2026年10月、Webサイトの多くで使われているPHPに重大な脆弱性が見つかり、サーバー会社や制作会社が一斉に対応に追われました。この記事は、自社や学校のホームページの管理を外部に任せている担当者の方に向けて、次に同じことが起きても慌てずに済むサイトの仕組みをご紹介します。
結論
お知らせの更新が中心のサイトであれば、ページを「静的ファイル（HTML）」として公開し、サーバー上でPHPを動かさない構成に切り替える方法があります。PHPが動いていないサイトは、今回のようなPHPの脆弱性の影響を受けません。お知らせやコラムの更新は、Googleスプレッドシートに入力して「公開」を押すだけです。株式会社荒川印刷では、この仕組みを「静的サイト移行サポート」としてご提供しています。
2026年10月のPHPの脆弱性で何が起きたか
PHPの開発元は2026年10月21日（日本時間23時）、2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）と修正版を公開しました。深刻度はどちらも10点満点で9.2とされ、ログインなしで外部からプログラムを実行されるおそれがあります。正式な公開の前日に情報が流出し、公開前から攻撃が観測されたとも報じられています。
- 対象：PHPでWebページを動かしている環境のほぼすべて。WordPressなど、PHPで動くCMSのサイトも含まれます
- 修正版：PHP 8.5.12／8.4.27／8.3.36／8.2.35
- 古いPHP：サポートが終わった8.1以前には通常の修正版が出ません。7.4・8.0・8.1には例外的に最小限の修正が提供されましたが、自分でPHPを組み立てられる技術者向けの形です。7.3以前には修正がありません
- PHP 8.2のサポート終了：今も広く使われているPHP 8.2も、2026年12月31日でセキュリティ修正の提供が終わります
- サーバー会社の対応：たとえばさくらインターネットは21日夜に予防的な緊急メンテナンスを行い、レンタルサーバのPHPに修正を適用しています
ホームページの持ち主にとっての問題
サーバー会社がPHPを更新しても、それで終わりとは限りません。古いPHPでしか動かないCMSやプラグインを使っているサイトは、PHPを新しくするとページが表示されなくなることがあり、サイト側の改修も必要になります。その費用と時間は、脆弱性が見つかるたびにかかります。
PHPを動かさないサイトの仕組み
多くのサイトでは、閲覧者がページを開くたびにサーバー上でPHPが動き、データベースからお知らせを読み出してページを作っています。「静的サイト移行サポート」では、お知らせを表で管理し、完成したHTMLページを作ってサーバーに置きます。サーバーはそのページを渡すだけなので、PHPを動かす必要がありません。
主な特長
- PHPの脆弱性の影響を受けない：GitHub経由やCloudflare Pagesなどに置けば、サーバー上でPHPが動かないため、今回のような脆弱性が見つかっても、サイトの改修に追われません
- 更新はGoogleスプレッドシートで：お知らせやコラムを1行1記事で入力し、「公開」を押すだけです。HTMLの知識は要りません
- サイトに管理画面が無い：更新はいつものGoogleアカウントで行うため、サイトの管理画面への不正ログインの入り口がありません
- CMSやプラグインの更新が要らない：WordPress本体やプラグインの更新作業がなくなります
- 表示が速い：完成したページを渡すだけなので、ページを開いたときの待ち時間が短くなります
向いているサイト・向かないサイト
更新するのが主にお知らせやコラムで、サイト上で利用者の入力を受け付けないサイトほど、この仕組みに向いています。
|
サイトの特徴 |
向いている |
ご相談ください |
|---|---|---|
|
主な更新内容 |
お知らせ・コラム（月に数件〜週に数件） |
1日に何十件も更新するメディア |
|
サイト上の機能 |
会社案内・学校案内・サービス紹介 |
会員制のサイト、ネットショップ |
|
更新する人 |
パソコンに不慣れな方でも更新できる。複数人での編集もGoogleスプレッドシートの共有でできる |
お客様が自分でページやデザインを増やしたい |
|
今の状態 |
古いPHPのまま、更新の目途が立たない |
最近リニューアルし、保守契約がある |
相談の前に確かめておくこと
- ここ1年で、お知らせ以外にどのページをどのくらい更新したか
- お問い合わせフォーム以外に、利用者が入力する機能があるか
- サーバー会社や制作会社から、PHPの更新について案内が届いていないか
- 今のサイトを誰が更新していて、Googleアカウント（無料のアカウントでも可）を持っているか
分からない項目があっても大丈夫です。サイトのURLをお知らせいただければ、当社で構成を確認します。
費用・期間の目安
初期費用は30万円〜（税別、10ページまで）です。お知らせ・コラムの更新の仕組みと、お問い合わせフォームを含みます。
11ページ目からは1ページ5,000円です。
|
項目 |
費用（税別） |
|---|---|
|
初期費用（10ページまで） |
30万円〜 |
|
追加ページ |
1ページ5,000円 |
|
運用・保守（ライト） |
月1万円 |
|
運用・保守（更新代行付き） |
月2万円 |
置き場所（レンタルサーバーや公開サービス）の費用は、お客様のご負担です。Cloudflare Pagesなどは、無料プランでも商用利用できます。
費用が上下するのは、主にページ数、入力する項目を足すかどうか、デザインも新しくするかどうかの3点です。
公開までの期間は、10ページ程度のサイトで約2週間が目安です。
→ 最初の3件は、事例としてご紹介させていただくことを条件に、初期費用25万円でお引き受けします。
よくある質問
Q. 今のデザインのまま切り替えられますか？
A. 今のページをもとに仕組みだけを置き換える方法と、この機会にデザインも見直す方法があります。サイトを拝見したうえでご提案します。
Q. WordPressで作ったサイトでも切り替えられますか？
A. はい。お知らせ以外の更新が少ないサイトであれば対象です。会員機能やネットショップを使っている場合は、ご相談ください。
Q. スプレッドシートに入力してから、どのくらいでサイトに反映されますか？
A. 公開してから反映されるまでの時間は、サイトの置き場所によって数秒から1〜2分ほどです。
|
置き場所 |
公開から反映まで |
条件 |
|---|---|---|
|
レンタルサーバー（そのまま） |
数秒 |
PHP 7.4以上が使えること |
|
レンタルサーバー（GitHub経由） |
1〜2分 |
FTPかSSHで接続できること。PHPは不要 |
|
Cloudflare Pages・Netlify |
1分前後 |
無料プランでも商用利用できる |
「そのまま」の置き方はサーバー上でPHPを使います。PHPを使わない構成にしたい場合は、GitHub経由かCloudflare Pages・Netlifyをおすすめします。
Q. お問い合わせフォームはどうなりますか？
A. 標準で付いています。送られた内容はスプレッドシートに記録され、メールでお知らせします。自動返信の設定や迷惑メール対策もあります。
Q. 会社でGoogle Workspaceを使っていますが、使えますか？
A. 管理者の設定によっては使えないことがあるため、導入前に確かめます。
Q. サーバーの管理は不要になりますか？
A. 不要にはなりません。PHPの更新に追われることはなくなりますが、置き場所（レンタルサーバーや公開サービス）と、ドメイン・SSL証明書の管理は引き続き必要です。当社の月額保守でお引き受けできます。
まとめ
お知らせの更新が中心のサイトなら、PHPを動かさない構成に切り替えることで、今回のようなPHPの脆弱性のたびに対応に追われる状態から抜け出せます。更新はGoogleスプレッドシートに入力するだけなので、担当者が替わっても引き継ぎやすい仕組みです。
「自社のサイトがPHPで動いているか分からない」という段階でも構いません。サイトのURLをお知らせいただければ、構成を確認し、「静的サイト移行サポート」が合うかどうかをお伝えします。
