鉄道も市役所もサイトを止めた「PHPの脆弱性」｜塾のホームページは関係ある？

2026年10月21日の夜から、関西の鉄道会社、市役所、大学などのホームページが次々と「一時休止」になりました。原因は、ホームページを動かすプログラム「PHP」に見つかった重大な脆弱性（弱点）です。塾のホームページの多くも、このPHPで動いています。

先に結論を書くと、ほとんどの塾は、慌てて何かをする必要はありません。 ただ、一部の塾は自分で確かめる必要があります。そして一番困るのは、自分の塾がどちらに当たるのかを塾長が分かっていないことです。この記事では、何が起きたのか、塾長が確かめてほしい3つのこと、そして今回のことから考えたい「塾として大切なこと」を整理します。

YouTube：「PHPの脆弱性」問題を解説｜塾のホームページは関係ある？ https://youtu.be/VP_q0uSJ30Q

何が起きたのか

PHPは、ホームページの「エンジン」

PHPは、ホームページを動かすためのプログラムの言語です。塾のホームページでよく使われているWordPress（ワードプレス）も、PHPで動いています。車にたとえると、WordPressが車体や運転席で、PHPがエンジンです。WordPressで作った塾のホームページは、裏でこのエンジンが動いています。

重大な弱点が2つ、深刻度は9.2

今回、そのエンジンの部分に重大な弱点が2つ見つかりました（CVE-2026-109618／CVE-2026-109619、通称「php2shell」）。外からサーバーの中のプログラムを勝手に動かされるおそれがある種類のもので、深刻度は10点満点で9.2です。

10月21日に修正版（8.5.12／8.4.27／8.3.36／8.2.35）が公開され、22日にはIPA（情報処理推進機構）も注意喚起を出しました。これを受けて、エックスサーバー、ロリポップ、さくらといった大手のサーバー会社が緊急メンテナンスに入りました。管理画面が一時的に使えなくなっていたのは、このためです。

止めたのは「被害」ではなく「予防」

関西では、京阪・阪急・阪神・南海の私鉄4社が公式サイトを一時休止し、大阪府や守口市、京都府精華町が住民向けサービスの一部を止め、龍谷大学が学外からのアクセスを止めました。ここで大事なのは、どこも「攻撃による被害ではなく、予防のための措置」としていることです。

実際に攻撃が始まっているのかについては、情報が分かれています。海外のセキュリティ会社の中には「攻撃の動きが出ている」とするところがある一方、IPAの注意喚起には攻撃を確認したという記述はありません。怖がりすぎず、でも放っておかない。これくらいの距離感がちょうどいいと思います。

PHPは、WordPressの自動更新では直らない

もう一つ大事な事実があります。PHPの更新は、WordPressの自動更新では行われません。 WordPressの画面で「更新」ボタンを押しても、エンジンのPHPは入れ替わりません。PHPを直すのは、サーバーを管理している人です。

塾長が確かめてほしい3つのこと

上から順に見ていくと、「うちは何もしなくていい」と分かる塾も多いはずです。

① ホームページはWordPressで作られていますか？

管理画面に入るときのアドレスが「…/wp-admin」や「…/wp-login.php」で終わっていれば、WordPressです。Wix・ペライチ・Jimdoなどのサービスで作っている場合は、サービス会社がまとめて管理しているので、塾長の作業は基本的にありません。

② サーバーは、どこと契約していますか？

エックスサーバー・ロリポップ・さくらのような大手のレンタルサーバーなら、PHPの修正はサーバー会社が行います。実際、22日の朝には、エックスサーバーとさくらが修正を終えたと発表しています。

一方、制作会社が自社のサーバーで管理しているケースもあります。この場合、対応したかどうかが塾長からは見えません。「どこか分からない」という場合も、ここに入ります。

③ PHPのバージョンは8.2以上ですか？

今回、修正版が出たのは8.2から上のバージョンです。8.1以前はサポートが終わっていて、IPAも「今回の修正は提供されない」としています。サーバー会社によっては古いバージョンにも独自に手当てをしているところがありますが、さくらは利用者に「PHP 8.3への切り替え」を呼びかけています。古いまま使い続ける理由は、もうないということです。

PHPのバージョンは、WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」と開くと確かめられます。

ここに落とし穴があります。PHPのバージョンを利用者が選べるサーバーでは、何年も前に作ったまま、古いPHPで動いていることがあるのです。実際、スマ塾の無料ホームページ診断に申し込んでくださった塾のサイトを外から確認できる範囲で見たところ、確認できた25件のうち19件がWordPressでした。PHPのバージョンが見えたサイトの中には、5.6と7.4という、どちらもサポートが終わった古いバージョンのものが1件ずつありました。もちろん、これだけで「危ない」とは言えません。ただ、「うちは関係ない」と思っている塾の中にも、確かめたほうがいいところはあります。

古いPHPのバージョンを上げるときは、注意が一つあります。古いテーマやプラグインのままバージョンだけ上げると、ホームページの表示が崩れることがあります。自分で触る前にバックアップを取るか、作った人に頼むのが安全です。

今回とは別に：プラグインの更新

WordPressで見つかる弱点の多くは、PHP本体ではなくプラグインです。こちらはサーバー会社は直してくれません。ダッシュボードの「更新」で更新が残っていないかを見て、使っていないプラグインは止めるだけでなく削除しておくと安心です。

塾として大切なこと：ホームページの「鍵」を塾長が持っておく

教室の鍵を、業者さんしか持っていない塾はないはずです。ところがホームページになると、意外とそうなっている塾が多いのです。

• 作ってもらったけれど、サーバーがどこか分からない
• 管理画面のパスワードを、制作会社しか知らない
• 作った人に、最近連絡がつかない

こうした状態は、今回のようなことが起きたときに一番困ります。危ないかどうか以前に、確かめようがないからです。実はIPAも今回の注意喚起の中で、保守の体制や予算を確保できない場合は、保守を受けられるものへの移行や、公開の終了も含めて検討するよう書いています。放っておかれたホームページは、それくらい重く見られているということです。

持っておきたい鍵は、3本です。

1. サーバーの契約：どこのサーバー会社と、誰の名義で契約しているか
2. 管理画面に入る方法：塾長自身が、いつでも入れる状態か
3. すぐ頼める人：何かあったときに、返事をくれる制作会社や担当者がいるか

塾のホームページには、問い合わせフォームや体験の申込フォームがあり、保護者のお名前や電話番号、お子さんの学年が入ってきます。塾はホームページを通じて、保護者の大事な情報を預かっているのです。ホームページは「作って終わり」の看板ではなく、教室と同じように塾長が責任を持って管理する場所だと考えています。今回のニュースを、年に1回「この3本の鍵を確かめる日」にしていただけたら、それだけで塾の守りはかなり変わります。

制作会社に確かめるときは、次のように送れば十分です。

10月21日に公表されたPHPの脆弱性について、当塾のホームページのサーバーは対応済みでしょうか。あわせて、いま使っているPHPのバージョンと、WordPress・プラグインの更新状況を教えていただけますと助かります。

まとめ

• 10月21日、PHPに重大な脆弱性が見つかり、修正版が出た。大手のレンタルサーバーなら修正はサーバー会社が行うので、多くの塾は慌てなくてよい
• WordPressで作っていて、サーバーが制作会社の管理だったり、どこか分からなかったりする場合、そしてPHPのバージョンが8.1以下の場合は、確かめる必要がある
• 一番大切なのは、ホームページの鍵（サーバーの契約・管理画面・頼める人）を塾長が把握しておくこと

塾のHP 5分チェックリスト（無料）

この記事の内容を、塾長が5分で確かめられるチェックリスト（A4・2ページ）にまとめました。WordPressかどうかの見分け方、PHPのバージョンの見方、制作会社に聞くときの文例まで入っています。スマ塾の無料ホームページ診断からお申し込みいただくと、チェックリストをメールでお送りします（ご希望の方には、ホームページを外から確認した診断レポートもお付けします）。こちらからお電話をかけることはしません。

なお、スマ塾が作るホームページは、PHPやWordPressを使わない作りです。今回のような「サーバーのPHPを急いで更新する」作業が、そもそも要りません。

※この記事は2026年10月22日時点の公開情報をもとにしています。サーバー会社の対応は変わることがあるので、最新の情報はご契約のサーバー会社のお知らせでご確認ください。

参考資料

• IPA（情報処理推進機構）「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
• MBSニュース「さくらインターネットや関西私鉄4社、自治体などがwebサービス停止」（2026年10月22日）https://news.yahoo.co.jp/articles/28bc47a13b015d2d24ef635e5b33b1bde304f519
• Tenable「php2shell（CVE-2026-109618／CVE-2026-109619）FAQ」https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
• エックスサーバー「PHPのバージョンについて」https://www.xserver.ne.jp/manual/man_program_php_ver.php

この記事は塾にどう効くか

保護者への説明材料になるか

直接の説明材料にはなりません。保護者から聞かれる話題ではないからです。

ただ、塾のホームページの問い合わせフォームには、保護者の名前や電話番号が入ってきます。「保護者の情報を預かる場所として管理している」と言える状態にしておくことは、塾の信頼そのものです。

塾のホームページ運営への影響

あります。WordPressの塾は、記事の手順（WordPressか→サーバーはどこか→PHPは8.2以上か）で一度確かめてください。古いPHPを上げるときは、表示が崩れることがあるので、バックアップを取るか作った人に頼むのが安全です。

あわせて、サーバーの契約・管理画面に入る方法・すぐ頼める人という「3本の鍵」を塾長が把握しているかを見直す機会にしてください。年に1回確かめる日を決めておくだけでも、次に同じことが起きたときに慌てずに済みます。

発信のネタとして使えるか

塾の発信のネタとしては、あまり向きません。保護者にとっては関心の薄い技術の話だからです。

それよりも、「ホームページを作ったあと誰が管理しているか」を塾の中で確かめておくことのほうが大切です。制作会社に確かめるときの文例は、記事の中に載せています。