【無償支援】政府も緊急対応を呼びかけるPHPの重大脆弱性「php2shell」Webサイトの約7割で使われるPHP、利用有無の確認から脆弱性の修正まで無料対応
「ホームページでPHPを使っているか分からない」企業も対象に、全国の中小企業を先着順で支援。無料期間は10月31日まで（申込状況により延長の可能性あり）。自社で確認できる3つの手順も公開
HiroshimAI株式会社（本社：広島県広島市中区、代表取締役：住田隆真）は、2026年10月22日、PHPの重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619、通称「php2shell」）への対応が難しい全国の中小企業を対象に、ホームページでのPHP利用の確認から修正版の適用までを無償で支援する「PHP緊急脆弱性 初期対応支援」を開始しました。社内に詳しい担当者がいない、ホームページを作った制作会社と連絡がつきにくいなどの理由で「何から確かめればよいか分からない」企業に向けて、自社で確認できる手順を公開するとともに、最初の対応をお手伝いします。本社は広島県にありますが、所在地を問わず全国の中小企業からお申し込みを受け付けます。
LINEでのお問い合わせ窓口はこちらから。 https://lin.ee/xDpftPf
要点 PHPの脆弱性「php2shell」で、まず何をすればよいか
今回の脆弱性への対応は、PHPを修正版（8.5.12／8.4.27／8.3.36／8.2.35）に更新することです。PHPの開発元は「完全な回避策はなく、更新だけが安全な選択肢」としています。PHP 8.1以前は開発元による更新版の提供が終了しているため、サポート中のバージョンへの更新が必要です。まずは自社のホームページがPHPで動いているか、どのバージョンかを確かめてください。※2026年10月22日時点の情報です。最新の情報はPHP公式サイト（https://www.php.net/）でご確認ください。
PHPとは ホームページの裏側で動いている「見えない土台」
PHP（ピーエイチピー）は、ホームページを動かすためのプログラミング言語の一つです。WordPressで作ったホームページや、お問い合わせ・予約フォーム、ネットショップなどの裏側で広く使われており、ホームページの持ち主が「使っている」と意識していないことも少なくありません。
背景 PHPはWebサイトの69.3%で稼働（W3Techs調べ）、不正アクセス被害を受けた中小企業の48.0%が「脆弱性」を突かれたと回答（IPA調べ）
PHPの開発元であるThe PHP Groupは、2026年10月21日夜（日本時間）、深刻度を示すCVSS v4.0で「9.2」と評価された脆弱性（セキュリティ上の弱点）2件を修正した PHP 8.5.12／8.4.27／8.3.36／8.2.35 を公開しました。ログインしていない第三者が、外部からサーバー上で勝手にプログラムを動かせるおそれがある内容です。公開に先立ち、情報処理推進機構（IPA）は同日「【事前準備のお願い】PHPのセキュリティリリース公開予定について」を発表し、国家サイバー統括室も公式Xで、公開しているWebサイトでのPHP利用の確認と修正版の速やかな適用を呼びかけました。高市早苗内閣総理大臣も自身のXで同様の呼びかけを行っています。セキュリティ企業Sansecは、修正版の公開前の10月21日にCloudflareが攻撃を観測したと報告しています。
今回の脆弱性は、AIを使った調査で見つかった点でも注目されています。OpenAIは10月21日の公式発表で、セキュリティ研究会社のCalifがOpenAIのAIモデルを使って重大な欠陥を特定し、セキュリティ企業のWizも独自に2件の脆弱性を発見・報告したと説明しています。
PHPは、W3Techsの調査（2026年10月21日時点）で、サーバー側の言語が判明しているWebサイトの69.3%に使われています。一方、PHPを使うサイトのうち3割超（バージョン7が27.0%、バージョン5が7.7%）は旧バージョンで動いています。PHP 8.1以前は開発元による更新版の提供が終了しており（今回は特例として、7.4・8.0・8.1向けに最小限の修正コードが公開されています）、多くの場合はサポート中のバージョンへの更新が必要です。
中小企業の備えは十分とはいえません。IPAの「2024年度中小企業等実態調査結果」速報版（2025年2月14日公表／全国の中小企業4,191社が回答）では、不正アクセスの被害を受けた企業（419社）のうち48.0%が「脆弱性（セキュリティパッチの未適用等）を突かれた」と回答しました。
また約7割の企業で組織的なセキュリティ体制が整っておらず、直近3期にセキュリティ対策へ投資していない企業は62.6%にのぼります。国や専門機関は「確認して、速やかに適用を」と呼びかけていますが、その「確認」を担う人がいないことが、中小企業にとっての最初の壁になっています。
自社のホームページがPHPを使っているか確認する方法 3つの手順で「対応が必要か」が分かります
-
自社のホームページはPHPで動いているか：WordPressやEC-CUBEで作ったホームページ、お問い合わせ・予約フォーム、ネットショップは、PHPで動いていることが多くあります。制作会社からの納品資料や、サーバー会社の契約管理画面で確認できます。WordPressの場合は、管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」欄で、PHPのバージョンを確認できます。
-
更新するのは誰か：レンタルサーバー（サーバー会社から借りている場所）を使っている場合は、サーバー会社が更新するか、管理画面のボタンでPHPのバージョンを切り替える形が一般的です。自社や制作会社でサーバーを管理している場合は、管理している人が修正版に入れ替える必要があります。
-
バージョンが修正版になっているか：8.2〜8.5系では、それぞれ8.2.35／8.3.36／8.4.27／8.5.12以降が修正版です（サーバー会社やOSの配布元が独自に修正を当てている場合は、番号が異なることがあります）。PHP 8.1以前は開発元による更新版の提供が終了しています。すぐに対応できない場合、国家サイバー統括室（公式X、2026年10月21日）は、ホームページを一時的に止めることもリスクを下げる有効策の一つとしています。
【HiroshimAIの無償支援でできること】 ホームページの確認から修正まで、4つのステップで代わりに行います
専門知識がなくても大丈夫です。会社名とホームページのアドレス（URL）をお送りいただければ、次の4つのステップを私たちが代わりに進めます。
-
ステップ1 確認：御社のホームページがPHPで動いているか、どのバージョンかを調べます。
-
ステップ2 判定：今回の修正版で直せるか、バージョンが古く別の対応が必要かを判断します。
-
ステップ3 適用：万一に備えてデータの控え（バックアップ）を取ってから修正版に入れ替え（またはサーバー会社の管理画面での切り替えをお手伝いし）、ホームページやお問い合わせフォームが今まで通り動くかを確かめます。
-
ステップ4 報告：何を行ったか、今後必要なことは何かを、1枚にまとめてお伝えします。
支援の特徴
-
作業の範囲と手順を事前に書面でご確認いただき、バックアップを取ってから無料で着手します。
-
対象は「緊急の初期対応」に限り、追加の契約や有償サービスへの申し込みを条件にしません。
-
HiroshimAIから突然ご連絡して作業を持ちかけることはありません。ご依頼は下記の窓口からのみ受け付けます。
※本支援はPHP本体の修正版の適用までを対象とし、ホームページ全体の安全性やすべての攻撃の防止を保証するものではありません。PHP 8.1以前の環境やホームページの改修を伴う対応は、個別にご相談のうえ進めます。
想定する対象企業
-
自社のホームページやお問い合わせ・予約フォーム、ネットショップをWordPress等で運用しているが、社内に詳しい担当者がいない企業
-
ホームページを作った制作会社との保守契約が終了している、または連絡がつきにくい企業
-
自社でサーバーを管理しているが、更新の手順や影響に不安がある企業
代表者コメント
「IPAの調査では、不正アクセスを受けた中小企業の約半数が、修正の未適用などの脆弱性を突かれていました。今回のPHPの件でも、国や専門機関が『確認して、速やかに適用を』と呼びかけていますが、その確認を担う人がいない会社は全国に少なくないと考えています。技術が分かる者が手を動かすことも、私たちの役割の一つです。地域の会社が安心して事業を続けられることが、豊かな家族の幸せにつながると考え、この支援を決めました」（HiroshimAI株式会社 代表取締役 住田隆真）
提供概要
-
名称：PHP緊急脆弱性 初期対応支援
-
受付開始日：2026年10月22日
-
対象：全国の中小企業が運営するホームページ・Webシステム（所在地は問いません）
-
内容：PHPの利用有無・バージョンの確認／修正版で直せるかの判定／修正版の適用（またはサーバー会社の管理画面での切り替え支援）／実施内容の報告
-
費用：無償（初期対応に限ります。2026年10月31日までのお申し込みが対象で、お申し込み状況により期間を延長する場合があります）
-
お申し込み：下記お問い合わせ先へ、会社名とホームページのアドレス（URL）をお送りください。ログイン情報はメールに記載せず、受付後にご案内する方法でお知らせください。お申し込みが多数の場合は、受付順（先着順）に順次対応いたします。ご対応までお時間をいただく場合がありますので、あらかじめご了承ください。
対応可否のご相談やホームページの状況確認は、下記お問い合わせ先または公式サイト（https://www.hiroshimai.co.jp/）から承ります。
LINEでのお問い合わせ窓口はこちら！ https://lin.ee/xDpftPf
よくあるご質問
Q. 自社のホームページがPHPを使っているか分からなくても相談できますか？
A. はい。会社名とホームページのアドレス（URL）をお知らせいただければ、PHPを使っているか、対応が必要かの確認から行います。
Q. 費用はかかりますか？
A. 初期対応（確認・判定・適用・報告）は無償です（2026年10月31日までのお申し込みが対象。お申し込み状況により延長する場合があります）。PHP 8.1以前からのバージョンアップなど、ホームページの改修が必要な場合は、内容と費用をご提示し、ご判断いただいてから進めます。追加の契約を条件にすることはありません。
Q. 東京や大阪、福岡など、広島県以外の会社も申し込めますか？
A. はい。所在地を問わず、全国の中小企業が対象です。
Q. レンタルサーバーを使っている場合も対象ですか？
A. 対象です。レンタルサーバーでは、サーバー会社が更新済みの場合や、管理画面でバージョンを切り替える形の場合が多いため、どの操作が必要かを一緒に確認します。
Q. WordPressを最新にしていれば大丈夫ですか？
A. 別の対応が必要です。今回の脆弱性はWordPressを動かしているPHP本体にあるため、WordPressの更新とは別に、サーバーのPHPを修正版に更新する必要があります。
Q. 申し込めばすぐに対応してもらえますか？
A. 受付順（先着順）に順次対応いたします。お申し込みが集中した場合はお待たせすることがあるため、その間は本リリースの「自社のホームページがPHPを使っているか確認する方法」の手順で状況をご確認いただくとともに、ご契約中のサーバー会社や制作会社にもあわせてご相談ください。
本リリースに関するお問い合わせ
担当：山口大樹
Email：yamaguchi@hiroshimai.co.jp
HiroshimAI株式会社 会社概要
会社名：HiroshimAI株式会社
所在地：広島県広島市中区紙屋町1-4-3 エフケイビル702
設立日：2026年7月3日
代表者：代表取締役 住田隆真
資本金：990万円
事業内容：AI顧問／AI研修／AIシステム開発／IoT開発
公式サイト：https://www.hiroshimai.co.jp/
Email：info@hiroshimai.co.jp
Tel：082-298-2614
すべての画像
- 種類
- 商品サービス
- ビジネスカテゴリ
- アプリケーション・セキュリティシステム・Webサイト・アプリ開発
- ダウンロード
- プレスリリース素材
このプレスリリース内で使われている画像ファイルがダウンロードできます
