公開日：2026-10-22 ／ 最終更新日：2026-10-22
2026年10月21日、WordPress などを動かしている「PHP」というプログラムに、重大な弱点が2つ見つかりました。夜のうちに、たくさんのレンタルサーバー会社が予防のためにサイトを止めました。私のまわりでも、朝起きたら見られなくなっていたサイトがあります。一方で、PHP を使わないエムダッシュや、静的なサイトには、今回の弱点は関係ありません。番外編として、何が起きたのか、作り方によって何が違うのかを、初めての人向けにまとめます。
この記事で分かること
- 10月21日に PHP で何が起きたのか
- 同じ日に、止まったサイトと止まらなかったサイトの違い
- エムダッシュなら安心、と言い切れない理由
10月21日に起きたこと
PHP は、サイトを見に来た人に合わせて、その場でページを作るためのプログラムです。WordPress もこの PHP で動いています。
10月21日、IPA（情報処理推進機構）が「PHP の重大な弱点の修正版が、今夜23時に出ます。すぐ当てられるよう準備してください」と呼びかけました。予告どおり、同じ日に PHP の開発チームが修正版を出しています。
- 弱点は2つ。条件がそろうと、ログインしていない外の人が、サーバーの上で好きなプログラムを動かせるおそれがある
- 修正版は PHP 8.5.12・8.4.27・8.3.36・8.2.35
- PHP 8.1 より古い物は、PHP の開発チームからはもう修正が出ない
「修正版を当てるまでの間に攻撃されるかもしれない」ため、レンタルサーバー会社の中には、修正が終わるまでサイトの公開そのものを止めた所がありました。たとえば NTT ドコモビジネスの「Bizメール＆ウェブ」は、21日22時から、Web サービスを使うすべてのお客さまのサイトを順に止めています。再開の見込みは、22日朝の時点で「確認中」でした。メールは使えますが、サイトは見られません。
止まったサイトと、止まらなかったサイト
同じ日の朝、私が関わっているサイトでも、はっきり分かれました。
- PHP で動くサイト（WordPress など）：サーバー会社の判断で止まった物がある
- このブログ（teraone.site）：いつもどおり見られた
- 静的に作ったサイト：いつもどおり見られた
違いは、見に来た人がいる時に、サーバーの上で何が動いているかです。
- WordPress：見に来るたびに PHP が動いて、ページを作ります。PHP に弱点があれば、そのまま入り口になります。
- エムダッシュ：Cloudflare の上で動きます。見に来るたびにプログラムが動くのは同じですが、PHP は使いません。だから今回の弱点とは関係がありません。
- 静的サイト：前もって作ったページを置いておくだけです。見に来た人がいる時に動くプログラムがほとんどありません。このブログも、10月20日から WordPress を外して静的なサイトにしています。
「エムダッシュなら安心」とは言い切れない
ここは大事なので、はっきり書いておきます。
- 今回の弱点と関係がない、というだけです。 エムダッシュも、中で動いているプログラム（TypeScript と、たくさんの部品）に弱点が見つかれば、直す必要があります。弱点が無いわけではありません。
- Cloudflare が止まれば、一緒に止まります。 第3回で書いたとおり、2025年11月18日には Cloudflare の中の不具合で、世界中のサイトが数時間見られなくなりました。今回は1社のレンタルサーバーが止まりましたが、エムダッシュでは止まる場所が Cloudflare に変わるだけです。
- 静的サイトは、記事を足すたびに作り直しが要ります。 お店の人が毎日自分で記事を足したいなら、管理画面のある WordPress やエムダッシュのほうが向いています。
つまり、「どれが安全か」より「どこが止まったら困るか」で選ぶのが正解だと思います。
今 WordPress を使っている人がやること
慌てて引っ越す必要はありません。まずはこの3つです。
- サーバー会社からのお知らせを見る（メールか、サーバー会社のサイトの「お知らせ」）
- 自分のサイトの PHP のバージョンを確かめる。8.1 より古ければ、新しい版への切り替えをサーバー会社か制作会社に相談する
- サイトが止まっていても、慌ててファイルをいじらない。今回の止まり方なら、サーバー会社の対応が終われば戻ります
AI に頼むならこう聞く
自分のサイトがどれに当たるか分からない時は、Claude などの AI にこう聞いてみてください。
私のサイトは https://（あなたのサイトのURL）です。このサイトが WordPress（PHP）で動いているか、静的なサイトかを、画面から分かる範囲で教えてください。分からない時は、制作会社に何を聞けばいいかも教えてください。
AI は、画面から見える手がかりで答えます。最後は、サーバー会社か制作会社に確かめてください。
まとめ
- 10月21日、WordPress などを動かす PHP に重大な弱点が見つかり、予防のためにサイトを止めたサーバー会社があった
- PHP を使わないエムダッシュと静的サイトは、今回の弱点とは関係がなかった
- ただし「関係がない」は「安全」ではない。止まる場所が変わるだけ、という見方も持っておく
- 選ぶ時は「どこが止まったら困るか」と「誰が記事を足すか」で考える
次回からは、また連載に戻り、エムダッシュを Cloudflare に公開するところまで進めます。
サイトの引っ越しや、WordPress・エムダッシュ・Cloudflare での制作のご相談は、お問い合わせからどうぞ。
出典
- PHPのセキュリティリリース公開予定について（IPA、2026-10-21）https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- Security advisory: Critical remote code execution vulnerabilities（PHP 公式サイト、2026-10-21）https://www.php.net/
- セキュリティ上の脆弱性対応に伴うWebサービス一時停止のお知らせ（NTTドコモビジネス、2026-10-21 掲載・10-22 追記）https://support.ntt.com/mw-businessr3/information/detail/pid2500002hgi/
- Cloudflare outage on November 18, 2025（Cloudflare ブログ）https://blog.cloudflare.com/18-november-2025-outage/
更新履歴
- 2026-10-22 公開
書いた人：寺延 啓太（teraone） 制作会社さまの外部コーディングパートナー。Figma からのコーディングと WordPress の実装・保守を受けています。