PHPを更新しないとどうなる？ 放置されたWebサイトが犯罪の踏み台になる危険性

Webサイトを運営している方は、PHPのバージョンを定期的に確認していますか？

WordPressでブログを運営している場合、記事の更新やプラグインの管理には気を配っていても、PHPの更新はサーバー会社に任せたままというケースがあるかもしれません。

しかし、PHPの脆弱性を放置すると、Webサイトの改ざんや情報漏えいだけでなく、攻撃者にサーバーを乗っ取られ、第三者へのサイバー攻撃に悪用される危険性があります。

2026年10月には、PHPに重大な脆弱性が見つかり、修正プログラムの公開と早急な対策が呼びかけられました。

この問題から考えなければならないのは、現在運営しているWebサイトの安全性だけではありません。

管理されなくなった古いWebサイトや、更新されないままインターネット上に残っているサイトが、将来のサイバー犯罪の足場になる可能性があるということです。

この記事では、PHPを更新しないと何が起こるのか、放置されたWebサイトが犯罪に悪用される仕組み、そしてサイト運営者が取るべき対策を解説します。

1. 2026年10月に発覚したPHPの重大な脆弱性

2026年10月、PHPに重大なセキュリティ上の問題が発見されました。

問題となったのは、PHPのメモリ不足時のエラー処理などに関連する脆弱性です。

IPA（情報処理推進機構）は2026年10月22日、この問題について注意喚起を公表しました。

この脆弱性は「PHP2shell」と呼ばれており、悪用された場合、遠隔の第三者が任意のコードを実行できる可能性があります。

任意のコード実行とは、攻撃者が対象のコンピューター上で、自分の意図したプログラムを動かせる状態を指します。

つまり、単にWebサイトの表示を書き換えられるだけではありません。

サーバーの権限や構成などの条件によっては、ファイルの操作や不正プログラムの実行など、より深刻な被害につながる可能性があります。

PHP2shellの何が危険なのか

通常、Webサイトを閲覧するだけで、訪問者がサーバー上のプログラムを自由に実行できるわけではありません。

しかし、PHPそのものに重大な脆弱性がある場合、特定のリクエストを送ることで、認証を受けていない外部の攻撃者がサーバー上でコードを実行できてしまう可能性があります。

今回の問題では、PHPの脆弱性そのものが対象となっているため、WordPressを最新版にするだけでは対策になりません。

必要なのは、利用しているPHP環境に対して、適切な修正プログラムを適用することです。

2026年10月21日にはPHPのセキュリティリリースが公開され、PHP 8.5.12、8.4.27、8.3.36、8.2.35などで修正が提供されました。

ただし、その後も関連する脆弱性について情報が更新されているため、これらのバージョン番号だけを見て判断するのではなく、PHP公式サイトや利用中のサーバー会社が案内する最新の修正情報を確認する必要があります。

重要なのは、PHPのバージョンを確認するだけでなく、現在利用している環境に必要なセキュリティ修正が適用されているかを確認することです。

2. PHPを更新しないWebサイトには何が起こるのか

PHPの更新を怠ると、具体的にどのような危険があるのでしょうか。

代表的なものを見ていきましょう。

① Webサイトを改ざんされる

攻撃者が脆弱性を悪用してサイトのファイルを書き換えると、運営者が意図しない内容を表示させられる可能性があります。

例えば、次のような被害が考えられます。

• 不審な広告を表示させられる
• 偽のログイン画面を設置される
• 訪問者を詐欺サイトへ誘導される
• 検索エンジンに表示されるページを不正に変更される
• サイトの一部に不正なプログラムを埋め込まれる

特に注意したいのは、サイトの管理画面を開いても、すぐには異常に気づかない場合があることです。

攻撃者が特定の条件でだけ不正な動作をするように設定すれば、運営者が通常どおりサイトを閲覧している間は、被害を発見できない可能性があります。

② 個人情報や認証情報を盗まれる

サイトの構成や侵害された権限によっては、サーバー内のファイルやデータベースにアクセスされる危険があります。

例えば、次のような情報が被害の対象になる可能性があります。

• WordPressの設定ファイル
• データベースへの接続情報
• サーバーに保存された個人情報
• メールアカウントなどの認証情報
• 非公開のファイルやバックアップデータ

ただし、PHPの脆弱性が見つかったからといって、必ずこれらの情報が盗まれるわけではありません。

実際の被害は、脆弱性の悪用状況、サーバーの権限設定、保存されている情報などによって変わります。

それでも、サーバー内の重要な情報にアクセスされる可能性がある以上、脆弱性を放置することは避けなければなりません。

③ 不正プログラムを埋め込まれる

攻撃者は、侵入したサーバーに不正なプログラムを設置することがあります。

Webサーバー上で動作する不正なプログラムの一つに「Webシェル」があります。

Webシェルは、外部からサーバーを操作するために利用されるプログラムです。

PHPで作成されたWebシェルも存在し、攻撃者がサーバーを遠隔操作するための手段として悪用されることがあります。

一度設置されると、脆弱性を修正しただけでは、すでに侵入した攻撃者の操作手段が残ってしまう場合があります。

つまり、PHPを更新しても、侵入済みの不正プログラムまで自動的に削除されるわけではないのです。

この点は、サイト運営者が理解しておくべき重要なポイントです。

3. 放置されたWebサイトが犯罪の踏み台になる仕組み

ここからが、PHPの脆弱性を考えるうえで特に重要な部分です。

攻撃者は、必ずしも侵入したWebサイトそのものを攻撃対象にするとは限りません。

侵入したサイトを、別の犯罪を実行するための中継地点や活動拠点として利用することがあります。

これを、一般に「踏み台にする」と表現します。

踏み台とは何か

踏み台とは、攻撃者が本来の目的を隠したり、別の対象を攻撃したりするために利用する、第三者のコンピューターやサーバーのことです。

例えば、次のような流れが考えられます。

ステップ1：脆弱なWebサイトを探す

攻撃者はインターネット上のWebサイトを調査し、古いソフトウェアや既知の脆弱性を持つサーバーを探します。

ステップ2：脆弱性を悪用して侵入する

修正プログラムが適用されていないPHP環境などを狙い、サーバー上で不正なコードを実行しようとします。

ステップ3：不正プログラムを設置する

侵入に成功すると、攻撃者は取得した権限の範囲内で、サーバーに不正なプログラムを設置する場合があります。

ステップ4：別の攻撃に利用する

侵入したサーバーを経由して、別のWebサイトへの攻撃や不正アクセスなどを試みる可能性があります。

このような攻撃では、被害を受けたサイトの運営者自身が犯罪を実行していなくても、自分のサーバーが攻撃の経由地として利用されてしまうことがあります。

もちろん、すべての侵害がこのような流れになるわけではありません。

しかし、Webサーバーへの侵入が成功し、攻撃者が必要な権限を確保した場合、こうした二次被害が起こり得ることは、セキュリティ対策上の重要な問題です。

なぜ攻撃者は、他人のWebサイトを利用するのか

理由の一つは、攻撃者自身の身元や活動拠点を隠しやすくするためです。

攻撃者が自分のコンピューターから直接攻撃すると、その接続元の情報が調査の手掛かりになる場合があります。

一方、第三者のサーバーを経由して攻撃すると、攻撃先から見える通信元が、その侵害されたサーバーになることがあります。

ただし、通信記録などから攻撃の経路を調査できる場合もあり、踏み台を使えば完全に身元を隠せるわけではありません。

それでも、攻撃者にとって第三者のサーバーを悪用することには利点があります。

Webサイトの管理者から見れば、自分のサイトが知らないうちに犯罪のインフラとして利用される可能性があるということです。

4. 更新されないWebサイトが増えると、何が問題なのか

インターネット上には、さまざまな目的で作られたWebサイトがあります。

企業の公式サイト、個人ブログ、WordPressで作られた情報サイト、過去のキャンペーンページなど、その種類は多岐にわたります。

しかし、すべてのサイトが継続的に管理されているとは限りません。

例えば、次のようなWebサイトが考えられます。

• 管理者が更新作業をやめた個人ブログ
• 所有者が存在するものの、管理担当者が不明になったサイト
• 制作会社との契約終了後、保守されなくなったサイト
• 古いPHPやCMSを使い続けている企業サイト
• 公開したまま放置されているキャンペーンページ

これらのサイトが、すべて危険というわけではありません。

しかし、脆弱性が存在しているのに修正されず、インターネットからアクセスできる状態が続けば、攻撃者に狙われる可能性があります。

一つのサイトの問題が、他のサイトにも影響する

インターネットの安全性は、個々のサイトだけで完結するものではありません。

侵害されたサーバーが別の攻撃に利用されれば、その影響は他のサイトや利用者にも及ぶ可能性があります。

例えば、侵害されたWebサイトが不正なプログラムを配布したり、訪問者を偽のサイトに誘導したりすれば、被害はサイトの運営者だけにとどまりません。

また、共有サーバーでは、同じ契約環境に複数のサイトが存在することがあります。

この場合、各サイトの権限分離やサーバーの設定によっては、あるサイトの侵害が、同じ環境の別のサイトにも影響する可能性があります。

ただし、共有サーバーであれば必ず他のサイトまで侵害されるわけではありません。実際のリスクは、サーバー会社の分離設計や権限設定などによって異なります。

重要なのは、Webサイトの管理を放置することが、管理者自身だけでなく、他の利用者にも影響を及ぼす可能性があるという点です。

5. PHPの更新だけでは防げない攻撃もある

ここで、もう一つ重要な点を確認しておきましょう。

PHPを更新すれば、Webサイトのセキュリティ対策がすべて完了するわけではありません。

PHPは、WordPressなどのWebアプリケーションを動かすためのプログラミング言語です。

Webサイトの安全性は、PHPだけでなく、さまざまな要素によって決まります。

WordPress本体の脆弱性

WordPress本体にセキュリティ上の問題が見つかることもあります。

PHPが最新であっても、WordPress本体を更新せずに使い続けていれば、別の脆弱性を悪用される可能性があります。

プラグインやテーマの脆弱性

WordPressのプラグインやテーマにも、セキュリティ上の問題が見つかることがあります。

長期間更新されていないプラグインや、開発が終了したテーマなどは、特に注意が必要です。

使用していないプラグインを停止しただけで安全になるとは限らないため、不要なものは削除し、必要なものは保守状況を確認しましょう。

パスワードや管理画面の問題

管理者パスワードが簡単だったり、他のサービスと使い回されていたりすると、不正ログインの危険が高まります。

また、管理者アカウントの乗っ取りなど、PHPの脆弱性とは異なる経路から侵入される場合もあります。

サーバーやOSの脆弱性

Webサイトを動かしているサーバーのOSやWebサーバーソフトウェアなどにも、セキュリティ上の問題が存在する可能性があります。

そのため、Webサイトの安全性を高めるには、PHPだけでなく、WordPress、プラグイン、テーマ、サーバー環境をまとめて管理する必要があります。

6. PHPを更新しないサイトは、検索エンジンからも悪影響を受ける？

PHPの更新を怠ったからといって、それだけでGoogleなどの検索順位が直接下がるわけではありません。

しかし、サイトが攻撃されると、SEOにも悪影響が及ぶ可能性があります。

例えば、次のような問題が考えられます。

• 不正なページを大量に作成される
• 訪問者を詐欺サイトへ誘導するコードを埋め込まれる
• サイトがマルウェアの配布に悪用される
• 不正なリダイレクトが発生する
• サイトが停止し、検索エンジンがページを取得できなくなる

検索エンジンがサイトの問題を検出すると、警告が表示されたり、検索結果での表示に影響が出たりする場合があります。

さらに、訪問者が不正なサイトへ誘導されれば、これまで積み上げてきた読者からの信頼も失いかねません。

ブログ運営者にとって、これは大きな損失です。

記事を増やし、アクセスを集め、広告やアフィリエイトで収益を得るためには、サイトが安定して動作し、安全に利用できることが前提になります。

SEO対策とセキュリティ対策は別々のものではありません。安全なサイトを維持することは、長期的なブログ運営の土台でもあります。

7. 自分のWebサイトを守るために、今すぐ確認したいこと

では、Webサイトの運営者は何をすればよいのでしょうか。

ここでは、WordPressを利用している方を想定して、具体的な対策を紹介します。

対策① PHPのバージョンと修正状況を確認する

最初に、現在利用しているPHPのバージョンを確認しましょう。

WordPressでは、次の手順で確認できます。

1. WordPressの管理画面にログインする
2. 「ツール」を開く
3. 「サイトヘルス」を選択する
4. 「情報」タブを開く
5. 「サーバー」の項目を確認する

ここで、PHPのバージョンを確認できます。

ただし、バージョン番号が新しいように見えても、必要な修正が適用されているとは限りません。

PHPのサポート状況や、今回のような重大な脆弱性に対する修正状況も確認してください。

なお、サーバー会社が独自にセキュリティ修正を提供している場合もあるため、公式PHPの情報だけで判断せず、契約先の案内も確認することが大切です。

対策② サーバー会社の管理画面でPHPを更新する

レンタルサーバーを利用している場合、PHPのバージョンはサーバーの管理画面から変更できることがあります。

ただし、PHPのバージョンを変更すると、古いプラグインやテーマが正常に動作しなくなる可能性があります。

そのため、更新前には次の点を確認しましょう。

• WordPress本体が最新の状態か
• テーマやプラグインが更新されているか
• 現在のPHPと変更先のPHPに互換性があるか
• サイト全体のバックアップを取得したか
• 更新後に表示や機能を確認できるか

可能であれば、テスト環境で動作確認をしてから本番環境を更新するのが安全です。

ただし、重大な脆弱性が公表されている場合、互換性の確認に時間をかけすぎるのも問題です。

必要に応じて、サーバー会社に相談しながら、修正済みの環境への移行を優先しましょう。

対策③ WordPress本体・プラグイン・テーマを更新する

PHPの更新とあわせて、WordPress本体、プラグイン、テーマも適切に更新しましょう。

特に、長期間更新されていないプラグインには注意が必要です。

使用していないプラグインは削除し、必要なプラグインについても、開発者による保守が続いているかを確認してください。

また、更新前にバックアップを取得し、更新後にサイトの表示や主要な機能を確認することも重要です。

対策④ 定期的にバックアップを取得する

万が一、サイトが侵害された場合に備えて、バックアップを用意しておきましょう。

バックアップには、WordPressのファイルだけでなく、データベースも含める必要があります。

さらに、バックアップ自体が攻撃者に書き換えられたり、削除されたりする事態に備え、サーバー内だけでなく、別の安全な保存先にも保管することが望ましい方法です。

ただし、バックアップを取得していれば、どのような攻撃からも復旧できるわけではありません。

バックアップが正常に復元できることを、定期的に確認しておきましょう。

対策⑤ 不正アクセスの兆候を確認する

PHPを更新した後も、サイトがすでに侵害されていないか確認することが重要です。

次のような兆候があれば、注意が必要です。

• 身に覚えのない管理者アカウントがある
• WordPressのファイルに不審な変更がある
• 知らないページやファイルが作成されている
• サーバーのアクセスログに不審な通信が記録されている
• 自分の知らない広告やリダイレクトが発生する
• サーバーのCPU使用率や通信量が急増している

ただし、これらの現象には、正常な更新処理やアクセス集中など、別の原因もあります。

一つの兆候だけで侵害を断定せず、複数の情報を確認することが大切です。

不審なファイルを見つけた場合も、必要なプログラムを誤って削除するとサイトが壊れる可能性があるため、安易に削除しないようにしましょう。

侵害が疑われる場合は、サーバー会社やセキュリティの専門家に相談し、原因の調査と復旧を進めてください。

8. PHPのサポートが終了したバージョンは使い続けない

PHPには、各バージョンのサポート期間があります。

PHP公式サイトによると、通常はリリース後の一定期間、機能改善や不具合修正が行われ、その後は重大なセキュリティ問題に対する修正だけが提供される期間を経て、サポートが終了します。

サポートが終了したバージョンは、原則として新たなセキュリティ修正が提供されません。

そのため、後から重大な脆弱性が発見されても、公式の修正プログラムを入手できない可能性があります。

2026年11月時点では、PHP 8.2以前のすべてが一律にサポート終了というわけではありません。PHP 8.2は2026年末までセキュリティサポートの対象ですが、PHP 8.1以前は通常の公式サポートが終了しています。

ただし、サーバー会社やOSの提供元が独自に修正を提供している場合もあるため、実際のサポート状況は利用環境に応じて確認する必要があります。

WordPressについても、現在の推奨環境を確認し、PHPの更新を検討しましょう。

単に「古いバージョンでもサイトが動いているから問題ない」と判断するのは危険です。

サイトが正常に表示されることと、セキュリティ上安全であることは別の問題です。

9. 管理できないWebサイトは、公開を続けるべきなのか

ここまで、PHPの更新を怠ることによる危険性を説明してきました。

では、長期間更新できないサイトや、管理者が不在になったサイトはどうすればよいのでしょうか。

基本的には、継続して公開する必要性と、安全に管理できるかどうかを見直すことが重要です。

例えば、次のような対応が考えられます。

継続して公開する必要がある場合

必要なセキュリティ修正を適用し、PHPやCMSを保守できる環境に移行します。

管理者を明確にし、更新作業やバックアップ、障害発生時の対応を継続できる体制を整えましょう。

公開を続ける必要がない場合

古いサイトをそのまま公開し続けるのではなく、閉鎖や安全な環境への移行を検討します。

必要な記事やデータを保存したうえで、公開を終了する方法もあります。

ただし、サイトを閉鎖する場合も、単に更新を停止するのではなく、サーバー上のファイルやデータベース、不要になったアカウントなどを適切に処理することが大切です。

すぐに修正できない場合

重大な脆弱性が存在するにもかかわらず、すぐに更新できない場合は、サーバー会社に相談し、アクセス制限などの暫定対策を検討します。

リスクを十分に低減できない場合には、外部からのアクセス遮断やサービスの一時停止が必要になることもあります。

重要なのは、危険性を理解しながら、脆弱な状態でサイトを放置し続けないことです。

10. PHPの脆弱性問題は、今後も繰り返される可能性がある

今回のPHP2shellの問題は、Webサイトを運営する人にとって、セキュリティ管理の重要性を改めて考える機会になりました。

PHPは世界中のWebサイトで利用されているソフトウェアです。

そのため、重大な脆弱性が見つかった場合、影響を受けるシステムの数が多くなる可能性があります。

また、今回のような問題が修正されたとしても、将来にわたってPHPの脆弱性がなくなるわけではありません。

今後も、開発者やセキュリティ研究者による調査を通じて、新たな問題が発見される可能性があります。

OpenAIを含む研究組織がソフトウェアの脆弱性の発見や分析に関わることもありますが、今後、誰がどのような脆弱性を発見するかを正確に予測することはできません。

大切なのは、特定の企業や研究者が問題を発見することに期待するだけでなく、発見された脆弱性に対して、サイト運営者が速やかに対応できるようにしておくことです。

脆弱性の発見、修正プログラムの公開、攻撃手法の研究、実際の悪用という流れが、常に同じ順番で進むとは限りません。

修正プログラムが公開された後に、攻撃者がその情報を分析して攻撃に利用する可能性もあります。

そのため、重大な脆弱性が公表されたときには、普段以上に迅速な対応が必要になります。

まとめ：PHPの更新は、自分のサイトとインターネット全体を守るために必要

PHPを更新しないままWebサイトを公開し続けると、既知の脆弱性を悪用される危険性があります。

被害はサイトの改ざんや情報漏えいだけではありません。

攻撃者がサーバーに侵入し、不正なプログラムを設置した場合、そのサイトが別のサイバー攻撃の踏み台として利用される可能性もあります。

その結果、自分のサイトだけでなく、他のWebサイトや利用者にも影響が及ぶことがあります。

特に、長期間管理されていないWebサイトや、サポートが終了したPHPを使い続けているサイトは、早急に状況を確認する必要があります。

サイト運営者が実施したい対策は、次のとおりです。

• PHPのバージョンとセキュリティ修正の状況を確認する
• サーバー会社の案内に従って、適切なPHP環境に更新する
• WordPress本体、プラグイン、テーマも更新する
• 定期的にバックアップを取得し、復元できることを確認する
• 不正アクセスやファイル改ざんの兆候を確認する
• 管理できないサイトは、公開の継続や閉鎖を検討する

そして、忘れてはならないことがあります。

PHPを更新することは、単に自分のWebサイトを守るためだけではありません。自分のサイトが犯罪に悪用され、他の人に被害を与えることを防ぐためにも重要なのです。

インターネットは、多くの人がそれぞれのシステムを管理することで成り立っています。

一つひとつのサイトを適切に管理することが、より安全なインターネット環境につながります。

日頃からソフトウェアの更新情報に注意を払い、重大な脆弱性が発見されたときには、速やかに対策を実施しましょう。