この記事でわかること
- PHPの脆弱性で、使うだけの人がすること・しなくていいこと
- 心配だった僕が、パソコン・ルーター・ブログで実際に確かめた結果
- Wi-Fiやスマホの電源を切っても意味がない理由
- 立場別（使うだけ・ブログを持っている・家族が不安がっている）の判断表
2026年10月21日の夜から、「PHPの脆弱性」のニュースが一気に広がりました。首相がXで対策を呼びかけ、有名なサービスが次々に止まりました。何が起きているのか分からず、不安になった人もいると思います。
僕も心配になった一人です。僕の場合＝40代の夫婦2人暮らしで、使っているのはスマホとパソコン、家のWi-Fi。それに、このブログ（WordPress）をレンタルサーバーで動かしています。詳しくないので、AIに頼んで、うちに関係する所を1つずつ確かめてもらいました。
先に答えを言うと、スマホやパソコンを使うだけの人が、今回のために特別にすることはほとんどありません。Wi-Fiを切ったりスマホの電源を落としたりしても、欠陥は直りません。直すのはサイトを運営している側です。うちで対策が要ったのは、ブログのバックアップを残すことだけでした。
先に、この記事に出てくる言葉をざっくり解説
- PHP：Webサイトを動かすためのプログラムの言葉。サイトを置いている側（サーバー）で動いていて、スマホやパソコンの中には入っていないのがふつう
- 脆弱性：プログラムの欠陥。悪用されると、サイトを乗っ取られたり情報が漏れたりする
本文では、点線の付いた言葉を押すと、その場で解説が開きます。
結論｜使うだけの人は、特別にすることはほぼない
今回の欠陥は、PHPというプログラムそのものにあります。PHPが動いているのは、ネットショップやWebサービスのサーバーです。だから、直すのはサイトを運営している会社やエンジニアです。
使う側が家のWi-Fiを切っても、スマホの電源を落としても、サーバーの欠陥は直りません。Yahoo!ニュースの記者の解説でも、こうした自衛策は「おおむね的外れ」とされていました。
なぜ、こんなに大騒ぎになった？
欠陥が見つかること自体は珍しくありません。ふつうは、欠陥の情報と直した版がほぼ同時に出ます。今回は、直した版が出る前に欠陥の情報が漏れました。そのため、被害を防ごうと、子ども施設向けのアプリやゲームなど有名なサービスが先回りして止まり、首相の呼びかけも重なりました。
サービスが止まっていたのは、運営する会社が早めに動いた結果です。止まっていた＝被害にあった、という意味ではありません。
出典：Yahoo!ニュース エキスパート（岡田有花）「PHP脆弱性」スマホの電源を切っても意味なし／ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請」
心配だった僕が、実際に確かめた4つ
頭では分かっても、うちは本当に大丈夫なのかが気になりました。そこで2026年10月23日に、うちに関係しそうな所をAIに順番に見てもらいました。結果をまとめるとこうです。
| 確かめた所 | 結果 | やったこと |
|---|---|---|
| パソコン | パソコンにPHPは入っていなかった | なし |
| 家のWi-Fiルーター | 今回の欠陥とは関係なし | ついでに版を見た |
| このブログ | サーバー会社が10月22日に修正済み | お知らせと中身を確認 |
| ブログのバックアップ | 5回分しか残らない設定だった | 騒ぎの前の分を別の場所へ |
①パソコン：何もしなくてよかった
まずは毎日使うパソコンです。PHPは、Webサイトを作る人が使う道具です。うちのパソコンを調べてもらうと、PHPは入っていませんでした。サイトを作っていない人のパソコンにも、ふつうは入っていません。
スマホのアプリやOSの更新は、いつもどおりで大丈夫です。今回の欠陥とは別の話ですが、更新を溜めないのは普段からの備えになります。
②家のWi-Fiルーター：関係なかったけど、版は見ておいた
次に「ルーターは大丈夫か」が気になりました。うちはTP-LinkのArcher AX3000を自分で買って使っています（レンタルにしなかった理由は光回線のルーターはレンタル不要？に書きました）。調べると、今回の欠陥で製品名が挙がったのは、企業向けのネットワーク機器でした。家庭用ルーターが影響を受けるという話は、見つかりませんでした。
ただ、ルーターは2024年4月の開通工事の日に業者さんが設定してくれたまま、2年半触っていません。せっかくなので、ルーターの中のソフト（ファームウェア）が古くないかも見ました。
設定画面の管理パスワードは、業者さんが決めたので分かりません。それでも、ログイン画面のいちばん下に版が出ていました。入っていたのは「1.2.2 Build 20241118」。2024年11月の版です。公式の最新（2026年2月公開の1.2.3）ではなく、1つ前でした。
開通は2024年4月なので、設定してもらった後に、ルーターが自分で更新したとみられます。2024年6月に公表されたこの機種の欠陥（1.1.3より前が対象）も、直っている版でした。管理パスワードが分からないので、最新版への更新はまだしていません。
③このブログ：サーバー会社のお知らせが答えだった
僕に直接関係があったのは、このブログです。WordPressはPHPで動いているので、まさに今回の対象でした。
ブログを置いているレンタルサーバー（ConoHa WING）のお知らせを見ると、10月22日の20時45分の時点で「提供中のすべてのPHPバージョンにセキュリティパッチを適用」したと出ていました。使っている人がPHPの版を変える必要はない、という案内です。
ひとつ紛らわしいのが、版の番号です。WordPressの管理画面では、PHPは「8.4.26」と出ていました。直った版は「8.4.27」と報道されていたので、番号だけ見ると古いままに見えます。
これは、サーバー会社が番号を変えずに修正を入れたためです。ConoHaのお知らせにも、管理画面には前と同じ番号が出る場合がある、と書かれていました。
念のため、知らない管理者が増えていないか、見覚えのない追加プログラム（プラグイン）がないかもAIに見てもらいました。管理者は僕1人のままで、プラグインも全部見覚えのあるものでした。
④バックアップ：消える前に、騒ぎの前の分を残した
対策が要ったのは、ここだけです。ブログは毎日自動でバックアップを取っていますが、残るのは5回分だけの設定でした。古い分から順に消えていきます。
今回は、直した版が出る前に欠陥の情報が漏れていました。サーバー会社の修正が終わったのは22日の夜です。その間に取ったバックアップは、念のため「安全」とは言い切れません。
そこでAIに頼んで、騒ぎの前の10月20日のバックアップを、自動で消えない別のフォルダにコピーしてもらいました。5ファイルで約233MBです。
やっても意味がないこと・やっておくといいこと
SNSでは、いろいろな「自衛策」が出回りました。今回の欠陥に効くかどうかで分けると、こうなります。
意味がない：Wi-Fiやスマホを止める
- 家のWi-Fiを切る
- スマホの電源を落とす
- ルーターの電源を抜いておく
欠陥はサーバー側にあるので、使う側の機器を止めても直りません。ネットが使えなくなって困るだけです。
やっておくといい：普段どおりの備え
- 同じパスワードを、いくつものサイトで使い回さない
- 大事なサービス（ネットバンク・通販・メール）は二段階認証にしておく
- 止まっているサービスは、公式のお知らせが出るまで待つ
- ルーターなどの機器は、電源を切るのではなく、メーカーの更新が出ていれば入れる
どれも、今回の欠陥を直すものではありません。もし使っているサイトから情報が漏れても、被害を広げないための備えです。
騒ぎに便乗した連絡に注意
大きなニュースのあとは、それに便乗したメールやSMSが出やすくなります。「PHPの対策が必要です」などと、リンク付きで届いた連絡は押さないでください。気になるときは、自分で公式サイトを開いて確かめます。
反対に：「何もしなくていい」とまでは言い切れない
使う側にできることは少ない、というのは本当です。ただ、どこかのサイトが実際に攻撃されていた場合、そこに登録した情報が漏れることはあります。漏れたかどうかの発表は、あとから出てくることもあります。
なので、よく使うサービス（通販・ネットバンクなど）のお知らせは、しばらく気にかけておくのが安心です。
立場別：自分はどれにあてはまる？
することは、ネットとの関わり方で変わります。僕は「使うだけ」と「ブログを持っている」の両方でした。
| 立場 | すること |
|---|---|
| スマホ・パソコンを使うだけ | 特別なことはなし。パスワードの使い回しをやめ、止まったサービスは公式の案内を待つ |
| ブログ・ホームページを持っている（レンタルサーバー） | サーバー会社のお知らせを見る。バックアップが騒ぎの前の分まで残っているか確かめる |
| お店や会社のサイトを任されている | 制作会社やサーバー会社に、対応が済んだかを確かめる |
| 親や家族が不安がっている | スマホやWi-Fiを止めなくていいと伝える。便乗したメールのリンクを押さないよう声をかける |
PHPの脆弱性でよくある疑問
Q. 使っているサイトが止まっていた。情報は漏れた？
止まっていただけで、漏れたとは限りません。今回は、被害を防ぐために先回りで止めたサービスがいくつもありました。漏れていた場合は、運営する会社から発表があります。それまでは公式のお知らせを待ちます。
Q. 全部のサイトのパスワードを、今すぐ変えたほうがいい？
一斉に変えても、今回の欠陥は直りません。意味があるのは、使い回しをやめることです。同じパスワードをいくつものサイトで使っているなら、大事なサービスから別々のものに変えておきます。
Q. WordPressを更新すれば直る？
直りません。欠陥はWordPressではなく、その下で動いているPHPにあります。直すのはサーバー側のPHPです。レンタルサーバーなら、サーバー会社が直します。
Q. レンタルサーバーで古いPHPを選んでいる。大丈夫？
PHPの開発元がふつうの修正版（8.4.27など）を出したのは、8.2〜8.5です。8.1以前はサポートが終わっていて、最小限の修正だけでした。サーバー会社ごとに対応が違うので、自分の契約先のお知らせで、使っている版が直ったかを確かめます。ConoHa WINGは、提供中のすべての版を直したと案内していました。
出典：ConoHa WING「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」／JVN「JVNVU#99784493」／TP-Link 日本「Archer AX3000 V1 のダウンロード」
まとめ｜PHPの脆弱性、使うだけの人は慌てなくていい
- 欠陥はサーバー側のPHPにあり、直すのはサイトを運営する側
- Wi-Fiやスマホの電源を切っても、欠陥は直らない
- 使う側の備えは、パスワードの使い回しをやめることと二段階認証
- うちで対策が要ったのは、ブログのバックアップを残すことだけ
- 家のルーターは関係なし。最新ではないが、開通後の版には上がっていた
あわせて読みたい関連記事
コメント