【PHP2shell】WordPressの脆弱性、AIの発見に直すのが追いつかない？PHP対策と部品リスト
- Webサイト
監修：フロンティアマーケティングチーム（名古屋で中小企業のホームページ制作・AI導入を支援）
もくじ
この記事の結論（3行）
- 1. AIが弱点を見つける速さが、人が直す速さを超え始めました。
- 2. 全部は直せないので、危険度で優先順位を付けるのが現実的です。
- 3. 10月21日公表のPHPの脆弱性「PHP2shell」のような事態に備え、まずはPHPも含めた「部品リスト（SBOM）」を作りましょう。
はじめに：「弱点は見つかっても、すぐには直せない」という話
経済メディアPIVOTの番組「脆弱性は見つかっても直せない」（2026年10月公開）は、AI時代の守り方がテーマで、大企業だけの話ではないと感じました。
フロンティアはWordPressの制作と保守（安全に使い続けるための点検や更新）を行い、自社サイトもWordPressで運用しています。
番組の論点に、2026年10月に公表されたPHPの深刻な弱点の話も交えて、中小企業のホームページでは何をすればよいかをまとめました。
脆弱性とは？AIが「見つける速さ」が「直す速さ」を超えたとは？
▶ ひとことで言うと
脆弱性（ぜいじゃくせい）とは、ソフトウェアの中にある「弱点」のことです。家にたとえると、外からは見えない小さな窓の鍵が開いているような状態です。
番組で紹介されたのが、アンソロピック社のAIモデル「Mythos（ミトス）」です。このAIは公開ソフト（オープンソース）から約2万件超の脆弱性の候補を見つけ、約9割が本物だったといいます。
AIが見つけた脆弱性の候補
約2万件超
PIVOTの番組で紹介・2026年10月公開
そのうち本物だった割合
約9割
同上
弱点を直すまでの一般的な目安
約90日
同上（出演者の説明）
出演者はこれを「ミトス・モーメント」と呼んでいました。AIが弱点を見つける速さが、人が直す速さを上回った瞬間という意味です。
社会はソフトで動いており、不具合をなくすことは基本的にできません。だから「見つかったあと、どう直すか」が問われています。
なぜAIは脆弱性を見つけられるようになったの？
プログラミングの力はAIの会社の収益の柱で、各社が磨いてきました。ハッキングを狙わなくても、プログラムを上手に書けるAIは、弱点も見抜けてしまうのです。
▶ ポイント
この力は守る側にも、攻める側にも使えます。怖がるより「守る側としてどう使うか」を考えるほうが建設的です。
ソフトは「部品」の組み合わせ。自社に何が入っているか分かる？
番組ではカレーの「ルー」にたとえていました。多くのサービスはライブラリ（誰かが作った部品）を組み合わせて作られています。知恵を分け合う良い仕組みです。
問題は、自社のサービスにどの部品が入っているかを把握していない会社が多いことです。外部に任せ、任された会社も別の製品を使う「数珠つなぎ」で、全体を誰も知らない状態が起きやすいのです。
番組で例に挙がった「Log4j」も多くの製品に入っていた部品で、弱点が見つかると、まず「どこに入っているか」探すことから始まりました。場所が分からなければ直せないのです。
脆弱性は全部直せる？優先順位はどう付ける？
番組の答えは「全部は直せない」でした。危険度で優先順位を付け、使っていない部品や危険度が低いものは「今回は対応しない」と判断する企業も多いそうです。
ホームページに置き換えると、次のとおりです。
| 部品の状態 | 危険度 | 対応の目安 |
|---|---|---|
| 使っている部品に、悪用されやすい弱点が見つかった | 高い | 修正版があればすぐ更新。なければ止める・替えるを相談 |
| 使っている部品に、影響の小さい弱点が見つかった | 中くらい | 次の定期更新でまとめて対応 |
| 入っているが、もう使っていない部品 | 状態による | 直すより外すほうが早く安全なことが多い |
| そもそも入っていない部品の弱点 | なし | 対応不要（「入っていない」と言えることが大切） |
なぜ脆弱性を直すのに約90日もかかるの？
番組によると、企業が弱点を直すには一般的に約90日かかります。流れは4段階です。
ステップ1弱点を見つける
開発元の発表などで弱点を知ります。
ステップ2直すかどうかを判断する
影響と急ぎ具合を見極めます。ここだけで1〜3日ほどかかるそうです。
ステップ3直して、ほかが壊れないか確かめる
新しい部品がほかとかみ合うか、一つずつ確かめます。
ステップ4試しの環境で動かし、本番に反映する
練習用の環境で確かめてから本番へ。止められない銀行などでは90日でも早いほうだそうです。
プラグインの更新でお問い合わせフォームが止まることもあります。そのためフロンティアでは、表示や機能が崩れないかを確かめてから反映することを基本にし、不安があれば理由と代わりの方法を添えて「今はおすすめしません」とお伝えします。
番組では、弱点のある部品だけを直し、サービスを止めずに更新する考え方も「新車に替えず整備工場で直す」とたとえていました。
まずやることは？部品リスト（SBOM）とは何か
▶ ひとことで言うと
SBOM（エスボム）とは、ソフトウェアにどんな部品が、どのバージョンで入っているかをまとめた「部品リスト」のことです。食品の原材料表示のようなものです。
番組で、企業がまずやることとして挙げられたのが部品リストを作ることでした。事故のとき「その部品を使っているか」をすぐ判断できます。
「どの部品のどのバージョンが狙われたか」まで説明できてはじめて説明責任を果たせる、との指摘もありました。
WordPressの脆弱性に備える「小さな会社版の部品リスト」とは？
ホームページも部品の組み合わせです。WordPressなら、WordPress本体・テーマ（デザインのひな形）・プラグイン（機能を足す追加ソフト）・PHP（サーバー側のプログラム）が主な部品です。
WordPressは世界のWebサイトの39.5%で使われています（2026年11月3日時点）。セキュリティ企業Patchstackのレポートでは、2025年にWordPressの関連ソフトで見つかった新しい弱点の91%がプラグインでした。あとから足した部品ほど、把握する価値があるのです。
表計算ソフト1枚で始められます。
| 部品名 | 種類 | 今のバージョン | 使っているか | 誰が更新するか | 最後に更新した日 |
|---|---|---|---|---|---|
| WordPress | 本体 | 管理画面に表示された番号 | 使っている | 制作会社 | 年月日を記入 |
| （使っているテーマ名） | テーマ | 同上 | 使っている | 制作会社 | 年月日を記入 |
| （お問い合わせフォームのプラグイン） | プラグイン | 同上 | 使っている | 制作会社 | 年月日を記入 |
| （昔のキャンペーン用のプラグイン） | プラグイン | 同上 | 使っていない | 外すか相談 | 年月日を記入 |
| PHP | サーバー | 系列まで記入（例：8.3系）。サポート期限も書く | 使っている | 共用サーバーはサーバー会社が直す場合あり。切り替えは契約者・制作会社 | 年月日を記入 |
フロンティアでは、お客様への確認は画面を見れば答えられることだけにしています。部品リストも「部品名」「使っているか」は社内、「バージョン」は制作会社と分けると続けやすくなります。
AI活用部品リストづくりを、AIに手伝ってもらう
プラグイン一覧の名前と番号をChatGPTやClaudeに貼り、「部品名・種類・バージョンの表にして」と頼めば下書きができます。パスワードやお客様の情報は貼らないようにしましょう。
WordPressの基本は「WordPressとは？初心者向け導入ガイド」、プラグイン選びの考え方は「WordPressプラグインのおすすめ：必須ツールとその活用法」でも紹介しています。
PHPとは？2026年10月21日公表のPHPの脆弱性「PHP2shell」から何を学ぶ？
▶ ひとことで言うと
PHP（ピーエイチピー）とは、サーバーの中でWordPressを動かしているプログラムのことです。WordPressを車にたとえると、エンジンにあたる部品です。
2026年10月21日、PHPの開発元が外から勝手にプログラムを動かされるおそれのある弱点（通称「PHP2shell」）を公表し、修正版を出しました。翌22日にはJPCERT/CCとIPAが注意喚起を出し、悪用を試みる通信も報告されています。
弱点の深刻度（10点満点）
9.2
PHP公式
修正版
8.2.35／8.3.36
8.4.27／8.5.12
10月21日公開
PHP 8.2系のサポート終了
2026年12月31日
PHP公式
番組の考え方に沿うと、まずは「自社サイトはどのPHPで動いているか」の確認からです。共用のレンタルサーバーでは、サーバー会社が修正し「急いでPHPのバージョンを変える必要はない」と告知した例があります。一方、VPS（自分で管理する借りたサーバー）は契約者が更新するよう案内されていました。同じPHPでも、誰が直すかは契約の形で変わるのです。PHPの開発元からは、サポートが終わった8.1以前の修正版は出ません。
これから起きそうなこと
- PHP 8.2系は2026年12月31日でサポート終了。以後は開発元の修正版が出ません（8.3系は2027年末まで）。
- WordPress公式はPHP 8.3以上を推奨。古いままだと、新しいプラグインが使えない場面が増えそうです。
- JPCERT/CCは、今後攻撃が広がる可能性があるとしています。AIで弱点が見つかる速さが上がれば、急ぎの更新はこれからも起こりうるでしょう。
中小企業が気をつけること
- PHPの系列（例：8.3系）とサポート期限を部品リストに書く
- 8.2系以前なら、切り替えの計画を早めに立てる
- 共用サーバーかVPS・自社サーバーかを確かめ、誰が更新するか決める
- 切り替えは番組の4段階と同じく、試しの環境でフォームなどの動きを確かめてから
制作会社に任せている場合、何を確認すればいい？
「数珠つなぎ」はホームページでも起こります。任せている場合は、次の4つを聞いておくと安心です。
- 部品（本体・テーマ・プラグイン・PHP）の一覧をもらえるか
- 大きな弱点が公表されたとき、誰が影響を調べて、どう連絡してくれるか
- 更新の前に、表示や機能を確かめる手順があるか
- サーバーとドメインの契約者は誰か
弊社で管理していないサーバーは、契約者のお客様から問い合わせていただくようご案内しています。セキュリティの基本は「WEBセキュリティの基本：企業が知っておくべき重要な対策」、不具合の見分け方は「WordPressのトラブルシューティング完全ガイド」もあわせてご覧ください。
すぐ使える：脆弱性に備える部品リストのチェックリスト
- 自社サイトの部品（本体・テーマ・プラグイン・PHP）を一覧にしたか
- PHPの系列がサポート期間内か（8.2系は2026年末まで）確かめたか
- 使っていない部品を外すか相談したか
- 部品ごとに「誰が更新するか」が決まっているか
- 最後に更新した日が、ここ1〜2か月以内になっているか
- 弱点が公表されたときの連絡の流れを決めているか
- 更新のあと、トップページとお問い合わせフォームの動きを確かめているか
- サーバー・ドメインの契約者と更新日がわかっているか
よくある質問：脆弱性と部品リスト（SBOM）
まとめ
▶ 自社サイトの部品、いくつ言えますか？
フロンティアは名古屋を中心に、中小企業のホームページ制作・保守とAI導入を支援しています。
「サイトに何が入っているか確かめたい」「うちのPHPは何系？」「切り替えたらサイトが崩れないか心配」など、PHPのバージョンアップや対応にお困りでしたら、お気軽にご相談ください。今の状態を確かめたうえで、無理のない進め方をご提案します。
※出典：番組の数字と部品リスト（SBOM）の考え方はPIVOT「脆弱性は見つかっても直せない」（2026年10月29日公開、レッドハット提供）をフロンティアがまとめ直したもの。WordPressの利用割合はW3Techs、弱点の割合はPatchstack「State of WordPress Security in 2026」。PHPの弱点（CVE-2026-109618／109619）・修正版・深刻度・サポート期限はPHP公式（php.net）、JPCERT/CC注意喚起（JPCERT-AT-2026-0033）、IPA「PHPの脆弱性対策について」、推奨PHPはWordPress公式「Requirements」、レンタルサーバーの対応はエックスサーバーの告知によります。いずれも2026年11月3日に確認しました。