HIROKI / Webエンジニア
WebエンジニアのHIROKIです！
「PHPに重大な問題が見つかった」と聞いても、「そもそもPHPって何？」「うちの会社のホームページも関係あるの？」って思いますよね。名前を聞いただけでは、自分の仕事に関係するのかも分かりにくいと思います。
専門用語ばかり並ぶと、それだけで読む気がなくなりますよね…！ なので今回は、プログラミングを知らなくても分かるようにお話しします。ニュースの背景から、会社で誰に何を確認すればよいかまで、順番に説明します。後半では、Node.js・Python・Django・Rubyの事例も見ながら、AIを使った開発の安全性について考えていきます。
会社のサイトを管理している方は、制作会社やサーバー会社へ「今回のPHPの問題に対応済みですか」と確認してください。自分で設定を変更する必要はありません。問い合わせに使える文面も、この記事の中に用意しました。
情報の確認日：2026年10月22日。発表元の説明と、私からの実務上の提案を分けてお伝えします。
1. まず何が起きた？会社のサイトにも関係するニュース
2026年10月21日、PHPの開発チームが重大な「脆弱性」と、その修正版を公表しました。脆弱性は「ぜいじゃくせい」と読み、ソフトウェアにある、攻撃に悪用されかねない弱点のことです。
今回見つかったのは、条件がそろうと、外部の第三者がログインせずにサーバーへ意図しない処理をさせられる問題です。サーバーとは、サイトのデータを保管し、訪問者にページを届けるコンピューターです。PHP公式の発表
つまり、見た目の表示ミスではなく、サイトを動かす側の安全性に関わる問題です。ただし、「弱点がある」と「すでに被害を受けた」は別の話です。普段どおり表示されていても確認は必要ですが、PHPを使っているだけで情報漏えいが起きたと決めつけることもできません。
突然見つかって、翌日に直ったわけではない
PHP FoundationというPHPの開発を支援する団体が、発見から公開までの経緯を説明しています。長く使われてきた内部処理の問題に、調査と修正が重なった出来事でした。
外部の専門家による点検をきっかけに、問題の兆候を発見。ただし、実際の攻撃方法が明確でなく、既存の仕組みを壊さずに直す難しさもあり、対応が長引きました。
研究者からの報告で重大な影響が具体化し、修正が最優先に。PHP Foundationは、判断の進め方と人員不足にも課題があったと説明しています。
公開前の情報が出回ったことを受け、予定を1日前倒し。事前告知を経て、21日に修正版が公開されました。日付は発表元の表記に合わせています。
出典：PHP Foundationによる経緯の説明。SNSの断片だけで判断せず、現在は「修正版が出ているので、適用状況を確認する段階」と捉えてください。
2. そもそもPHPって何？ホームページの裏側で働く仕組み
PHPは、Webサイトの裏側の処理を書くために使われるプログラミング言語です。たとえば、記事のデータを取り出してページにしたり、入力された問い合わせを受け付けたりする処理に使われます。
会社のお知らせを投稿するときに「WordPress」という管理画面を使っていませんか。WordPressは記事やページを管理するソフトウェアで、その動作にPHPを使います。普段の記事更新では、PHPを直接操作する必要がないので、名前を知らなくても不思議ではありません。
仕組みを簡略化した図です。WordPress以外にもPHPを使うサイトがあります。
「WordPressを更新したから、もう大丈夫…？」と思いたくなりますが、ここが少しややこしいんです。WordPressの更新と、PHPの更新は別の作業です。 WordPressを最新にしていても、その下で動くPHPに今回の修正が入っているとは限りません。WordPress公式も、今回はWordPress自体の修正ではなく、PHPの更新が必要だと案内しています。WordPress公式の説明
逆に、すべてのホームページがPHPを使っているわけでもありません。自社がどちらなのか分からない場合は、まず管理担当者に確認すれば大丈夫です。
3. あなたのサイトを守るために、いまやること
担当者として取り組むことは、難しい設定ではありません。「対象を知る」「担当者に確認する」「対応後を確かめる」の3つです。以下は、更新を求める公式勧告を、社内で動きやすい手順に整理した私からの提案です。
まずは、サイトのURLと管理先を確認
企業サイトだけでなく、採用サイトや、以前作ったキャンペーンサイトも思い出してみてください。「いま更新していないサイト」でも、インターネットから見られる状態なら確認の候補です。
制作会社とサーバー会社が別の場合、どちらがPHPの更新を担当しているかも確認します。サーバー会社はサイトを置く場所を提供する会社、制作会社はサイトを作った会社です。保守契約の範囲によって担当が変わります。
この文面を、管理担当者へ送ってください
当社サイトのPHPについて、2026年10月21日に公表された脆弱性への対応状況を確認したいです。
対象URL：［会社のサイトURL］
- このサイトはPHPを使っていますか？
- 今回の2件（CVE-2026-109618、CVE-2026-109619）は修正済みですか？
- 未対応の場合、いつ対応できて、それまで公開を続けてもよいですか？
- 更新に伴う停止時間と、更新後に確認する機能を教えてください。
CVEから始まる番号は、弱点に付けられた管理番号です。この番号、覚えなくて大丈夫です！ 問い合わせに添えると、どの問題について確認したいのかが正確に伝わります。
担当者との確認用：今回のPHP修正版
以下は今回の修正が入ったバージョンです。数字を見て自分で設定変更するのではなく、管理先に照合してもらってください。
| 使っている系統 | 今回の修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
提供会社が独自に修正を取り込む場合は、表示の数字だけでは判断できません。稼働中のPHPに両方の修正が入っているか確認します。8.1以前の古い系統は、提供元の対応とサポート中の系統への移行を相談してください。
修正版の出典：PHP公式。更新がすぐにできない場合、CERT-EUは、対象のサービスをインターネットから一時的に切り離すことも検討するよう勧めています。会社への影響もあるため、停止の判断は管理担当者と行ってください。CERT-EUの勧告
「更新しました」のあとも確認する
更新前にはバックアップ、つまり元に戻すためのデータと復旧手順を確認してもらいます。更新後はトップページだけでなく、問い合わせ送信、予約、ログインなど、会社で使っている機能も確認します。
もし身に覚えのないページや不審な変更がある場合は、そのことを先に伝えてください。弱点を直す作業と、すでに被害がないか調べる作業は別です。記録を消さず、管理先と調査の進め方を相談しましょう。
サイトのURLと、分かる範囲の契約状況をお知らせください。現在の構成や管理範囲を確認し、必要な更新・改修の進め方をご提案します。パスワードを最初の問い合わせに書く必要はありません。
HIROKIにサイトの確認・改修を相談する →4. 「AIで作ったから危ない」とは言い切れない理由
ここからは、今回のニュースをきっかけに考えたい「AIを使った開発」の話です。
まず、今回のPHPの問題を「AIが書いたコードのせい」とする根拠は、参照した公式発表にはありません。サイトをAIで作ったか、人が一から書いたかにかかわらず、問題のあるPHPを使っていれば確認が必要です。
たとえば、会社の建物を考えてみてください。内装を誰が設計したかと、建物の共通設備に不具合が見つかったことは、分けて考えますよね。Webサイトも、表に見える機能と、それを支える共通のソフトウェアを分けると整理しやすくなります。
もちろん、AIが出したプログラムを確認せず公開してよいわけではありません。私が大切だと考えるのは、次のような確認です。
- 他人のデータが見えないか。 ログインした人が、自分に許可された情報だけを見られるか確認する。
- 入力をそのまま信用していないか。 問い合わせやファイル送信で、不正な内容を受け付けないか確認する。
- 公開後も更新できるか。 使っているソフトウェアの更新と、問題が起きたときの連絡先を決めておく。
これはAIを使う場合だけの特別な話ではなく、開発方法にかかわらず必要な確認です。発注するときも「AIを使っていますか」だけでなく、「何を確認してから納品し、公開後は誰が対応しますか」まで聞くと、比較しやすくなります。
5. PHPだけの話？ほかの技術でも問題は見つかっています
「じゃあ、PHPを使わなければ安心なの？」という疑問も出てきますよね。そこで、Node.jsだけでなく、ほかの技術の公式発表も確認しました。以下は2026年に公表された例です。同じ原因の事件でも、危険度のランキングでもありません。
Node.js：Webサービスの裏側を動かすソフトウェア
はい。Node.jsでも、2026年10月21日にセキュリティ更新が公開されています。Node.js（ノード・ジェイエス）は、JavaScriptというプログラミング言語を、サーバー側などで動かすためのソフトウェアです。PHPとは別のものですが、Webサービスの裏側を支える点は似ています。
今回のNode.jsの発表には、圧縮されたデータを元に戻す処理の問題などが含まれます。その一つは、条件によって外部から意図しない処理を実行されるおそれがあるもので、公式には「high（高）」とされています。PHPと同じ弱点が広がったという話ではありません。Node.js公式の更新案内
担当者との確認用：Node.jsの修正版
10月21日の更新として、22.23.4・24.22.1・26.12.1が案内されています。上記の圧縮処理の問題の管理番号はCVE-2026-111497です。使っている系統と、実際に動いている環境の修正状況を確認してください。サポートが終了した系統は、移行の相談も必要です。
Python：AIや業務の自動化でも使われる言語
Python（パイソン）は、AIの処理やデータ集計などにも使われるプログラミング言語です。2026年10月1日の公式更新には、圧縮ファイルを開く際に、コンピューターの作業用の記憶領域を過剰に使ってしまう問題への修正などが含まれています。Python公式の更新内容
身近な業務に置き換えると、外から受け取ったファイルを自動で処理する仕組みなどで、使っている機能によっては確認が必要になる、ということです。「AIを使うシステムだから」という理由で起きる問題ではありません。
Django：Webサイトを作るための部品セット
Django（ジャンゴ）は、PythonでWebサイトや業務システムを作るときに使う、共通機能のセットです。ログインやデータ管理などを、一から全部作らずに済むようにするもの、と考えてください。
2026年10月6日には、特定の入力によって処理に負荷がかかる問題や、一定の条件下でフォームから許可範囲外のデータを削除できる問題などが修正されています。すべてのDjango製サイトで同じ操作ができる、という意味ではありません。Django公式の発表
Ruby：組み込まれた部品にも確認が必要
Ruby（ルビー）も、Webサービスなどを作るためのプログラミング言語です。2026年8月27日には、Rubyに含まれる「resolv」という、接続先の名前から通信先を調べる部品に問題が公表されました。
特定の使い方でサービスが止まったり、想定していない通信先につながったりするおそれがある問題です。公式は、この部品が読み込まれているだけで影響があるとは限らず、実際の利用方法を確認するよう説明しています。Ruby公式の発表
共通するのは「何で作ったか」より「更新できるか」
ここまで読むと「名前が多い…！」となりますよね。全部覚える必要はありません。技術の名前を覚える記事ではないので（笑）。
持ち帰ってほしいのは、サイトの土台にも、組み込んだ部品にも、あとから問題が見つかることがあるという点です。ニュースに出た名前だけでなく、自社で使っているものを管理担当者に確認してもらうことが大切です。
「PHPは危険だからNode.jsへ乗り換えれば解決」とはなりません。どちらを選んでも、使っているソフトウェアを把握し、問題が見つかったときに更新する体制が必要です。
会社としては、言語名で安全性を決めるより、「うちのシステムに関係する発表を誰が確認しているか」「更新をお願いできるか」を押さえる方が、次の行動につながります。
6. AIは、よりよい開発と点検に活用できる
私は、AIを開発に取り入れる価値は大きいと考えています。作業を速く進めるためだけでなく、確認項目を増やしたり、見落としを探したりする補助にも使えるからです。
実際にPHP Foundationは、AIを使った調査や報告内容の検証に取り組んでいると説明しています。同時に、判断と修正には人が関わっていることも明記しています。AIが守る側の仕事にも役立つ、具体的な例です。PHP Foundationの説明
たとえば、問い合わせフォームを作るとき。AIを使って試作品を早く用意できれば、実際の画面を見ながら「この項目は不要」「この情報は社内の担当者だけが見たい」と話を進められます。テスト項目の案を出させ、担当者が必要な条件を追加して確認する、といった使い方もできます。
ただし、速く作れた分だけ確認を省いてしまっては意味がありません。浮いた時間を、使いやすさや動作の確認に回す。AIの提案も、人が仕組みを理解して採用する。そうした進め方なら、AIは企業にとって心強い開発の道具になります。
AIを使うことと、品質に責任を持つことは両立できます。 私は、その両方を前提に、必要な機能を無理なく形にする開発をご提案したいと考えています。
7. サイトの不安も、これからの開発もご相談ください
今回のニュースで、まず必要なのは自社サイトの対応状況を確認することです。そのうえで「古くて更新しづらい」「管理していた人がいない」といった課題が分かれば、今後の運用も含めて見直すきっかけにできます。
hirokiworksでは、Webサイトや業務システムの開発、AIによる業務効率化について、デザインからシステムまで一気通貫で対応しています。現状を伺い、必要な作業と対応範囲、お見積もりをご案内します。
「PHPを使っているか分からない」「昔作ったシステムを、このまま使ってよいか相談したい」「AIで業務を楽にしたいけれど、安全性も気になる」。その段階からで大丈夫です！ 「相談する前に詳しく調べなきゃ」と思わなくていいですよ。
お問い合わせフォームに、サイトのURLやお困りごとをお送りください。直接話したい方は、オンライン相談の日程予約もご利用いただけます。まずは、いまの状況を聞かせてください！