PHPの脆弱性で思うホームページ制作会社と保守の役割

2026年10月21日、PHPに関する深刻な脆弱性の情報が出始めました。

PHPは、WordPressをはじめ、多くのホームページで使われているプログラミング言語です。普段ホームページを利用している方にはあまり馴染みのない名前かもしれませんが、制作会社にとっては無視できないニュースでした。

翌22日には、お客様から「うちのホームページは大丈夫ですか」「何か対応が必要ですか」といった問い合わせもありました。

こういうとき、情報を調べれば調べるほど不安になることもあると思います。PHPに問題があると言われても、自社のサイトで使われているのか、使われていたとして何をすればいいのか、なかなか判断できません。

今回は、技術的に何が起きたのかという話と、GIVで実際に行った対応について書いてみます。

PHPのプログラムではなく、PHPそのものの問題

今回、私が気になったのは、PHPのメモリ管理に関する不具合という点でした。

PHPでホームページを制作するとき、通常はC言語のようにメモリの確保や解放を直接扱いません。でも、PHPのプログラムを実際に動かしている実行エンジンは、主にC言語で作られています。

つまり、ホームページ側のPHPコードに問題がなくても、そのコードを動かす仕組み自体に不具合があれば影響を受ける可能性があります。

今回話題になった問題の一つが、Use-After-Free と呼ばれるものです。簡単にいうと、一度解放したメモリを、まだ使えるものとして参照してしまう不具合です。

メモリを解放すると、その領域は別の処理に再利用されることがあります。ところが、古い参照が残っていると、そこに以前のデータがあるつもりで処理を続けてしまう。条件によってはプログラムが異常終了したり、攻撃に利用されたりする可能性があります。

ここは個人的にも興味深いところでした。普段PHPを書いているだけでは意識しない部分に、こうした問題が潜んでいるわけです。

ただし、脆弱性があることと、すべてのホームページで直ちに攻撃が成立することは別です。影響はPHPのバージョンやサーバーの構成、利用状況などによって変わります。

AIによる脆弱性発見という話も興味深かった

今回の件では、AIを活用した脆弱性の発見も話題になりました。

AIというと、攻撃メールの作成や不正プログラムへの悪用が取り上げられがちですが、ソフトウェアの不具合を探す側でも利用が進んでいます。

長く使われてきたソフトウェアでも、見落とされていた問題が見つかる。AIの活用が進めば、これまで発見できなかった脆弱性が今後も出てくるのだと思います。

これは守る側にとって良いことですが、ホームページを管理する側からすれば、対応すべき情報が増えるということでもあります。

GIVで最初に行ったこと

21日に情報が出始めた段階で、GIVでは保守を担当しているサイトの確認を始めました。

最初に行ったのは、次の二つです。

• 各サイトで利用しているPHPのバージョンを再確認すること
• その時点での最新データのバックアップを取得すること

まず、どのサイトが影響を受ける可能性があるのかを把握し、更新や設定変更に備える必要がありました。

その後、深夜から翌日にかけて、レンタルサーバー事業者の対応状況を確認しながら、必要なPHPのバージョンアップや動作確認を進めました。あわせて、対応状況を自社ホームページでも案内しました。

対象は数十サイト。なかには古いPHPで動いているサイトもあり、単純に最新版へ切り替えれば済むものばかりではありません。

PHPを更新すると、今度はホームページ側のプログラムが正常に動かなくなることもあります。特に長年運用されているサイトでは、更新前の確認や更新後の動作確認が欠かせません。

脆弱性が公表されたからといって、何も考えずにバージョンを上げればよいわけではないんですよね。

「サーバー会社が対応するから大丈夫」とも限らない

レンタルサーバーを利用している場合、サーバー会社がPHPの修正版を提供したり、サーバー側で対策を行ったりすることがあります。

ただ、それだけで自社サイトの対応が完了したとは限りません。

契約しているサーバーやプランによって、PHPのバージョンを利用者自身が切り替える必要がある場合もあります。また、古いPHPを使っているサイトでは、修正版が提供されないことや、新しいバージョンへの移行に改修が必要になることもあります。

確認したいのは、少なくとも次の点です。

• 自社サイトで使っているPHPのバージョン
• 利用しているサーバー会社の対応状況
• 更新や設定変更が必要かどうか
• 変更した場合にサイトが正常に動作するか

一般の事業者の方が、こうした情報をすべて調べて判断するのは簡単ではありません。

だからこそ、ホームページを制作した会社や保守を担当している会社が、状況を確認して説明する必要があると思っています。

ホームページは作って終わりではない

今回、問い合わせをいただいて改めて感じたのは、ホームページの保守は、単にバックアップを取ったり、WordPressを更新したりするだけではないということです。

新しい脆弱性が公表されたとき、自社のサイトに関係するのかを確認する。必要な対策があれば実施する。すぐに対応できない事情があれば、その理由やリスクを説明する。

そして、対応したあとに問題なく動いているかまで確認する。

こうして書くと当たり前のことばかりですが、実際にはサイトごとにサーバーも構成も違います。古いサイトであれば、当時の制作会社がすでになかったり、管理状況が分からなくなっていたりすることもあります。

今回のようなニュースが出てから、初めて自社サイトの管理状況を調べるのでは、対応に時間がかかってしまいます。

ホームページは公開した時点で完成ではなく、その後も使い続けるものです。制作時の費用やデザインだけでなく、公開後に誰が管理し、何かあったときにどう対応するのかまで考えておく必要があると思います。

制作会社として、どこまで責任を持つのか

もちろん、保守契約を結んでいるからといって、すべての脆弱性を防げるわけではありません。今回のように、制作会社が作ったプログラムとは別のところで問題が見つかることもあります。

それでも、情報を把握して影響を確認し、必要な対応を考えることはできます。

お客様から「うちは大丈夫ですか」と聞かれたときに、根拠もなく「大丈夫です」と答えるのではなく、何を確認して、どこまで対応できているのかを説明する。

私は、そうしたこともホームページ制作会社の仕事だと思っています。

今回の対応は、正直なところ楽なものではありませんでした。でも、ホームページを預かっている以上、こういうときに動ける会社でありたいと思います。

GIVでは、ホームページの制作だけでなく、公開後の保守やセキュリティ対策にも「ホームページ保守サービス」で、対応しています。現在の管理状況が分からない、古いPHPを使っているかもしれない、といった場合もご相談ください。