しているか確認しておこう。すぐに直せない官公庁などのサービスが一時停止を選んだのも、こうした事情がある。

「世界の約7割」とAIによる発見｜今回のニュースのポイント

「約7割のサイトに影響」は本当？

ニュースでは「世界のWebサイトの約7割に影響する可能性」とも言われている。これはWeb技術の利用状況を調べているW3Techsの調査がもとになっている。

ただし、これはサーバー側の言語がわかったサイトの中での割合で、世界中のすべてのサイトの7割という意味ではない。また、すでに修正版に更新したサイトもあるため、7割のサイトが今も危険というわけでもない。それでも、PHPがそれだけ広く使われているからこそ、大きなニュースになったのだ。

AIが脆弱性を見つける時代になった

今回の脆弱性は、OpenAIがAIを使ったセキュリティ調査で見つけたと発表している。AIは文章を書いたりするだけでなく、プログラムの弱点を探すことにも使われ始めている。

AIによって、弱点が見つかるスピードは上がっていく。これからは、見つかった弱点をどれだけ早く直せるかがますます大切になるだろう。

まとめ｜PHPは危険な言語ではなく、更新しないことが危険

今回のニュースで、PHPそのものが危険な言語だと感じた人もいるかもしれない。しかし、脆弱性はWindowsやiPhone、Androidなど、どんなソフトでも見つかるものだ。大切なのは、見つかったときにすぐ直されること、そして使う側がきちんと更新することである。

普通にネットを使う人は、自分で何かを更新する必要はない。使っているサービスの公式のお知らせを確認し、ニュースに便乗した偽メールに気をつければ十分だ。一方、WordPressなどでサイトを運営している人は、本体だけでなくPHPのバージョンも確認しておきたい。

関連記事