あなたのホームページはPHP？アドレスを入れるだけで調べられます

なぜ、ニュースになっているの？

2026年10月21日、PHP（ピーエイチピー）に「緊急」の脆弱性（ぜいじゃくせい）が2つ見つかり、直した版が出ました。通称は「php2shell」です。ふだんは専門家の間の話で終わることが多いのに、今回は大きなニュースになりました。理由は4つあります。

• 1. 使っているサイトが、とても多いPHPは、世界のホームページの約7割で使われています。WordPress もPHPで動いています。「自分にも関係あるかも」という人が、とても多いのです。
• 2. ログインなしで、外から乗っ取られるおそれがある深刻さは10点満点で9.2。管理画面のパスワードを知らなくても、外からサーバーに命令を実行されるおそれがある、という種類の弱いところでした。
• 3. 大きなサービスや役所のサイトが、次々に止まった直した版が出る前に、ニコニコ・pixiv・BASE などのサービスや役所のサイトが、念のため一時停止しました。首相もXで「大至急」の対応を呼びかけ、レンタルサーバー各社も緊急のメンテナンスを行いました。
• 4. 攻撃の試みが、もう始まっている海外のセキュリティ会社が、実際の攻撃の試みを見つけたと報告しています。直していないサーバーは、狙われると考えたほうが安全です。

なかでも気をつけたいのは、PHP 8.1 より古い版です。古い版には、今回の直した版が出ていません。古いまま動いているホームページは、少なくありません。だから「うちのサイトは、どうなんだろう？」を確かめることが大切です。

php2shell のくわしい流れはこちら → PHPの脆弱性「php2shell」とは？

この診断が見ているもの

ホームページを開くと、サーバーは中身といっしょに「送り状」のような情報も返します。ふだんは画面に出ませんが、誰でも見られるものです。この診断は、その送り状と、ページの頭の部分だけを読みます。

• 送り状の「PHP/8.3.36」のような書き込みPHPの版を、そのまま書いているサーバーがあります。いちばん確かな手がかりです。
• PHPのしるしのクッキー「PHPSESSID」という名前のクッキーは、PHPが出すものです。
• WordPress のしるし「wp-content」などの言葉がページにあれば、WordPress です。WordPress はPHPで動いています。
• 「.php」で終わるリンクページの中に「〇〇.php」へのリンクがあれば、PHPを使っている見こみが高いです。
• どこで動いているかWix や Shopify のような作成サービスか、ページを先に作って配る形かも、送り状からわかることがあります。

やらないことも書いておきます。弱いところを探すための特別な送り方はしません。ほかのページを次々に開くこともしません。お店の前を通って、看板と入り口を見るだけ、というイメージです。

結果の読み方と、やること

「古い版・直す前の版」と出たとき。PHPの版を上げる必要があります。レンタルサーバーなら、管理画面の「PHPの設定」で切りかえられることが多いです。自分でサーバーを管理しているなら、直した版を当ててください。わからなければ、作った人か私たちに相談してください。

「PHPで動いているようです」と出たとき。多くのサーバーは、版を外から見せないようにしています。だから、版は管理画面で確かめます。あわせて、サーバー会社のお知らせに「PHPの更新」が出ていないかを見ます。WordPress なら、本体・テーマ・プラグインも新しくしておきます。

「作成サービスで動いています」と出たとき。Wix や Shopify のようなサービスは、サーバーの中を運営会社が管理しています。使っているだけの人にできることは、ほぼありません。運営会社のお知らせを待てば大丈夫です。

「手がかりなし」でも、安心しきらない理由

PHPを使っていても、しるしを全部隠しているサーバーがあります。用心深いサーバーほど、外からは何も見えません。だから「手がかりなし」は、「PHPではない」の証明ではありません。

確かめる一番の方法は、契約しているサーバーの管理画面を見ることです。「PHPの版」という項目があれば、PHPを使える状態です。作った人に「うちのサイトはPHPで動いていますか？」と聞くのも、早くて確かです。聞き方の例は php2shell の記事にまとめました。

版が見えていること自体も、直したほうがいい

診断で版の数字まで見えたなら、それは誰にでも見えています。悪い人にとっては、「この家の鍵は古い型です」と表札に書いてあるのと同じです。

PHPには、版を送り状に書かない設定があります（expose_php を Off にする）。レンタルサーバーなら、管理画面で選べることもあります。版を上げるときに、いっしょに直しておくと安心です。

茂原・長生郡の小さな会社にとっては

茂原市や長生郡（一宮町・睦沢町・長生村・白子町・長柄町・長南町）、市原市・木更津市・東金市・大網白里市では、何年も前に作った WordPress のホームページが、そのまま動いていることがよくあります。作った人に連絡がつかず、管理画面にも入れない。そんな声も聞きます。

まずは、この診断で「PHPかどうか」だけ確かめてみてください。それがわかれば、次に聞く相手と、聞くことが決まります。Yoraku のつくるホームページは、ご希望がない限りPHPを使いません。その理由は Yorakuのホームページは、PHPを使っていません に書きました。

結果の読み方がわからないとき、版の切りかえ、古いホームページの作り直しまで、ホームページ制作と公開後の管理のことは、気軽にご相談ください。

php2shell そのものの話はこちら → PHPの脆弱性「php2shell」とは？

よくある質問