2026年10月、PHPというプログラムに重大な脆弱性が2件見つかったと公表されました。国内でも、PHPを使っているサービスが緊急のメンテナンスに入るなど、大きく報じられています。

ニュースを見て「うちのホームページは関係あるのか」と気になった方もいると思います。ただ、自社のサイトが何で動いているかを即答できる経営者は多くありません。作ったのは数年前で、担当した制作会社とはそれきり、というケースも珍しくないはずです。

この記事では、今回の件で何が起きたのかを短く押さえたうえで、自社のホームページについて判断するための軸を整理します。あわせて、つむぐんが「Astro（アストロ）」という仕組みでサイトを作っている理由も書いておきます。

今回のPHPの脆弱性で起きたこと

PHPは、ホームページの裏側でページを組み立てるためのプログラムです。WordPressをはじめ、多くのホームページ作成の仕組みがPHPの上で動いています。

PHPの開発元が公表した内容によると、今回の脆弱性は2件です（CVE-2026-109618、CVE-2026-109619）。どちらも深刻度は最も高い区分にあたり、条件がそろえば、外部の第三者がログインなしにサーバー上で任意の操作を行えるおそれがあるとされています。

開発元は日本時間の2026年10月21日夜に修正版を出しました。修正版の番号は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。これより古い番号のまま動いているサーバーは、更新が必要です。また、PHP 8.1以前は開発元による公式の更新がすでに終わっています。

ここで押さえておきたいのは、問題が「サイトの中身」ではなく「サイトを動かしている土台」にある点です。会社案内の文章がどれだけ丁寧でも、土台が古いままなら影響を受けます。

「制作会社に聞けば大丈夫」が通じないことがある

こうしたニュースが出たとき、まず思い浮かぶのは「作ってもらった会社に聞けばいい」という対処です。もちろん、それで解決するならいちばん早い方法です。

ただ、実際には次のような状況がよくあります。

  • 制作会社との契約は公開までで、その後の保守は頼んでいない
  • サーバーは自社で契約しているが、管理画面に誰も入ったことがない
  • 当時の担当者が退職して、ログイン情報の所在が分からない

この場合、制作会社に聞いても「保守の範囲外です」と返ってくることがあります。サーバー会社に聞いても、PHPの更新は利用者側の操作が必要な契約もあります。結果として、誰も手を付けないまま時間が過ぎてしまいます。

つまり問題は、技術の難しさよりも「誰が土台の面倒を見るのか」が決まっていないことにあります。

自社サイトを判断するための3つの問い

専門知識がなくても、次の3つを確かめれば、自社のホームページがどの位置にいるかはおおよそ判断できます。

1. 閲覧されるたびに、裏でプログラムが動く作りか

WordPressなどで作られたサイトは、誰かがページを開くたびに、サーバーの上でPHPがページを組み立てています。便利な反面、プログラムが常に外からの入力を受け付けている状態です。今回のような土台の脆弱性は、この「常に動いている部分」が狙われます。

一方、あらかじめ完成したページを用意しておき、それをそのまま渡すだけの作りもあります。この場合、閲覧のたびにPHPが動くことはありません。

2. 土台の更新を、誰がいつ行うか決まっているか

どちらの作りでも、更新が不要になることはありません。大事なのは、更新の担当と頻度が決まっているかどうかです。「気づいた人がやる」は、多くの場合「誰もやらない」と同じになります。

3. どのくらいの頻度で中身を変えるか

毎日のように商品や在庫を更新する会社と、会社概要と取扱素材を年に数回直す会社とでは、必要な仕組みが違います。更新が少ないのに、常に動き続ける仕組みを抱えているなら、その分だけ守る手間を背負っていることになります。

繊維・アパレルの会社にとってのホームページ

業界の取引は、展示会や紹介など、人のつながりから始まることがほとんどです。ホームページは、新しい取引先を呼び込む道具というより、名刺を交わした相手が「この会社と話を進めてよいか」を確かめに来る場所です。

そう考えると、ホームページに求められるのは、派手な機能よりも「いつ開いても、きちんと表示されること」です。確かめに来た相手が、改ざんされたページや、メンテナンス中の表示を見たらどう感じるか。取引の信用は、こうしたところで静かに目減りします。

また、繊維・アパレルの中小企業では、サイトの更新は年に数回という会社が多いはずです。であれば、閲覧のたびにプログラムが動く作りにこだわる理由は、それほど大きくありません。

つむぐんがAstroでサイトを作っている理由

つむぐんでは、Astroという仕組みでホームページを作っています。Astroは、ページをあらかじめ完成した形に仕上げてから公開する作り方を得意とする道具です。

公開しているサイトでは、閲覧のたびにPHPが動くことはありません。今回のPHPの脆弱性は、この作りのサイトには直接は関係しません。外から入り込める入口が少ないことは、守る手間が少ないことでもあります。

ただし、万能ではありません。Astroも、それを支える道具も、定期的な更新は必要です。お問い合わせフォームやお知らせの更新など、動きのある部分には別の仕組みが要ります。商品点数が多く毎日入れ替わるような会社なら、WordPressのような仕組みのほうが向いている場合もあります。

大事なのは、どの道具が優れているかではなく、自社の更新の頻度と、守る体制に見合った作りを選ぶことです。更新が少なく、守る人手も限られる会社には、閲覧のたびにプログラムが動かない作りが合いやすい、というのがつむぐんの考えです。

今週できる小さな確認

今週、ひとつだけ確かめていただきたいことがあります。サイトを作った制作会社か、サーバーを管理している担当者に、次の2点を聞いてみてください。

  • うちのホームページは、PHPで動いていますか
  • 動いているなら、2026年10月21日に出た修正版に更新されていますか

返事がすぐに来るなら、体制は回っています。返事が来ない、あるいは誰に聞けばよいか分からない場合は、土台の面倒を見る人がいない状態です。それ自体が、今回のニュースより大きな課題といえます。

誰に聞けばよいか分からない、作り替えるべきか判断がつかない。そうした場合は、いまのホームページの作りと更新の体制をうかがうところからご相談いただけます。

ご相談は お問い合わせページ からどうぞ。