2026年10月22日、IPA（情報処理推進機構）が、PHP の脆弱性（通称「PHP2shell」）について注意を呼びかけました。PHP は多くのホームページを動かしているプログラムの言語で、WordPress も PHP で動いています。悪用されると、外からホームページのサーバーで勝手にプログラムを動かされるおそれがあります。10月26日（米国時間）には、米国の CISA が「実際に悪用が確認された脆弱性」の一覧に加えました。なお IPA は、国内での被害は把握していないとしています（11月2日時点）。
見た目では分かりません
ホームページが普通に表示されていても、修正が当たっているかどうかは分かりません。WordPress をお使いなら、WordPress 本体の更新とは別に、サーバーの PHP が修正済みかを、サーバー会社や管理会社に確かめてください。古い PHP（8.1 以前）には、もう修正が出ません。
当社のホームページでしたこと
当社のサイトも、もとは WordPress で動いていました。この件を受けて10月25日、見た目と URL はそのままに、「中で何も動かない」形に置き換えました。置いてあるページを見せるだけなので、PHP の脆弱性が狙う仕組みそのものがありません。
PHP が悪いのではありません
決済や申し込みの受付など、サーバーで処理が要るところには、いまも PHP は欠かせません。そうした部分は、修正を当て続ける保守で守ります。ただ、会社案内やお知らせのように「見せるだけ」のページで、PHP を動かし続ける必要はありません。止めてしまうのが、いちばん確かな対策です。
ご相談ください
「うちのサイトは大丈夫か分からない」という段階からで構いません。いまのホームページを、見た目も URL も変えずに置き換えるご相談を承ります。
参考：IPA「PHPの脆弱性対策について」
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html