「うちのホームページは管理できる人がいないけど、危ないなら閉じたほうがいいのかな」
2026年10月。
多くのウェブサイトで使われているPHPという仕組みに、深刻な弱点が公表されました。
この件をきっかけに、「予防的にサイトを止めた」「対応をあきらめて閉じた」という例が報じられています。
実際に、管理できる人がいないという理由でホームページを閉じた団体もありました。
先に結論をお伝えします。
確かに、ホームページを閉じることは選択肢の一つです。
一番危ないのは、管理する人がいないまま放っておくことです。
この記事では、今回何が起きたのかを要点だけ整理したうえで、専任の管理者がいない団体や会社が「閉じる」「静的サイトにする」「管理を任せる」「続ける」のどれを選べばいいか、判断の目安をお伝えします。
※この記事は、2026年11月5日時点の公式情報をもとに書いています。状況は変わることがあるので、最新の情報は、各社・各機関の公式ページで確認してください。
今回、何が起きたのか
2026年10月21日、プログラミング言語「PHP」に深刻な弱点（脆弱性）が2件公表されました。
識別番号は CVE-2026-109618 と CVE-2026-109619 で、深刻度を示す点数（CVSS 4.0）は、どちらも9.2です。
10月21日、スクリプト言語「PHP」の深刻な脆弱性2件が発表されるとともに、同日23時に修正プログラムの提供が予告された。CVE-2026-109618、CVE-2026-109619の2つで、CVSS 4.0のスコアはいずれも9.2。全てのPHPが影響を受け、認証なしでリモートコード実行が可能になるおそれがある。この脆弱性は「php2shell」とも呼ばれる。
多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？
ログインなしで、外からサーバー上のプログラムを実行されるおそれがある、とされています。
簡単に言うと、外からサーバーを好きなように操作されてしまうおそれがある、という弱点です。
ここで大事なのは、弱点があるのはWordPressそのものではなく、その土台のPHPだという点です。
PHPで動いているものは、WordPress以外でも対象になります。
修正版は、すでに公開されています。
公式の修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。
PHP 8.1以前は通常の更新が出ない古いバージョンですが、開発元は7.4・8.0・8.1向けに、最小限の対策を出しています。
各サーバーでも順次対応が行われました。
お客様のご利用サーバーについては、稼働を継続しながら、
10月21日（水）12:00までに修正版公開前の緩和策を実施いたしました。同日23:00頃の修正版公開後は、PHP 8.2〜8.5から順次修正を適用し、
公式のサポートが終了した旧バージョンにも対応を広げました。10月26日（月）6:20までに、PHP 5.1〜8.5の
【重要】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について
すべての対象サーバーへの対応が完了しております。
国内でも、首相や国家サイバー統括室がウェブサイトの管理者に対応を呼びかけました。
修正をすぐに当てるのが難しい場合は、サイトを一時的に止めることもリスクを減らす方法の一つだと案内されています。
実際に、予防的に公開を止めたサービスやサイトも多数ありました。
また、JPCERT/CCは、この弱点を悪用しようとする通信の報告が相次いでいると伝えています。
ただし、実際に攻撃が成功するかどうかはPHPのバージョンや環境によって変わる、ともされています。
本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます。一方、実証コードを用いて実際に任意のコードを実行できるかどうかは、PHPのバージョンや実行環境、メモリ配置などの条件に依存し、環境に応じた調整が必要となります。今後も実証コードや新たな攻撃手法の公開、特定の環境を標的とした攻撃の開発が進む可能性があるため、関連情報に注視の上、修正済みバージョンへの更新および侵害有無の調査を実施することを推奨します。
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起
その後、10月23日には3つ目の弱点（CVE-2026-115560）も公表されました。
ファイルのアップロード状況を記録する機能にかかわるもので、特定の設定とアプリの処理が重なった場合にだけ、外からプログラムを実行されるおそれがあります。
対象は限定的とされています。
最初の2件とは別の問題で、21日の修正版では直りません。
PHP開発チームは、緊急の更新ではなく次の通常の更新で直す方針です。
公表の時点では、修正版は出ていませんでした。
つまり、一度更新したら終わりではありません。
サーバー側の対応は、これからも続きます。
修正版が出たかどうかは、PHP公式やサーバー会社のお知らせで確認してください。
「HTMLだけのサイトなら大丈夫」ではありません
SNSでは、「PHPを使わないHTMLだけのサイトなら大丈夫では」という声もありました。
ただ、そのサイトを置いているサーバーにPHPが組み込まれていれば、影響は避けられないと報じられています。
サイトの作りだけでなく、置いてある場所（サーバー）がどうなっているかが大事です。
| ホームページの置き場所 | 起きていること |
|---|---|
| レンタルサーバー | サーバー会社が対応している場合があります。たとえばエックスサーバーは、2026年10月26日6時20分までにPHP 5.1〜8.5の対象サーバーすべてへの対応が完了したと案内し、利用者が急いでPHPのバージョンを変える必要はないとしています。ほかの会社は、各社の公式のお知らせで確認してください。ただし、WordPress本体・テーマ・プラグインの更新は、利用者の仕事です |
| VPSや自前のサーバー | 利用者自身が、PHPを更新する必要があります。たとえばXServer VPSは、会社によるPHPの修正パッチの適用は行わないと案内しています |
| 管理する人がいない | ここがいちばんの問題です。公開が続いているのに、誰も更新も確認もしていない状態になります |
古くから公開されていて手入れが十分でないサイトの中には、告知もなく対応されていないものもあるだろうと報じられています。
新しい選択肢は、これからも出てくる
今回のような出来事のあとには、たくさんの情報が流れてきます。
「静的サイトなら安全です」
「新しい仕組みに乗り換えませんか」
「今のサイトを作り替えて、集客も任せませんか」。
サーバー会社や制作会社ではない業者から、提案が届くこともあります。
どれも間違いとは限りません。
静的サイトにはメリットがありますし、新しい仕組みも次々に登場しています。
ただ、新しいサービスはこれからも出続けます。
そのたびに迷っていると、決められないまま時間が過ぎてしまいます。
だから、手段を選ぶ前に先に決めておきたいことがあります。
それは、このホームページに何をさせたいのかです。
決めておきたい「ホームページの役割」
次の6つの問いに答えてみてください。
紙に書き出してもいいですし、頭の中で考えるだけでも大丈夫です。
6つのチェックポイント
- □ 利用者・相談したい人
- □ 会員・参加者
- □ 支援者・寄付してくれる人
- □ 取引先・仕事を依頼したい人
- □ 行政や助成金の担当者
- □ 求職者・ボランティア希望者
- □ よく分からない
- □ 問い合わせ・相談
- □ 申込み・予約
- □ 寄付・会費の手続き
- □ 活動を知ってもらう（名刺代わり）
- □ お知らせや書類を載せておく
役割がいくつもあっても大丈夫です。
ただ、「いちばん大事なもの」を1つ決めておくと、あとの判断がぐっとラクになります。
- □ 週に1回以上
- □ 月に1回くらい
- □ 年に数回
- □ ほとんど更新していない
- □ ある（検索から、新しい人に来てほしい）
- □ あまりない（紹介や名前で来る人が多い）
- □ 分からない
「分からない」の場合は、サーチコンソールやアクセス解析で検索から来ている人がどのくらいいるかを見てみましょう。
- □ 利用者
- □ 支援者
- □ 取引先・行政
- □ 職員やスタッフ
- □ 誰も困らないかもしれない
この問いが、いちばん大切です。
「誰も困らない」という答えが出たなら、閉じるのは選択肢の一つです。
- □ いる（兼任でも、1人でもいれば）
- □ いない
- □ まだ決めていない
専任でなくても大丈夫です。
更新や点検に少しでも時間を取れる人がいるかどうかを考えてみてください
答えの読み方
チェックの答えを上から順に見ていくと、近い道が分かります。
道の番号（①〜④）は、次の章の4つの道です。
- 「誰も困らないかもしれない」→ ① 閉じる を考えます
- 誰かが困る → ステップ2へ
- 「問い合わせ・相談」「申込み・予約」「寄付・会費の手続き」→ 窓口の機能が要ります。
③ 任せる か ④ 続ける（② 静的サイトでも、フォームなどを外部のサービスに置き換えられれば可能です） - 「活動を知ってもらう」「お知らせや書類を載せておく」→ 機能は少なくて済みます。
② 静的サイト か ① 閉じる
- 更新が「年に数回」以下で、検索で見つけてもらう必要も「あまりない」→ ② 静的サイト か ① 閉じる
- 更新が「週に1回以上」「月に1回くらい」、または、検索から新しい人に来てほしい → ③ 任せる か ④ 続ける
- 「いる」→ ④ 続ける（年に数回の点検を、予定に入れます）
- 「いない」「まだ決めていない」→ ③ 任せる（更新が少なければ、② 静的サイトや ① 閉じる も）
答えが割れたときは、問5と問2で選んだ「いちばん大事な役割」を優先してください。
※あくまで目安です。
次の章では、4つの道をくわしく見ていきます。
管理者がいない場合の4つの道
前の章で決めた「ホームページの役割」をもとに、4つの道を見ていきましょう。
どの道にも、メリットと失うものがあります。
「閉じる」もちゃんとした選択肢です。
先にお伝えすると、私たちGreenCoatleもホームページの運用サポートをしている立場です。
だからこそ、ここでは偏らないように判断の目安をそのまま並べます。
| 管理の手間 | 費用の目安 | 失うもの | 向いているのは | |
|---|---|---|---|---|
| ① 閉じる | なし | 低い | 検索の入口、窓口、記録 | 誰も困らない |
| ② 静的サイト | 小さい | 作り直しの費用＋低い維持費 | 管理画面での更新、フォームなど | 更新が少ない |
| ③ 任せる | 小さい | 継続的にかかる | 自由度（任せ先に頼る） | 続けたいが、担当者がいない |
| ④ 続ける | 中〜大 | 低〜中 | 担当者の時間 | 担当者がいる |
道① 閉じる
見る人がほとんどいない、誰も困らない、問い合わせは電話やSNSで足りている、という場合に向いています。※問5で「誰も困らない」と答えた。
- 検索で見つけてもらう入口
- 問い合わせ・申込み・寄付の窓口
- 過去のお知らせや活動の記録
- 団体名で検索したときの「実在の証明」
完全に消すより、「閉鎖しました。ご連絡はこちらへ」という案内を残すと親切です。
その際には、代わりの連絡先（電話、メール、SNSなど）を必ず案内しましょう。
残しておきたい記録は、先にPDFなどで保存しておきます。
道② 静的サイトにする
今のページを、PHPやデータベースを使わない「固定のページ」にして、公開する方法です。
メリットとしては、サイト自体がPHPで動かさなくても良くなること。
費用が安く済む場合が多いことです。
- 置き場所に注意！HTMLだけのサイトでも、PHPが動いているサーバーに置いたままなら、サーバー側の対応は必要。PHPを使わない置き場所（静的サイト向けのホスティングなど）に移すかどうかも、あわせて決めること
- 今のように管理画面で書いて公開、ができない場合が多い
- お問い合わせフォームや、サイト内の検索は、外部のサービスに置き換える必要がある
- 作り直しの手間と費用がかかる。URLを変えないための設定をしないと、検索順位やリンクが失われる
更新が年に数回で、内容がほぼ決まっていて、問い合わせが電話やメールで足りる、という場合に向いています。※問2が「活動を知ってもらう」「お知らせや書類」で、問3が「年に数回」以下。
SNSなどで、新しい仕組みや乗り換えをすすめる情報を目にすることもあります。
サーバーでPHPを動かさない作りに替えて、記事の入稿までAIに任せているという会社の投稿を見かけることもあります。
そうした選び方もあるでしょう。
ただ、それができるのは仕組みを見られる人が社内にいる場合です。
仕組みを変えても、「誰が管理するのか」という問いはなくなりません。
仕組みを選ぶのは、役割を決めたあとです。
静的サイトにした場合でも結局、更新できる人は必要です。
道③ 管理を任せる
WordPressの更新、バックアップ、点検などを外部の人や会社に任せる方法です。
今のサイトをそのまま使うことができ、専任の担当者がいなくて済みます。
外部に任せる前に、決めておきたいポイントはこちらです。
- 何を任せるか：更新だけか、記事の追加もか、障害のときの対応もか
- いくらで、どこまでか：月に何回の作業が含まれるか、追加は別料金か
- やめるとき：データやアカウントを、持ち出せるか
- 権限：管理者の権限は、必要な範囲だけにする
問い合わせなどの窓口として大事で、更新も続けたいが管理できる人がいない場合に向いています。※問2が窓口の機能で、問6で「いない」と答えた。
「全部おまかせで安心」と提案されたときは、「全部」が何を指すか、聞いておきましょう。
道④ 続ける（自分たちで管理する）
更新が多く、問い合わせの窓口としても大事で、担当できる人が1人でもいる場合に向いています。※問6で「いる」と答えた。
専任がいなくても、次の6つが回れば、続けられます。
- サーバー会社がPHPの修正に対応済みか、公式のお知らせで確認する（VPSや自前のサーバーは、自分たちの作業です）
- WordPress本体、テーマ、プラグインを最新にする
- 使っていないプラグインやテーマを削除する
- バックアップが取れているか、実際に戻せるか確認する
- 管理画面にログインできる人を整理する（退職した人のアカウントを残さない）
- 担当者を決めて、年に数回の点検を予定に入れる
「乗り換えませんか」と連絡が来たら
今回のような出来事のあとは、ホームページの管理者または法人あてに「危ないので作り替えませんか」「乗り換えませんか」という連絡が届くことがあります。
私たちの運営会社にも、実際にこうした営業メールが届きました。（同業者でも届きます）
弱点の説明そのものは正しい内容でしたが、話はそこからサイトの作り替えや集客サービスの提案へと続いていました。
連絡が来たこと自体は悪いことではありません。
中には役に立つ提案もあるはずです。
ただ、慌てて決めると必要のない契約になってしまうことがあります。
まず、自分のサイトが本当に影響を受けるか確認する
提案を読む前に、次の確認が先です。
- 使っているサーバー会社の公式お知らせでPHPの対応が済んでいるか
- ホームページを作った会社や、管理している人に状況を聞く
届いたメールにも、サーバー側で更新済みなら影響はないと書かれていました。
まさにその確認が先決です。
提案を見るときの5つの視点と7つの質問
業者からの提案でチェックして置きたいことをお伝えします。
| 視点 | 確認すること |
|---|---|
| ① 提案の中心は何か | セキュリティ対策そのものか、別のサービス（集客、記事の作成、広告など）か。脆弱性の話はきっかけとして使われていないか。 |
| ② 総額はいくらか | 月額だけでなく、初期費用や作り替えの費用、更新の費用を含めた合計。「打ち合わせでご案内」のままなら金額が出てから比べる。 |
| ③ 成果の例は、自分たちに近いか | どんな業種・規模の例か。第三者の事例か。数字の期間と出典はどこか。「同じ結果を約束するものではありません」と書いてあるなら期待は割り引いて読む。 |
| ④ 任せる範囲と、確認する人 | 「おまかせ」でも内容が正しいかを確認するのは誰か。法律や制度が関わる内容（福祉、医療、法務など）は、団体側の確認が欠かせない。 |
| ⑤ やめるときのこと | 契約期間、途中での解約やサイトとデータを持ち出せるか。ドメインやサーバーの名義は誰か。 |
- 今のサーバー会社の対応状況を確認したうえでの提案ですか？
- 今のサイトの、どこがどう危ないと考えていますか？（具体的に教えてください）
- 初期費用を含めた1年間の総額はいくらですか？
- 契約期間と途中でやめる場合の条件を教えてください
- やめたあと、サイトとデータはそのまま持ち出せますか？ドメインの名義はどちらになりますか？
- 同じような団体・業種での事例を教えてもらえますか？
- 決めるまでにどのくらい時間をもらえますか？
こちらの7項目は、そのままメールに書いて送ることができます。
これらに具体的にすぐ答えてくれる会社なら、話を聞く価値があります。
答えがあいまいなままなら、いったん保留にしましょう。
返事をしなくても大丈夫
営業の連絡に、返事をする義務はありません。
迷うなら、保留で構いません。
「今日中に」「今月中に」と急がせる連絡は、いったん立ち止まる合図です。
判断に迷ったら、今のサイトを作った会社等に相談してみてください。
最後に、ホームページの役割について、その提案が役に立つかどうかで見比べてみましょう。
役割に関係のない機能がたくさん付いた提案なら、今は必要ないかもしれません。
一番避けたいのは、決めずに放っておくこと
4つの道のどれを選んでも、「決めた」なら、前に進めます。
いちばん危ないのは、決めないままで公開だけが続くことです。
管理する人がいないホームページは、更新もバックアップもサーバー会社からのお知らせの確認も止まりがちです。
そこに、今回のような弱点が公表されても誰も気づかないまま、時間が過ぎてしまいます。
すぐに決められないときの、最低限の5つ
すぐに決められない時には、こちらを確認しておきましょう。
- 今のサーバー会社の公式お知らせで、PHPの対応状況を確認する
- 「いちおうの管理者」の名前を決める（仮でも構いません）
- 管理画面にログインできる人を書き出す
- バックアップがあるか確認する
- 「◯月までに、4つの道から決める」と期限を決める
修正をすぐに当てられない、管理できる人が見つからない、というときは、サイトを一時的に止めることもリスクを減らす方法の一つとされています。
止める場合は、代わりの連絡先（電話、メール、SNSなど）を別の場所で案内しましょう。
役割を整理して、「誰も困らない」と分かったなら閉じるのは前向きな判断です。
大事なのは、連絡先の案内や記録の保存をしたうえできちんと閉じることです。
よくある質問
- 自分のサイトが今回の弱点の影響を受けるか、どう確認すればいいですか？
-
次の2つを確認してください。
① 使っているサーバー会社の公式のお知らせで、PHPの対応が済んでいるか。
② ホームページを作った会社や管理している人に、対応状況を聞く。レンタルサーバーなら、会社が対応している場合があります。
VPSや自前のサーバーは、自分たちでPHPを更新する必要があります。 - WordPress本体やプラグインを最新にすれば大丈夫ですか？
-
それだけでは足りません。
今回の弱点は、WordPressではなく土台のPHPにあります。
サーバー側のPHPが、修正版に更新されている必要があります。WordPress本体・テーマ・プラグインの更新も、これまでどおり大切です。
- PHPのバージョンが古い（8.1以前）ままでも大丈夫ですか？
-
PHP 8.1以前は、通常の更新が出ない古いバージョンです。
開発元は7.4・8.0・8.1向けに最小限の対策を出していますが、できるだけ新しいバージョンに上げることを考えてください。まず、サーバー会社にPHPのバージョンを上げられるか確認しましょう。
バージョンを上げるとサイトが動かなくなることもあるので、バックアップを取ってから制作会社などに相談すると安心です。 - 3つ目の弱点があると聞きました。もう直ったのですか？
-
3つ目の弱点（CVE-2026-115560）は、10月23日に公表されました。
特定の設定とアプリの処理が重なった場合にだけ起こるもので、PHP開発チームは次の通常の更新で直す方針です。
公表の時点では修正版は出ていませんでした。
最新の状況は、PHP公式やサーバー会社のお知らせで確認してください。 - 静的サイトにすれば今回のような弱点は関係なくなりますか？
-
置き場所しだいです。
HTMLだけのサイトでも、PHPが動いているサーバーに置いたままならサーバー側の対応は必要です。
PHPを使わない置き場所に移すかどうかも、あわせて決めましょう。 - 管理を外部に任せる場合、費用はいくらくらいですか？
-
任せる範囲（更新だけか、記事の追加や障害のときの対応も含むか）で大きく変わるため、金額の目安は書けません。
初期費用・月額・作業の範囲を含めた総額で比べましょう。
1社だけで決めず、2〜3社に聞くと違いが分かります。 - 「乗り換えませんか」という営業の連絡には返事をしたほうがいいですか？
-
返事をする義務はありません。
まず、自分のサイトが影響を受けるかを確認しましょう。
提案は、この記事の「契約の前に聞く7つの質問」で見比べてください。「今日中に」「今月中に」と急がせる連絡は、いったん立ち止まりましょう。
- ホームページを閉じるとき、何を決めておけばいいですか？
-
次の4つです。
① 代わりの連絡先（電話、メール、SNSなど）の案内
② 残したい記録の保存（PDFなど）
③ サーバーやドメインの契約を、解約するか更新を続けるか
④ 「閉鎖しました。ご連絡はこちらへ」という案内を残すか - 専門家に相談するとき、何を準備すればいいですか？
-
次のものがあると話がスムーズです。
① この記事の6つの問いの答え
② 使っているサーバー会社の名前と契約の状況
③ ホームページを作った会社（分かれば）
④ 管理画面にログインできる人
迷ったら
ここまで読んで、「結局、うちはどれがいいの？」と迷っている方もいると思います。
GreenCoatleでは、NPO・協会・小さな会社のホームページの制作と公開後の運用サポートもしています。
「閉じる」「静的サイトにする」「管理を任せる」「続ける」のどれが合うかを、ホームページの役割から整理するところからご一緒できます。
相談するときは、この記事の6つの問いの答えをメモしておいていただけるとお話がスムーズです。
ホームページの「どうする？」を、一緒に整理します！
