PHP・サーバー
プログラムを動かす土台。サーバー会社の修正適用も確認します。
そのホームページ、更新の状況は分かりますか。
WordPressの利用率、最近のPHPの修正情報、公表された不正アクセスの事例を、出典・日付・対象を分けて紹介。更新・バックアップ・保守の連絡先など、ホームページ担当者が最初に確認することを整理します。
安全を確認する場所を分ける
WordPress本体
文章や写真を更新する仕組み。本体のバージョンと更新状況を確認します。
プラグイン・テーマ
追加機能と見た目の部品。使っていない部品や、連携先も確認します。
公開情報から、関係するところを確かめる
以下は公開情報の紹介で、ITPRODX.comの対応実績ではありません。
脆弱性・修正の公表 / 公表日：2026-10-21 / 追加情報・更新：2026-10-23
PHP本体で重大な修正。追加の注意情報も公表。
PHP公式は、外部からサーバー上で不正な処理を実行されるおそれがある問題の修正版を公開。10月23日には、特定の設定と処理の組合せについて追加の注意を公表しました。
- 影響する範囲
- 見た目が正常でも、サーバーの修正適用状況は別に確認が必要です。
- この情報だけでは分からないこと
- 修正情報の公表であり、この資料だけでは個別サイトの被害発生を確認できません。
- 次に確認すること
- 保守会社・サーバー会社に、10月21日の修正と23日の追加注意への対応状況を確認。
詳しい内容
- 10月21日の対象はCVE-2026-109618／CVE-2026-109619。PHP公式は8.5.12／8.4.27／8.3.36／8.2.35を修正版として案内しています。
- 10月23日はセッションのアップロード進捗機能に関する追加情報（CVE-2026-115560）。特殊な設定とアプリケーション処理の組合せが条件です。21日の更新だけですべて解決と判断しません。
- 古いバージョン表示でも、提供元が修正を取り込んだパッケージを配る場合があります。表示だけで未修正と決めず、提供元の告知・適用状態を確認します。
事業者による被害公表 / 公表日：2026-08-04 / 事象の日付：2026-08-03
表示に障害がなくても、管理アカウントに影響。
学研メディカルサポートは、管理するWordPressサイトへの不正アクセスを公表。不正なアカウントの生成と、既存アカウントのパスワード変更を報告しました。
- 影響する範囲
- サイトを見られる状態と、管理側が侵害されていない状態は別です。
- この情報だけでは分からないこと
- 公表時点で閲覧障害・情報流出は未確認。本体・追加部品の内訳、版・CVE、サイトごとの被害範囲は非公表です。
- 次に確認すること
- 更新だけでなく、管理者アカウント・認証・不審な変更の確認を保守元に依頼。
詳しい内容
- 同社は2026年8月3日午前に不正アクセスを確認し、対象を「バージョンアップを実施予定であった78サイト」と記載しています。78サイトすべてで同一被害があったとは読み替えません。
- WordPress本体・プラグイン・テーマのどの問題か、特定の脆弱性番号は公表されていません。別の公開脆弱性と原因を結び付けません。
事業者による侵害公表 / 公表日：2026-06-14 / 事象の日付：2026-06-12
追加機能の配信元が侵害され、不正なコードが配信。
OptinMonsterは、第三者のWordPressプラグインから侵入され、配信元の認証情報が悪用されたと公表。利用先へ配るJavaScriptが一時的に改ざんされました。
- 影響する範囲
- 自社サイトだけでなく、追加機能や外部から読み込む仕組みも確認対象です。
- この情報だけでは分からないこと
- 利用先すべての侵害や被害件数を示す公表ではなく、PHP本体の問題とも区別します。
- 次に確認すること
- 使っている追加機能・外部サービスを把握し、提供元の案内への対応を確認。
詳しい内容
- 発表元は、第三者プラグインUpdraftPlusの既知の脆弱性からマーケティングサイトへ侵入され、CDNの認証情報が悪用されたと説明しています。
- 改ざんファイルの配信は6月12日（UTC）の数時間。問題のスクリプトを読み込み、WordPress管理者がログインしていたサイト等が対象条件です。利用先の被害件数は公表されていません。
公的機関による被害確認 / 公表日：2024-07-05 / 追加情報・更新：2024-07-12
国内の複数組織で、不正操作用のプログラムを確認。
IPAは、PHPの脆弱性を悪用した攻撃による被害を国内の複数組織で確認。サーバーに、外部から不正操作するためのプログラムが設置されていたと報告しました。
- 影響する範囲
- 修正の適用と、過去に侵入されていないかの調査は分けて考える必要があります。
- この情報だけでは分からないこと
- 2024年の事例です。Windows等の対象条件があり、PHP利用サイト全体に同じ影響があるとはいえません。
- 次に確認すること
- 該当構成だった場合、更新履歴と過去の影響確認を保守元・専門窓口に相談。
詳しい内容
- CVE-2024-4577に関する事例。Windows上のApacheとPHP-CGI、文字コード設定等が関係します。個別組織の被害発生日は公表されていません。
- 2026年10月の新しいPHP修正とは別の事例です。全国の被害率・被害件数や、現在の個別サイトの侵害を示すものではありません。
まず確認しておきたいこと
更新
最後に、いつ更新しましたか？
PHP・WordPress・追加機能の更新状況と、今回の注意情報への対応を保守会社に聞きます。「分からない」なら、まず確認から。
バックアップ
戻せるデータは、ありますか？
バックアップの保存場所、最終取得日、復元を確認した人を聞きます。更新する前に、戻す手段も確認します。
連絡先
何か起きたら、誰に連絡しますか？
制作会社・保守会社・サーバー会社の窓口と、対応範囲を整理します。管理アカウントの担当者も確認します。
よくある質問
WordPressを使っているだけで、危険ですか？
利用していることだけでは、安全・危険を判定できません。実際の構成、修正の適用状況、管理方法を確認します。利用率39.6%は被害率ではありません。
PHPやバージョンが分からなくても相談できますか？
大丈夫です。分かる範囲のサイトURLと、何が気になっているかをお知らせください。初回フォームにパスワード、プログラム、顧客情報を入れる必要はありません。
新しい仕組みに全部作り直した方がよいですか？
この注意情報だけでは決められません。今の仕組みの更新・限定改修・一部の作り替えを比較し、必要な機能や保守体制に合わせて検討します。
バージョンを更新すれば、以前の被害も解消しますか？
更新したことだけでは、既に侵入された痕跡や影響が解消したとは判断できません。心当たりがある場合は、保守会社や侵害調査を行う専門窓口に確認してください。
相談すると、すぐ有料の診断が始まりますか？
送信だけで費用・契約は発生しません。ITPRODX.comでは、確認できる資料と相談範囲を整理します。有償の調査・改修は、内容・成果物・見積もりに合意してからです。専門的なセキュリティ監査や緊急の侵害調査は提供範囲と分けてご案内します。
分からないところから相談できます
個人事業ITPRODX.com 山本勇志が、確認できる資料と改修の選択肢を整理します。調査・改修は範囲と見積もりに合意してから。専門的な脆弱性診断・セキュリティ監査・緊急の侵害調査は提供範囲と分けて確認します。