PHP重大脆弱性、WordPressの​サイトを​一晩​止めた​全手順

2026年10月21日の夜、「今夜中に対応してください」という異例の呼びかけが国から出されました。対象は、世界中のWebサイトで使われているプログラミング言語「PHP」です。WordPressもPHPで動いています。

大手サービスが相次いで緊急メンテナンスに入るなか、私たち運営元も自社で管理しているWebサイトを一晩、一時停止しました。この記事では、そのとき実際にやったことを順番どおりに記録します。

何が起きたか（公表の内容）

PHPの開発チームが重大な脆弱性2件を公表し、日本時間10月21日23時に修正版を公開しました。

注意したいのは次の2点です。

• WordPressなどのアプリが動く手前で攻撃が成立するため、WordPressのセキュリティプラグインでは防げません
• 修正版の公開前に、悪用方法がネット上に出回ったとの情報がありました

国家サイバー統括室も、修正パッチの適用が難しい場合は、Webサイトを一時的に止めることもリスクを下げる有効策の一つだとしています。

乗っ取られていたら、何が起きていたか

「会社案内のサイトだから、書き換えられても大した被害はない」と考えがちですが、実際には被害はサイトの中だけでは収まりません。PHPはサーバーアカウントの権限で動くため、そのアカウントで触れるものすべてが対象になります。

問い合わせ情報が漏れれば、問い合わせをくれた人への連絡や、当局への報告が必要になることもあります。漏れた連絡先は、やがて詐欺メールや不正ログインに使われる「名簿」として出回ります。

いちばん危なかったのは「使っていないサイト」

サーバーを棚卸ししてみると、昔作ってそのままのWordPressや、転送のためだけに残したサイトが複数ありました。更新されていない放置サイトほど狙われやすく、そこから同じアカウントの全サイトに手が届きます。止めるなら全部。そして、使っていないサイトは普段から消しておく。今回いちばんの学びでした。

作成者 矢嶋

一晩でやったこと（順番どおり）

1. サーバー会社の状況を確認する所要 5分

レンタルサーバーの場合、PHP本体の修正はサーバー会社が行います。利用者が自分で修正版を入れる必要はありません。

ただ当日は、サーバー会社が予防措置として管理画面を止めていて、自社サイトのPHPのバージョンも、対策がもう効いているかも確認できませんでした。確認できないこと自体がリスクだと判断し、自分たちで止めることにしました。

2. ファイルとデータベースを両方バックアップする所要 30分

止める前に、まず「戻せる状態」をつくります。

3. サーバー内のサイトを全部洗い出す所要 15分

public_html の中に .php ファイルがあるサイト（WordPressなど）が対象です。HTMLだけで作られたページは、今回の攻撃の対象外なので対応しませんでした。

メールの保存場所や、Webから届かないフォルダ（cronのスクリプト置き場など）も対象外です。外からのリクエストで動くPHPだけが今回の入口になります。

4. .htaccess でPHPを止め、メンテ画面を出す所要 各3分

各サイトの .htaccess（サーバーの動きを決める設定ファイル）の先頭に、次の内容を足しました。元の設定はその下にそのまま残すので、戻すときは足した部分を消すだけです。

# BEGIN Emergency Maintenance
DirectoryIndex index.html
ErrorDocument 503 /index.html

<IfModule mod_authz_core.c>
    <FilesMatch "(?i)\.(php[0-9]?|phtml|phar)$">
        Require all denied
    </FilesMatch>
</IfModule>

<IfModule mod_headers.c>
    Header always set Retry-After "3600" "expr=%{REQUEST_STATUS} == 503"
</IfModule>

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteRule ^index\.html$ - [END]
    RewriteRule ^ - [R=503,END]
</IfModule>
# END Emergency Maintenance

やっていることは2つです。

• PHPファイルへのアクセスをすべて拒否する（403）。PHPが動かなければ、今回の攻撃は成立しません
• それ以外はメンテナンス画面へ（503）。検索エンジンにも「一時的な停止」と伝わるので、検索順位への影響を抑えられます

あわせて、同じ場所にメンテナンス告知の index.html を置きます。転送だけしているサイトは、PHPを拒否する部分だけを足して、転送は生かしました。

告知文は「なぜ止めているか」「いつ戻るか（未定なら未定と書く）」「急ぎの連絡先」の3点に絞りました。問い合わせ窓口がメンテ画面から消えると、取引先が連絡手段に困るためです。

5. 外から本当に止まったか確かめる所要 5分

設定して終わりにせず、外からアクセスして確かめます。

一部のページで以前の表示が残ることがあります。これはサーバーのキャッシュ（保存済みの静的なページ）が返っているだけで、PHPは動いていません。URLの末尾に ?test=1 などを付けると、メンテ画面に変わったことを確かめられます。

元に戻すときの注意

サーバー会社から修正の適用完了の告知が出たら、元の .htaccess を戻し、足した index.html を消します。その前に、次の3つを確かめてください。

PHPのバージョンを確認する所要 5分

修正版が出ているのは 8.2〜8.5 です。8.1以下には公式の修正版がありません。サーバーの管理画面で 8.3 などに切り替えてください。なお 8.2 は2026年12月31日でサポートが終わります。

入り込まれていないか確認する所要 15分

止めるまでの間に攻撃を受けていた場合、裏口（バックドア）が残っていることがあります。最近書き換えた覚えのないPHPファイルや、画像フォルダ（uploads）に紛れ込んだPHPファイルがないか確認してください。

WordPress本体とプラグインを更新する所要 30分

今回の件とは別に、古いままのWordPressやプラグインも侵入口になります。更新の前にもう一度データベースのバックアップを取ってから、まとめて更新しましょう。

まとめ

参考・出典

• PHP公式サイト（2026年10月のセキュリティリリース）
• ITmedia NEWS「PHPに『緊急』レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ」（2026年10月21日）
• Impress Watch「国内大手サービスが緊急メンテやサービス停止 PHP脆弱性で対策」（2026年10月21日）
• piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」（2026年10月21日）