2026年10月21日、WordPressなどを動かしている「PHP」というプログラムに、重大な脆弱性（セキュリティ上の欠陥）が見つかったと発表されました。修正版が公開されたのは、その日の夜11時です。
ワイズ企画では、自社のホームページと、お客様からお預かりしているホームページをいくつか管理しています。この記事では、その夜と翌朝に実際にやったことを、レンタルサーバーを使っている方向けの確認リストとしてまとめます。
まず知っておきたいこと：直すのは誰か
ホームページの置き場所によって、PHPを直す人が変わります。
| 置き場所 | PHPを直す人 | 利用者がやること |
| 共用のレンタルサーバー（ロリポップ・エックスサーバーなど） | サーバー会社 | お知らせを確認し、バックアップと翌朝の確認をする |
| VPS・専用サーバー | 自分（または管理を頼んでいる会社） | 修正版への更新そのものを行う |
小さな会社のホームページの多くは、共用のレンタルサーバーで動いています。この場合、PHPそのものはサーバー会社が直してくれます。利用者が慌ててPHPを触る必要はありません。
ただし、「何もしなくていい」わけでもありません。直している途中や直したあとに、サイトがおかしくなることがあるからです。
その夜にやったこと
1. サーバー会社のお知らせを確認する
最初に、使っているサーバー会社のお知らせのページを開きました。今回は、サーバー会社によって次のような対応が出ていました。
- 修正版への入れ替えのための緊急メンテナンス（その間、FTPや管理画面の一部が使えない）
- 予防のために、公式サイトや管理画面を一時的に止める
- しばらく新規のお申し込みを止める
「いつ直るのか」「その間に何が使えないのか」が分かれば、こちらの動き方も決まります。
2. 手元にバックアップを取る
万一、修正の途中でサイトが壊れたときのために、その夜のうちにバックアップを取りました。WordPressなら、バックアップのプラグインの「今すぐバックアップ」で取って、ファイルを手元のパソコンにも保存しておきます。
ふだんから自動のバックアップをサーバーとは別の場所（Googleドライブなど）に送っていれば、この作業は確認だけで済みます。設定の手順は、WordPressのバックアップをGoogleドライブへ自動で送る記事にまとめています。
3. その夜は、大きな作業をしない
管理画面での大きな作業、プラグインの追加や更新、サーバーの設定ファイル（.htaccessなど）の書き換えは、その夜は控えました。サーバー会社が直している最中に触ると、何かおかしくなったときに、どちらが原因なのか分からなくなるからです。
翌朝にやったこと：5分の確認リスト
翌朝、管理しているサイトを1つずつ、次の順番で確かめました。
| 確かめること | 見る場所 |
| PHPのバージョンが新しくなったか | WordPressの「ツール」→「サイトヘルス」→「情報」→「サーバー」 |
| トップページと主なページが表示されるか | ログインしていないブラウザ（シークレットウィンドウ）で開く |
| 管理画面にログインできるか | いつものログインページ |
| お問い合わせフォームが届くか | 自分でテスト送信して、受信箱を確認 |
| 予約投稿が予約のままか | 「投稿」の一覧の「予約済み」 |
今回は、修正版への入れ替えが夜のうちに終わっていて、どのサイトもPHPのバージョンが一つ新しくなっていました。表示・ログイン・フォーム・予約投稿とも問題なし。確認は1サイトあたり5分ほどでした。
その後、日本のセキュリティの情報を発信しているJPCERT/CCからも注意喚起が出され、この脆弱性を使って実際に攻撃しようとする動きや、海外でサーバーが乗っ取られた例も報告されています（JPCERT/CCの注意喚起）。「お知らせが出たら、修正版になったかを自分の目で確かめる」ことの大切さが、あらためて分かります。
ふだんからしておくと慌てないこと
- 自動バックアップを、サーバーとは別の場所へ：いざというときに「取ってから考える」で済む
- サーバー会社のお知らせを受け取れるようにする：登録したメールアドレスが今も使えるか、ときどき確かめる
- 管理しているサイトの一覧を1枚にまとめる：サイトごとのサーバー会社・ログインページ・担当者が分かると、確認の順番に迷わない
- 使っていないプラグイン・テーマを消しておく：守る場所が減るほど、確認も楽になる
まとめ
共用のレンタルサーバーなら、PHPの脆弱性を直すのはサーバー会社です。利用者がやることは、お知らせを確認する・バックアップを取る・その夜は触らない・翌朝に5分の確認をする、の4つでした。
次の記事では、同じころにお客様のサイトで見つけた「バックアップのファイルが、URLを知っていれば誰でもダウンロードできる状態だった」件と、その直し方をまとめます。
ワイズ企画では、ホームページの制作だけでなく、公開後の更新・バックアップ・こうしたときの確認もお手伝いしています。「自分のサイトは大丈夫かな」と思ったら、お気軽にお問い合わせください。
