PHPの重大な脆弱性、中小企業のWebサイトは大丈夫？「お客様を守る」仕事

2026/10/24

「PHPに重大な脆弱性が見つかった」

2026年10月21日、PHPの重大な脆弱性2件について、修正版が緊急で公開されました。ニュースやSNSで目にした方も多いと思います。

とはいえ、「PHPって何？」「うちのサイトに関係あるの？」と感じた経営者の方や、「IT業界のニュースは難しそう」と感じている就活生の方もいるはずです。

この記事では、今回の脆弱性をできるだけやさしく整理したうえで、中小企業が今すぐ確認したいことをまとめます。あわせて、スプレッドがお客様に行った対応も紹介しながら、「お客様の事業を守る」ことが提案営業という仕事の大切な一部だという話をお伝えします。

※本記事は2026年10月24日時点の情報をもとにしています。状況は更新される可能性があるため、最新の情報は各公式発表をご確認ください。

今回のPHPの脆弱性、何が起きた？

PHPは、Webサイトやシステムをつくるためのプログラミング言語です。WordPressをはじめ、世界中の多くのWebサイトやWebシステムで使われています。

今回見つかったのは、CVE-2026-109618とCVE-2026-109619という2件の脆弱性です。ポイントは次のとおりです。

深刻度は「緊急」レベル（CVSS 9.2、予告時点の評価）
ログインなどの認証なしで、外部から不正なコードを実行されるおそれがある
修正版（PHP 8.5.12、8.4.27、8.3.36、8.2.35）が2026年10月21日に公開された
公開前に情報が流出し、攻撃の動きを観測したという報告も出ている

攻撃の観測状況は、発表している会社によって差があります。ただ、「まだ大丈夫」と様子を見るのではなく、早めに確認するのが基本です。

中小企業ほど気をつけたい4つの理由

1. 「誰が更新するのか」がはっきりしていない

Webサイトは、制作会社がつくって納品したあと、そのままになっていることがよくあります。PHPの更新が必要でも、誰の仕事なのかがあいまいだと、対応が止まってしまいます。

2. 古いバージョンのPHPが動き続けている

今回の通常の修正版は、PHP 8.2〜8.5向けです。PHP 8.1以前は、開発元のサポートがすでに終わっています。

7.4・8.0・8.1向けには、ソースコードの形で最小限の修正が出ました。ただし、自分でPHPをビルドする人向けの措置で、開発元はサポート中のバージョンへの移行などを求めています。

3. WordPressの更新だけでは足りない

WordPressを使っているサイトでも、今回必要なのはWordPress本体の更新ではなく、PHP自体の更新だとされています。「WordPressは最新にしているから大丈夫」とは言い切れません。

4. 「うちは小さいから狙われない」は通用しにくい

攻撃は、狙った会社を一社ずつ調べるというより、弱いところを自動で探して回る形が中心だといわれています。会社の規模が小さくても、対象になりえます。

経営者がまず確認したい3つのこと

専門的な作業は、制作会社やサーバー会社、専門業者に任せて大丈夫です。経営者がまず押さえたいのは、次の3つです。

自社のWebサイトや業務システムが、PHPで動いているか
PHPのバージョンはいくつで、更新は済んでいるか
その更新を、誰が担当するのか

確認は、制作会社やレンタルサーバー会社に「PHPの今回の脆弱性への対応は済んでいますか？」と聞くのが早いです。

すぐに更新できない場合は、公開範囲を絞る、WAF（不正なアクセスを防ぐ仕組み）を入れるといった当面の対策もあります。ただし、これらは根本的な解決にはなりません。個別の診断や対応は、専門の業者にご相談ください。

当社がお客様に行った対応

当社でも、今回の件を受けて、お客様向けにすぐ対応しました。内容は次のとおりです。

対象の確認から、対策の実施、実施後のサイト動作確認まで、すべて社内で実施
被害を未然に防ぐための予防的な対策を、すべてのサーバーに適用済み
サイトの表示・機能・データに影響はなく、通常どおり利用できる状態
当社の環境での被害・情報流出は、現時点で確認されていない
お客様側で必要な作業は、ありません

お客様へのご案内では、いちばん最初に「お客様側でご対応いただく作業はありません」とお伝えしました。専門用語が並ぶニュースを見た経営者が、まず知りたいのは「自分は何かしなくてはいけないのか」だからです。

守るために、あえて伝えないこともある

一方で、セキュリティの観点から、稼働環境の細かい情報（個別のバージョンなど）は公開していません。安心してもらうために伝えることと、守るために伏せることを、両立させる判断です。

「止めたい」という声を、機能にした

今回の件をきっかけに、「サイトを一時的に止めたい」というお客様のご要望に応えて、会社単位でサイトを一時停止できる「メンテナンスモード」の機能も追加しました。

再開はチェックを外すだけです。停止中も、検索エンジンには「一時的な停止」として正しく伝わるように処理しています。長期間続くと検索結果に影響する可能性があることも、あわせてお伝えしています。

「守る仕事」は、ニュースを自分ごとにするところから始まる

ここまで読んで、「これを全部、経営者が自分で追いかけるのは大変だな」と感じた方も多いと思います。

その感覚が、まさに中小企業の現実です。社内に情報システムの担当者がいない会社も多く、経営者が本業の合間にニュースを追い、判断しなければなりません。

だからこそ、「今、こんなことが起きています。御社にはこう関係します。何をしたので、お客様側の作業はありません」と、わかる言葉で教えてくれる人は、経営者にとって非常に頼もしい存在です。

提案営業は、お客様の事業を「守る」側でもある

提案営業というと、「新しいものを売る」仕事のイメージが強いかもしれません。でも実際には、お客様の事業を守ることも、大切な役割です。

いち早く気づいて、動く

ニュースを見て、「これはお客様に関係あるかもしれない」と気づき、早めに動く。何かが起きてからではなく、起きる前に動けるのが、お客様に近い立場の強みです。

専門的な話を、お客様の言葉に翻訳する

「脆弱性」「リモートコード実行」といった言葉をそのまま伝えても、経営者には伝わりません。「放っておくと、サイトが乗っ取られて、お客様の信用に傷がつくかもしれません」。そう言い換えられる力が、提案の説得力になります。

お客様の声を受け止めて、次につなげる

「サイトを一時的に止めたい」という声が、メンテナンスモードの機能追加につながりました。お客様の声を受け止めて、社内に届け、よりよい形にしていく。お客様に近い仕事だからこそ、拾える声があります。

この仕事で身につく力

ニュースを「自分ごと」「お客様ごと」として考える力
難しい話を、相手に合わせた言葉に置き換える力
状況を整理して、優先順位をつけて伝える力
相手の事業を、自分ごととして考え続ける姿勢

これらは、IT業界以外でも通用する、土台になる力です。専門知識は、働きながら少しずつ身につけていけば大丈夫です。

スプレッドの提案営業について

大阪・梅田に拠点を置く株式会社スプレッドは、中小企業や個人事業主の皆さまに向けて、マーケティング関連のシステム・ソフトウェアを提案・販売しているベンチャー企業です。

目の前のお客様にとって本当に必要なことを、一緒に考える。そして、お客様のサイトやシステムが安心して使い続けられるよう、社内で対応する体制も整えています。営業未経験の方も、一緒に学びながら成長していける環境を目指しています。

「ニュースをきっかけに、こういう仕事に興味が出てきた」という方は、ぜひお気軽にご連絡ください。カジュアルにお話しできる機会もご用意しています。

まとめ

2026年10月21日、PHPの重大な脆弱性2件の修正版が緊急公開された
認証なしで外部からコードを実行されるおそれがあり、WordPressでもPHPの更新が必要
まず確認したいのは「PHPで動いているか」「バージョンは何か」「誰が更新するか」
スプレッドは、確認から対策、動作確認まで社内で行い、お客様側の作業は不要とご案内した
提案営業には、お客様の事業を「守る」側面もある

ニュースを「自分ごと」として考えられる人が、これからの中小企業を支えていきます。この記事が、お仕事選びの一つの視点になればうれしいです。

PHPの重大な脆弱性、中小企業のWebサイトは大丈夫？「お客様を守る」仕事