【緊急】PHPに重大な脆弱性｜ECサイト・企業サイトのリスクと対策方法を解説

PHP修正パッチ適用・バックアップ・動作確認まで、TENKI-JAPANが100,000円（税別）／1サイト・1環境で一括支援

2026年10月22日更新

「自社サイトは対策済みなのか」「PHPを更新すると、購入や問い合わせに影響しないか」。今回のPHP脆弱性で、こうした不安を感じているサイト運営者もいるでしょう。修正パッチはすでに公開されています。大切なのは、自社の環境への適用状況と、更新後の表示・機能を確認することです。

TENKI-JAPAN（株式会社天喜ジャパン）では、標準料金100,000円（税別）／1サイト・1環境で、バックアップ、必要なパッチの適用、作業前後の確認、パッチに伴う不具合の修正を、合意した範囲でまとめて支援します。

PHPに何が起きたのか

PHPは、WordPressやECシステムなどで、ページの生成やデータベースとのやり取りを担うソフトウェアです。2026年10月21日、PHP公式はCVE-2026-109618とCVE-2026-109619の修正を公開しました。影響する環境では、ログインしていない攻撃者にサーバー上で不正なプログラムを実行されるおそれがあります。PHP公式勧告

公式の修正版は8.2.35、8.3.36、8.4.27、8.5.12です。サーバー会社やOSベンダーが既存のバージョンに修正を取り込む場合もあるため、番号だけで判断せず、今回の2件への対策が適用済みか確認します。

国内ECサービスへの影響と対応状況

国内でも、予防措置や緊急メンテナンスによる利用停止が案内されました。以下は利用への影響をまとめたもので、感染が確認されたサービスの一覧ではありません。

※2026年10月22日16:50（日本時間）確認。最新の状況は各社の案内をご確認ください。

ECのミカタの公開ページは、重大なソフトウェア脆弱性への予防措置と説明し、関連する不正アクセス・情報漏えいは確認していないとしています。公開ページにはPHP名や上記の終了予定の詳細はなく、約1週間という期間は受領通知に基づく予定です。停止や長期メンテナンスだけで、不正アクセスや情報流出を断定することはできません。

また、TBS NEWS DIGの10月21日22:48配信記事によると、高市早苗首相はXで速やかな修正適用への準備を呼びかけ、適用が難しい場合には一時停止も選択肢になるという趣旨を発信しました。修正版公開前の呼びかけであり、現在は実際の適用状況を確かめる段階です。

サイト運営者が確認したい3つのこと

1. どこでPHPを使っているか。 自社サイト、フォーム、独自EC、別サーバーの機能も含め、サーバー管理会社・制作会社に確認します。レンタルサーバーでは更新担当と契約範囲、ASP型ECでは提供会社の基盤対応と自社が管理する連携部分を分けて確認してください。
2. 今回の2件に対策済みか。 「更新予定」だけでなく、適用日時、修正内容、実際に稼働するPHPへの反映を確認します。古い系列は、提供元の修正やサポート中の環境への移行について確認が必要です。PHPのサポート情報
3. 更新後も重要機能が動くか。 PC・スマートフォンで表示を見比べ、ログイン、検索、カート、購入、フォームなどを確認します。本番注文や顧客データに影響する検証は、実施方法を管理者と合意します。

WordPress本体・プラグインの更新と、サーバーで動くPHPの更新は別の作業です。「WordPressは最新版」という回答だけでは、PHP脆弱性対策の完了は分かりません。

PHP更新にはバックアップと動作確認が必要です

PHPアップデートでは、既存プログラムやデータベース接続との相性により、表示や処理に問題が生じる場合があります。商品ページが正常でも、カートや問い合わせ送信だけが動かないケースも考えられます。PHP更新前のバックアップと復元準備を行い、更新後の業務上重要な機能まで確かめることが必要です。

一方、パッチ適用や画面比較は、感染調査ではありません。 パッチだけでは、すでに置かれた不正コードや不正アカウント、盗まれた認証情報を解消できません。不審な転送、ファイル改変、見知らぬ管理者などがある場合は、記録を残し、ログや不審なファイルを自己判断で削除せず調査を相談してください。WordPress公式の侵害対応ガイド

PHP緊急対応パック｜100,000円（税別）／1サイト・1環境

TENKI-JAPANのPHP緊急対応パックは100,000円（税別）／1サイト・1環境。次の6段階で対応します。

1. 環境確認： PHP、サイト構成、管理範囲を確認し、対象可否と作業範囲を整理します。
2. バックアップ： 対象のファイル・データベース・関連設定を保存し、復元手順を確認します。
3. パッチ適用と反映確認： 必要なPHPセキュリティパッチを適用し、実際の稼働環境への反映を確認します。
4. 既存環境との適合・連携確認： 既存プログラムとの互換性やデータベース接続を確認します。
5. PC・スマートフォンでの確認： 合意した主要ページを作業前後で比較し、購入や問い合わせなどの主要機能を確認します。
6. 作業報告： 実施内容、確認結果、残る課題をお伝えします。

合意したサイト範囲内で、パッチ適用によって生じた表示崩れや機能不具合は、必要に応じた修正まで含みます。

標準料金は1サイト・1環境が対象です。技術担当が構成と必要な作業を確認し、対象可否、確認項目、修正範囲を事前に合意します。大規模な書き換え、旧システム全体の移行、複数サーバーへの対応、感染除去・詳細な侵入調査は標準範囲に含みません。対象範囲の異なる作業は、着手前に内容と費用をご案内します。サーバーやECプラットフォームの管理形態により、当社で直接修正できない場合があります。対応可否と実施時期は事前確認のうえご案内します。

ご相談から作業完了までの流れ

1. お問い合わせ： サイトURL、管理会社、気になる症状をお知らせください。
2. 環境確認・作業範囲の合意： 技術担当が対象可否、バックアップ方法、確認する機能、費用や作業条件を確認します。
3. 作業実施： 合意後にバックアップ、パッチ適用、動作確認、必要な修正を行います。
4. 結果報告： 実施内容と確認結果、継続して対応が必要な点をご案内します。

お問い合わせだけで契約は成立しません。作業範囲と条件をご確認いただいたうえで進めます。

侵入・感染が疑われるサイトは詳細調査と復旧を

予防のための更新、侵入が疑われる状態、感染が確認された状態では、必要な対応が異なります。TENKI-JAPANでは、詳細調査と復旧を一体で行うサービスもご案内します。多くのWebサイトでは500,000〜1,500,000円が目安で、ご依頼に応じて個別にお見積もりします。作業範囲、税額・税込総額を含む条件は、個別のお見積書でご案内します。

残された証拠から侵入経路や影響範囲を調べ、不正コードの除去・修復、必要に応じた再構築、原因の修正、認証情報や権限の回復、合意した復旧箇所の確認を組み合わせます。費用は構成と被害範囲によって異なり、提示額は全サイト共通の上限ではありません。

PHP緊急対応についてよくある質問

PHPを使っているか分からなくても相談できますか？

はい。サイトURLと、分かる範囲でサーバー提供会社・管理会社をお知らせください。専門的な情報をすべて揃える必要はありません。

WordPressのサイトも対象ですか？

WordPressはPHPを使用します。対象可否はPHPの構成、テーマ・プラグイン、管理権限などを確認して判断します。WordPress本体の更新だけでPHPの修正が済むとは限りません。

楽天市場やAmazonの出店者もPHP更新が必要ですか？

提供会社が管理するモール基盤の更新は、その提供会社の対応を確認します。自社で運用する企業サイト、独自EC、フォームや連携システムのPHPは、別に確認してください。

パッチを適用すれば、過去の侵入や情報流出もなかったと分かりますか？

分かりません。パッチは報告された脆弱性を修正するもので、過去に侵入がなかったことの証明にはなりません。流出済みデータによる被害を取り消すこともできません。

どんなサイトでも標準料金ですべて直せますか？

標準料金は100,000円（税別）／1サイト・1環境で、対象環境と作業範囲の事前確認が必要です。合意範囲内のパッチに伴う表示・機能の修正は含みますが、大規模改修や感染調査・復旧を無制限に含むものではありません。

自社サイトの対策状況を確認し、必要な対応を進めましょう

Webサイトのセキュリティ対策では、管理会社と連携し、今回の修正が適用済みか、購入や問い合わせが正常に動くかを確認することが大切です。ECサイトのセキュリティと営業への影響を考え、分からない点から整理して進めてください。