目次
今回のPHPの脆弱性で、こんな対処法がよく出回っています。
「ホームページを作った制作会社に、PHPのバージョンを確認してみましょう」
一見、親切なアドバイスに見えますよね。
でも、納品が終わっていて、保守管理を頼んでいないなら、これはお門違いです。
私は会社を経営して23年。クライアントのページをWordPressで構築したり、別の会社さんが作ったWordPressを更新したりするお仕事も、たくさん扱ってきました。
頼む側の気持ちも、頼まれる側の事情も、両方見てきたからこそ、今回ははっきり書きます。
制作会社に聞くのではなく、自分で確かめる。
やり方は、ちゃんとあります。しかも、思っているより簡単です。
本編に入る前に、自分でやらなくていい仕事は手放して、売上につながる時間を増やしたい方へ。
土岐あい個別相談はこちら
https://book.enisha.co.jp/book/tokiai
1｜まず、今回の件をおさらい
PHPの開発チームは10月21日、重大な脆弱性2件を直した修正版を公開しました。
WordPressは、PHPというプログラミング言語で動いています。だから、WordPressのサイトを持っている人は、自分のサイトのPHPが直った版になっているかを確かめる必要があります。
直った版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35。PHP公式は、更新することだけが安全な選択肢だとしています。
（出典：PHP公式サイト「Security advisory: Critical remote code execution vulnerabilities, update now」2026年10月21日）
ここまでは、どの解説にも書いてあります。
問題は、その次。
「じゃあ、自分のサイトのPHPの版は、誰に聞けばいいの？」
ここで多くの人が、サイトを作ってくれた制作会社の顔を思い浮かべるんですよね。
2｜納品後の制作会社に、確認する義務はない
まず知っておいてほしいのは、これです。
ホームページの制作会社には、納品したあとに、PHPのバージョンをわざわざ探して伝える義務はありません。
制作の契約は、サイトを作って納品するところまで。その後の見守りや更新は、保守管理の契約を結んで、初めて頼めるものです。
そもそも、データが残っていない
もう一つ、知られていない事情があります。
ちゃんとした制作会社であればあるほど、納品が終わって保守を頼まれていないお客さんのデータは、基本的に削除しています。
サーバーのログイン情報や、管理画面のパスワード。そういう大事な情報を、関係が終わったあとも持ち続けるほうが、むしろ危ないからです。
つまり、「あの会社なら分かるはず」と思って連絡しても、相手の手元には何も残っていない。これが普通なんです。
3｜確認には、手間とお金がかかる
それでも、もし保守を頼んでいない制作会社に、バージョンの確認をお願いしたとします。
制作会社の側では、こんな作業が発生します。
・過去のデータを引っ張り出す（残っていれば）
・あなたのサーバーにログインする
・PHPのバージョンを確認して、連絡する
一つ一つは短い作業でも、人が動けば工数がかかります。工数がかかれば、当然、費用がかかる。
これは、制作会社の意地悪ではありません。仕事として当たり前のことなんです。
それを「ちょっと見てくれるだけでいいから」と、無償でやらせる。
正直に言うと、これはかなりタチの悪いお願いです。
頼む側にそのつもりがなくても、相手から見れば、契約していない仕事をタダで頼まれている状態。ここは、経営者としてしっかり認識しておきたいところです。
4｜じゃあ、どうするか。自分で確かめる3ステップ
ここからが本題です。
WordPressでサイトを持っている人は、ほとんどの場合、どこかのレンタルサーバーと契約しています。そこを手がかりにすれば、自分で確かめられます。
ステップ①：メールを検索して、サーバーの契約情報を探す
まずは、メールの検索です。
サーバーを契約したときには、たいてい「契約完了」や「設定完了」のお知らせがメールで届いています。
・「サーバー」
・「ご契約」
・「設定完了」
・エックスサーバー、ロリポップ！、さくら、ConoHaなどのサーバー会社の名前
こういう言葉で検索してみてください。毎月や毎年の請求メールから、契約しているサーバー会社が分かることもあります。
見つかったメールには、管理画面にログインするためのIDやパスワードが書いてあることが多いです。
ステップ②：自分でログインして、PHPのバージョンを見る
見つけたIDとパスワードで、サーバー会社の管理画面に自分でログインします。
管理画面の中に、「PHPのバージョン」や「PHP設定」といった項目があるはずです。そこに、今使っているPHPの版が表示されています。
WordPressの管理画面にログインできるなら、こちらでも見られます。
ツール → サイトヘルス → 情報 → サーバー → PHPバージョン
ステップ③：分からなければ、ヘルプかAIで調べる
管理画面のどこを見ればいいか分からないときは、慌てなくて大丈夫です。
・サーバー会社のヘルプページで「PHP バージョン」と検索する
・管理画面のスクショを撮って、AIに「PHPのバージョンはどこで見られる？」と聞く
この2つで、ほとんどの場合は分かります。
スクショをAIに見せるときは、IDやパスワード、契約者の名前が写っていない画面を選んでください。ここだけは気をつけて。
5｜見つけた数字を、直った版と比べる
PHPのバージョンが分かったら、直った版と比べてみてください。
・8.5なら 8.5.12 以上
・8.4なら 8.4.27 以上
・8.3なら 8.3.36 以上
・8.2なら 8.2.35 以上
番号が古くても、すぐに慌てなくて大丈夫です。
レンタルサーバーの多くは、サーバー会社の側でセキュリティの修正を当てています。番号はそのままで、独自に修正していることもあります。
サーバー会社の「お知らせ」や「障害・メンテナンス情報」のページで、今回のPHPの件が対応済みかどうかを確かめるのが確実です。
8.1以前の古い版を使っている場合は、PHP公式の更新版は出ません。サーバー会社の案内を見て、新しい版への切り替えを考えてください。
6｜それでも制作会社に頼みたいなら
もちろん、自分ではどうしても難しい、という人もいると思います。
その場合は、制作会社に「有料でお願いしたい」と最初から伝えて相談してください。
・確認だけなら、いくらかかるか
・版の切り替えまで頼むなら、いくらかかるか
・この先も見てもらうなら、保守の契約はどうなるか
ここまで聞いて、見積もりを出してもらう。これが、仕事をお願いするときの筋の通った頼み方です。
制作会社と連絡が取れなくなっている、という話もよく聞きます。そういうときこそ、自分で確かめる方法を知っておくと強いです。
7｜これを機に、手元に置いておきたい4つ
今回の件で、サーバーのログイン情報がどこにあるか分からなかった人。
それ、次に何かあったときも、同じことで困ります。
この機会に、次の4つを自分の手元にまとめておきましょう。
・レンタルサーバーの会社名と、管理画面のIDとパスワード
・WordPressの管理画面のURLと、管理者のIDとパスワード
・ドメインを契約している会社と、そのログイン情報
・何かあったときに頼む人（保守をお願いしている会社や担当者）
サイトは、作ってもらったら終わりではありません。持ち主は、あなたです。
8｜保存用：わたしのサイトの確認メモ
ここからは書き込み欄です。サイトの数だけ書き出してみてください。
・サイト名／URL：
＿＿＿＿＿＿
・契約しているサーバー会社：
＿＿＿＿＿＿
・契約のメールが見つかった場所（件名や日付）：
＿＿＿＿＿＿
・確認したPHPのバージョン：
＿＿＿＿＿＿
・サーバー会社のお知らせで確認したこと：
＿＿＿＿＿＿
・保守を頼んでいる人（いる・いない）：
＿＿＿＿＿＿
書けたら、最後の欄を見てください。「いない」なら、今回のように確かめる役目は、あなた自身にあるということです。
9｜まとめ：制作会社に聞く前に、自分で確かめる
PHPの重大な脆弱性で、WordPressのサイトを持っている人は、PHPのバージョンを確かめる必要があります。
ただし、納品が終わっていて保守を頼んでいない制作会社に聞くのは、お門違いです。
・制作会社に、納品後に確認する義務はない
・ちゃんとした会社ほど、データは残していない
・確認には工数がかかるので、本来は費用がかかる
だから、自分で確かめる。
・メールを検索して、サーバーの契約情報を探す
・自分でログインして、PHPのバージョンを見る
・分からなければ、ヘルプで調べるかAIに聞く
／
サイトの持ち主は、制作会社ではなく、あなた。
＼
とはいえ、サイトの保守や更新のように、自分でやらなくていい仕事は手放していいんです。大事なのは、誰に、どこまで、いくらで頼んでいるかを、自分で分かっていること。
土岐あい個別相談はこちら
https://book.enisha.co.jp/book/tokiai
【出典】
・PHP公式サイト「Security advisory: Critical remote code execution vulnerabilities, update now」2026年10月21日（CVE-2026-109618、CVE-2026-109619）
