要点だけ先に。 小さなウェブサイトの多くは、PHPというソフトウェアで動いています。ボンネットの下のエンジンのようなものだと思ってください。2026年10月21日、そのエンジンに重大な欠陥が2つ見つかりました。ログインしなくても、見知らぬ第三者がウェブサイトをだまして、その人のコードを実行させることができてしまう欠陥です。修正は同日公開されましたが、受けられるのは、今もサポートが続いているバージョンだけです。お使いのウェブサイトがPHP 8.1以前で動いている場合、作った側はもう直すことをやめており、あなたのバージョン向けの修正はありません。宿のウェブサイトの多くが、まさにその状態です。何年も前に作られ、ちゃんと動いていて、それ以来見直されたことがないのです。同日夜には、高市早苗首相がXで「大至急のお願い」と投稿し、修正の適用を呼びかけました。この下の無料チェックにウェブサイトのアドレスを入力すれば、あなたがどちらの側にいるかが数秒で分かります。
このチェックに、バージョン番号の知識は要りません。ウェブサイトのアドレスを入力してボタンを押せば、数秒で答えが返ってきます。2026年10月の欠陥があなたのサイトに当てはまるかどうか、そして何をすべきかです。チェックが見に行くのは、あなたのウェブサイトが訪問者全員にすでに見せている情報だけです。あなたのサイトに何かが入ることはありませんし、入力されたアドレスを私たちが保存することもありません。
ここに結果が表示されます。
ウェブサイトの中には、バージョン番号を隠しているものもあります。あなたのサイトがそうなら、チェッカーがそうお知らせします。その場合は、上の2分間チェックが代わりの方法です。
バージョン番号がもう分かっている場合は、ここで選んでください。まだサポートが続いているか、2026年10月の修正の対象かどうか、次に何をすべきかが、すぐに分かります。
上でバージョンを選ぶと、結果がここに表示されます。
PHPは、WordPressや中小事業者のウェブサイトの大半を動かしているエンジンです。2026年10月21日、PHPを保守しているチームが、重大な欠陥2件を発表しました。欠陥の番号はCVE-2026-109618とCVE-2026-109619で、あわせて「php2shell」という呼び名もついています。深刻度はどちらも10点満点中9.2で、ほぼ上限です。やさしく言えば、どちらの欠陥も、見知らぬ第三者がウェブサイトに細工したメッセージを送り、裏側のコンピューターにその人のコードを実行させることができてしまうものです。パスワードは要りません。PHPチームの説明する最悪の場合では、ウェブサイト自体のコードが目覚める前に起きてしまうことさえあります。
修正は同日、PHP 8.5.12、8.4.27、8.3.36、8.2.35として公開されました。PHPチームの助言は率直です。完全に身を守れる回避策はなく、更新することだけが安全な手です。
日本では同日夜、高市早苗首相がX（旧Twitter）に「大至急のお願い」と投稿し、公開しているウェブサイトでPHPを使用しているか確認したうえで、21日午後11時に公開される修正パッチを、可及的速やかに適用できるよう準備を呼びかけました。速やかな適用が難しい場合は、ウェブサイトを一時的に停止させることも、リスクを低減させるための有効な手段の一つだとしています。国家サイバー統括室と独立行政法人情報処理推進機構（IPA）も、この脆弱性について注意喚起を行いました。
サイトが新しくない方にとって、大事な点が二つあります。第一に、修正は、今もサポートが続いているバージョンにしか存在しません。発表は、PHP 8.1以前はPHPチームからもう更新を受け取らないと、はっきり述べています。第二に、チームは異例のことをしました。PHPを元のコードから自分で組み立てる人向けに、PHP 7.4、8.0、8.1向けの小さなパッチも公開したのです。それだけ深刻だということです。一般的なレンタルサーバーの契約では、そのパッチがひとりでに届くことはありません。だからこそ、ご自分のバージョンを確認することが大切なのです。
PHPのバージョンはどれも、2年間は全面的に面倒を見てもらえます。その後さらに2年間は、セキュリティの欠陥だけが直されます。その先は、技術者の言う「サポート終了」です。やさしく言えば、作った側がもう直すことをやめた状態で、アップデートの来なくなったスマートフォンのようなものです。バージョンが止まってしまうわけではありません。翌日もウェブサイトの見た目はまったく同じです。ただ、もう安全には近づかなくなるだけです。
| PHPバージョン | 2026年10月時点の状態 | セキュリティ修正の提供終了 |
|---|---|---|
| 8.5 | 十分にサポート中 | 2029年12月31日 |
| 8.4 | 十分にサポート中 | 2028年12月31日 |
| 8.3 | セキュリティ修正のみ | 2027年12月31日 |
| 8.2 | セキュリティ修正のみ（時間切れ間近） | 2026年12月31日 |
| 8.1以前（PHP 7の全バージョンを含む） | サポート終了：もう直す人はいません | 終了済み |
小さな宿泊施設のウェブサイトの多くが、PHP 7.4、8.0、8.1のままになっています。誰かが何か悪いことをしたわけではありません。サイトを作り、動いて、予約が入り、レンタルサーバーの管理画面をもう一度開く理由が、ただ一度もなかっただけです。サーバー会社が自動で新しいバージョンへ移してくれるとは限りません。バージョンのジャンプで古いサイトが壊れることがあり、動いているサイトを黙って壊すくらいなら、そのままにしておきたいからです。その結果、見た目は問題ないのに、最後のセキュリティ修正から何年も経ったウェブサイトが残ります。
サイトがWordPressで動いている場合（大半の宿のサイトがそうです）、バージョン番号はここに隠れています：
サイトがWordPressでない場合、またはログインできない場合：
さあ、あなたの番号を上の表と比べてください。8.2であれば、今は修正が入っていますが、時間は迫っています。8.2向けの修正は2026年12月31日で止まります。8.1以下であれば、あなたのバージョンは終了を過ぎており、このページの残りは、その対処法についてです。
まず、落ち着いて考えましょう。古いバージョンは、サイトが乗っ取られたという意味ではありませんし、誰かがあなたの宿を名指しで狙っているわけでもありません。リスクの仕組みはこうです。欠陥が発表されると、その詳細も誰でも読める形で公開されます。その後、欠陥がまだ残っているウェブサイトを、コンピューターが自動で、昼も夜も探し回ります。古いバージョンとは、今後見つかる欠陥がすべて、あなたのサイトでは永久に開いたままになるということです。今月の2件のように、攻撃する側にパスワードすら要らないものも含めてです。
誰かが入り込んでしまった場合、結果は劇的というより地味なものが相場です。ページが書き換えられたり、スパムサイトへ送られたり、あなたのウェブアドレスの下にゴミページが隠されたり、レンタルサーバーのアカウントがスパムメール送信に使われたりします。最後のものは、あなたのアドレスがブラックリストに入る原因になり、予約の問い合わせがお客様の迷惑メールフォルダに届き始めることがあります。そして、宿のウェブサイトは単なるパンフレットではありません。問い合わせフォームには、お客様の氏名、日程、連絡先が入ります。予約システムがプラグイン（ウェブサイトの中の小さな追加機能）として動いている場合は、自社予約の経路そのものが、同じエンジンの後ろにあります。バージョン番号が静かに見張っているのは、その部分なのです。
1. サイトはそのままに、PHPのバージョンを新しいものへ上げる。 ほとんどのサイトにとってこれが正解で、多くの場合、費用もかかりません。サーバー会社がスイッチを切り替え、サイトはそのまま動き続けます。サイトの土台であるテーマと追加機能（プラグイン）が、作った人たちに今も面倒を見てもらえている方に向いています。本当のリスクは一つだけです。PHP 7向けに作られた追加機能は、PHP 8で転んでしまうことがあります。ですから安全な順序で進めてください。まず完全なバックアップを取り、次に切り替え、その後にページと予約の経路を一つずつ歩いて確認します。サーバー会社に頼むか、まず練習用のコピーで試してもらい、何か壊れたら元に戻す約束を先に取り付けてください。慎重なバージョンアップが失敗しても、失うのは半日ほどです。修正のないバージョンのままでいることは、今日は無料でも、これから毎日リスクを抱えることです。
2. サイトはそのままに、直す仕事を誰かの予定表に載せる。 ウェブサイトが仕事をしてくれていて、管理画面を自分では決して開きたくないなら、面倒を見てくれる人にお金を払うのは立派な答えです。その人が、WordPress、テーマ、追加機能、PHPのバージョンをあなたに代わって最新に保ち、その後サイトを確認してくれます。サイト自体は健全でも、注意が別のところに向いている経営者に向いています。バージョンの問題は、たいてい知識の問題ではありません。その仕事が誰のものでもない、という問題です。この方法なら、担当者ができます。
3. 手作りのウェブサイトで、最初からやり直す。 点検結果があらゆる面で悪い場合、もう誰も直してくれないエンジン、作った人が見放した追加機能、お客様の大半がスマートフォンで予約するようになる前のデザイン、といった具合であれば、一つひとつ直すほうが、最初からやり直すより高くつくかもしれません。私たちが手がけているのはこの方法です。既存の予約エンジンを組み込んだ、直接予約のためのウェブサイトを、£1,999の一回払いで手作りします。私たちのチャネルマネージャーのページでも書いているとおり、WordPressでは予約エンジンのようなツールはたいていプラグインとして届き、プラグインとは、更新し、安全に保ち続けなければならないものが一つ増えるということです。手作りのサイトにはテンプレートもページビルダーもなく、WordPress、テーマ、プラグイン、PHPのバージョンという保守の連鎖は、もうあなたが追いかけるものではなくなります。一回払いの制作費用と、継続的なプラットフォーム費用や保守費用との比較は、宿のウェブサイトの費用ガイドをご覧ください。
WordPressの場合は、管理画面にログインし、「ツール」から「サイトヘルス」を開いて、「情報」タブを見てください。「サーバー」セクションにPHPのバージョンが表示されます。WordPressでない場合は、レンタルサーバーのコントロールパネルにログインし、「PHPバージョン選択」や「マルチPHPマネージャー」にあたる機能を探してください。そこにサイトに設定されているPHPのバージョンが表示されます。どちらの方法でも分からない場合は、サーバー会社に「私のウェブサイトで使われているPHPのバージョンは何ですか。そのバージョンは今もセキュリティ修正を受けられますか」と聞いてください。または、このページの無料チェッカーでも確認できます。ウェブサイトのアドレスを入力すると、あなたのバージョンが外から見えるかどうかが分かります。
2026年10月時点で、PHP 8.2、8.3、8.4、8.5は今もサポートが続いています。PHP 8.2は最終段階で、セキュリティ修正のみを受けており、2026年12月31日に終了します。PHP 8.1以前のすべてのバージョン（PHP 7の全バージョンを含む）は終了を過ぎており、PHPチームはもうセキュリティ修正を公開していません。
いいえ、違います。サポートが終了したバージョンで動いていることは、サイトが侵害されたことを意味しません。新しい脆弱性が公表されても、そのバージョン向けの修正が通常の方法では公開されない、ということです。2026年10月21日に修正された重大な脆弱性がまさにその例で、パッチはPHP 8.2から8.5向けに公開された一方、PHP 8.1以前には通常のリリースがありませんでした。慌てる火事ではなく、予定に入れるべき仕事として扱い、早めに予定を立ててください。
テーマやプラグインが古いと、壊れる可能性があります。PHP 7向けに作られたプラグインはPHP 8で動かないことがあるため、バージョンアップは、まず完全なバックアップを取り、できればステージングコピーで試してから行ってください。実際には、多くのレンタルサーバー会社が代わりにバージョンを切り替えてくれ、何か壊れたら元に戻してくれます。試してから行うバージョンアップのリスクは小さく一時的なものですが、パッチの当たらないバージョンを使い続けるリスクはなくなりません。
しません。これらのプラットフォームは自社のシステムで動いており、そちらの予約に影響はありません。お使いのPHPで動いているのは、ご自身のウェブサイトです。ページ、問い合わせフォーム、そして予約エンジンがWordPressのプラグインとして組み込まれている場合は、その自社予約の経路も含まれます。お客様の情報が直接あなたのもとに届く経路だからこそ、守る価値があります。
通常は、その必要はありません。WordPressサイトが他に問題なく役割を果たしているなら、PHPをバージョンアップし、WordPress本体、テーマ、プラグインを最新の状態に保つことで解決します。作り直しを検討する価値があるのは、サイトのあらゆる面が古い場合です。サポートの切れたPHPバージョン、開発者による保守が終わったプラグイン、そしてお客様の大半がスマートフォンで予約するようになる前のデザイン。この場合は、一つひとつ修理するのではなく、保守の連鎖そのものをなくすことができます。
確認の結果が、今もサポートが続いているバージョンであれば、それで結構です。修正の提供が止まる日付を控えて、リマインダーを設定し、宿の経営に戻ってください。古いバージョンであれば、3つの道と、それぞれにお金や手間の面でどれくらいかかるかの見当がつきました。そして、どうせ作り直しの時期だという場合は、手作りのウェブサイトにすれば、パッチ当てに追われる日々から永久に解放されます。
手作りのウェブサイト、£1,999の一回払い、手数料0%。まずは£9.90のデモで、あなたの宿のサイトをご覧ください。
£9.90のデモを試すご質問は 電話 +44 7727 811227（24時間対応・AI） · WhatsApp（担当者が対応） · hello@directbook.uk
最終確認日：2026年10月21日。一般的なご案内であり、セキュリティや法律に関する助言ではありません。出典：PHPセキュリティアドバイザリ「Critical remote code execution vulnerabilities, update now」（php.net、2026年10月21日）；PHPサポート対象バージョン（php.net、2026年10月21日確認）；PHP 8.2.35、8.3.36、8.4.27、8.5.12のリリース告知（php.net、2026年10月21日）；PHPセキュリティリリース事前通知（php.net、2026年10月20日）；国家サイバー統括室および独立行政法人情報処理推進機構（IPA）によるPHP脆弱性への注意喚起（2026年10月21日）。