PHPとは、WebサイトやWebアプリのサーバー側で動くオープンソースのスクリプト言語で、正式名称は「PHP: Hypertext Preprocessor」。
HTMLに埋め込んで動的なページを生成する用途で特に広く使われています。
PHPでできること
• ユーザーごとに異なるページを表示する（例：ログイン後のマイページ）
• フォーム送信の受付や、データベースへの保存・検索
• 会員登録、ECサイト、ブログ、管理画面などのWebアプリ構築
• WordPress、Wikipedia、多くのオンラインショップなどで利用されるシステムの開発
PHPはサーバー上で実行され、ブラウザはPHPコードそのものを受け取るのではなく、PHPが生成したHTMLなどの結果を受け取ります。
JavaScriptとの違い
| 項目 | PHP | JavaScript |
| 主な実行場所 | Webサーバー | 主にブラウザ |
| 主な役割 | ページ生成、DB処理、認証など | 画面操作、入力チェック、非同期通信など |
| 典型例 | 会員データの保存・検索 | ボタン押下時の画面更新 |
PHPとJavaScriptは対立するものではなく、PHPでサーバー側の処理を行い、JavaScriptでブラウザ側の操作を担う構成も、Web開発でよく使われます。
また、JavaScriptもNode.jsなどを利用すれば、サーバー側で実行できます。
PHPの特徴
• オープンソースで、原則として無料で利用でき、開発・保守はコミュニティなどによって行われている。
• HTMLとの親和性が高く、小規模なWebサイトから大規模なWebアプリまで幅広く開発できる。
• データベースとの連携が容易で、MySQLやPostgreSQLなどと組み合わせて利用される。
• WordPressの基盤技術として使われているほか、LaravelやSymfonyなどのフレームワークを活用した開発も盛ん。
PHPの脆弱性とは？
2026年10月21日、PHPの開発元は、重大な脆弱性2件を修正するセキュリティアップデートを公開しました。
対象となる脆弱性は「CVE-2026-109618」と「CVE-2026-109619」で、この2件は「PHP2shell」と呼ばれる攻撃手法に関連していて、いずれもCVSS 4.0で9.2の「Critical（緊急）」と評価されています。
1件目はメモリ不足（OOM）のエラー処理に関する問題、2件目はリクエスト処理におけるメモリ管理などに関する問題です。
これらの脆弱性を悪用されると、認証されていない第三者がサーバー上で任意のコードを実行するおそれがあり、悪用された場合、情報漏えいやWebサイトの改ざんなどにつながる可能性があります。
PHPはWordPressをはじめ、多くのWebサイトやWebアプリで利用されているため、影響を受ける環境では速やかな対策が重要です。
修正されたPHPのバージョン
PHPの開発元が公開した修正版は、次のとおりです。
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
これらは2026年10月21日に公開されました。
上記のバージョンより前のPHP 8.2系から8.5系は、今回の脆弱性の影響を受ける可能性があります。
また、PHP 8.1以前についても、脆弱性の影響を受ける可能性が報告されていて、古いバージョンを利用している場合は、修正プログラムの提供状況を確認し、サポート対象のバージョンへの移行を検討することが大切です。
利用者に必要な対策は？
基本となる対策は、脆弱性を修正したプログラムを適用することです。
自分でサーバーを管理している場合は、利用中のPHPのバージョンを確認し、開発元が案内する修正版への更新を検討しましょう。
一方、レンタルサーバーを利用している場合は、サーバー提供元が修正プログラムを適用することもあり、利用者が自分でPHPを更新する必要があるかどうかは、サービスや環境によって異なります。
まずは契約しているサービスの公式発表を確認し、案内に従って対応しましょう。
なお、PHPの開発元は10月23日にも、特定の設定とアプリケーションの組み合わせで発生し得る追加の問題について注意喚起しています。
通常の利用環境で必ず発生する問題ではありませんが、修正プログラムの適用後も最新のセキュリティ情報を確認することが大切です。
Webサイトの安全性を保つために
脆弱性への対応に加え、WordPress本体やプラグイン、テーマなどを適切に管理することも重要です。
また、管理画面への不審なログインや、見覚えのないユーザー、意図しないファイルの変更などがないか、必要に応じて確認しましょう。
Webサイトが正常に表示されていることだけでは、不正アクセスを受けていないとは断定できません。不審な点がある場合は、サーバー提供元などに相談し、必要に応じて調査を行うことが重要です。
PHPは、WordPressをはじめとする多くのWebサイトを支える重要な技術です。一方、重大な脆弱性が見つかった場合には、適切な対策が必要になります。
今回の脆弱性についても、利用中のPHPのバージョンやサーバー環境を確認し、開発元やサービス提供元の公式情報に基づいて対応することが大切です。
日頃からソフトウェアを適切に管理し、セキュリティ情報を確認する習慣をつけて、安全なWebサイト運営につなげましょう。
