社内に詳しい人がいない会社の PHP2Shell 対応｜誰に何を聞けばいいか

「PHP に重大な脆弱性」というニュースを見たが、自社のサイトが関係あるのか分からない。サイトを作った人はもう社内にいない。そんな会社は少なくない。この記事は、Web に詳しくない担当者の人が、何をすればいいかを順に説明する。

専門の知識はなくても大丈夫だ。やることは「関係者に聞く」と「答えを読む」の2つで、聞く文のひな形も用意した。

まず今日やること

1. サイトの関係者を探す：制作会社の契約書・請求書、サーバーの請求や更新のメールを探す
2. URL で調べる：このサイトの診断に URL を入れると、外から分かる範囲で仕組みが分かる
3. 聞く：下のひな形を使って、制作会社かサーバー会社に問い合わせる

慌ててサーバーの設定を自分で触る必要はない。分からないまま触ると、サイトが止まることがある。まずは「聞く」ところまでを今日中に進める。

誰に聞くか

制作会社と連絡がつけば、それが一番早い。サイトの中身を知っているので、上げたら何が動かなくなるかまで答えられる。

聞くときのひな形

制作会社に送るときは、次の文をそのまま使える。会社名とサイトの URL を入れ替える。

件名：PHP の脆弱性（PHP2Shell）について確認のお願い

いつもお世話になっております。〇〇株式会社の〇〇です。
10月21日に公表された PHP の脆弱性（PHP2Shell、CVE-2026-109618 / 109619）について、
弊社サイト（https://〇〇〇〇）の状況を確認させてください。

1. 使っている PHP のバージョン（例：8.3.36）
2. 修正版になっているか。なっていなければ、対応の予定
3. PHP 8.1 以前の場合、新しい版へ移す方法と費用の目安

お手数ですが、ご確認をお願いいたします。

サーバー会社に聞くときは、3つ目を「新しい PHP を選べるか、選べない場合はどうすればよいか」に変えるとよい。

返ってきた答えの読み方

PHP 8.2 は、修正版があっても 2026年12月31日で保守が終わる。8.2 と答えが返ってきたら、年内に 8.4 か 8.5 へ移る相談も一緒にしておく。

制作会社と連絡がつかないとき

制作会社がなくなっている、担当者が分からない、ということもある。その場合は次の順に進める。

1. サーバー会社の管理画面に入れるか確かめる（ID とパスワードが社内に残っていないか探す）
2. 入れれば、PHP の版が画面に出ていることが多い。サーバー会社の案内に沿って確かめる
3. 入れない・画面が分からないなら、新しい相談先（制作会社や移行の代行）に、URL と分かったことを伝えて頼む

これからに備える

• サイトの関係者（制作会社・サーバー会社・ドメインの会社）と、管理画面の ID の置き場所を1枚にまとめておく
• PHP は約4年ごとに上げ直しが来る。次の期限をカレンダーに入れておく
• 自分たちで続けられないなら、保守を任せる先を決めておくか、PHP のいらない形（置くだけのサイト）へ移す

よくある質問

制作会社がもうありません。どうすればいいですか？

サーバー会社の管理画面に入れれば、PHP の版を確かめられます。
入れない場合は、URL と分かったことを持って、新しい相談先に頼んでください。

サーバーの設定を自分で変えても大丈夫ですか？

分からないまま変えると、サイトが止まることがあります。
まずは制作会社かサーバー会社に聞いてから進めてください。

「対応済み」と言われたら、もう安心ですか？

版の番号（例：8.3.36）まで聞いて、修正版以上か確かめてください。
修正版の前に入り込まれていないかも、あわせて確かめると安心です。

無料ツールPHP2Shell 脆弱性チェッカーPHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。

参考にした情報

• php.net（2026年10月21日のセキュリティ告知）
• php.net：Supported Versions
• IPA：PHPの脆弱性対策について（PHP2shell）