2026年10月21日夜のPHPプログラムの脆弱性についての発表を受けて、対応に追われた企業も多くありました。
弊社でも継続コンサルティングのご依頼を頂いていた企業様やサイトの制作、納品をさせていただいた企業様のサイトを順次対応させていただき、無事、書き換え被害などが起こる前に脆弱性に対応したPHPのバージョンへの対応いたしました。
起業スタート時の小規模事業者様では、ご自身でWordPressを立ち上げ、運営されることも多いです。
WordPresssで立ち上げたホームページでは、費用を抑えてSEO対策などに取り組むことができ、顧客ニーズに合わせて適宜、サイトでのサービス案内の内容を変えることもでき、集客できるようになった成功事例はたくさんあります。私自身も講座や専門家派遣で後押しさせていただいてきました。
まずは、今回のPHPの脆弱性への対応方法をご説明し、今後、生成AIの発展に伴い増加するセキュリティリスクへの対応を強化する機会にしていただけたらと思います。
今回は、発表すぐから、各レンタルサーバー会社が対応に追われてPHP脆弱性に対しての対応方針の案内が表示されるばかりで、レンタルサーバーの自社の管理画面にも入ることができなくなりました。
PHPのバージョンアップは、レンタルサーバーの管理画面から行いますので、フラストレーションを感じた方も多かったのではないでしょうか。このような状況でまず行うべきは、自社のWordPressにログインして、WordPresssのバックアップの取得です。
まずは、現状のPHPバージョンの確認
自社のWordPressの管理画面に入ったらサイドメニューの「ツール」→「サイトヘルス」→「情報」タブをクリック→「サーバー」の項目をクリック。「PHPバージョン」でそのWordPressに適用されているPHPプログラムのバージョンが確認できます。脆弱性に対応された修正バージョンについては各レンタルサーバーの発表でご確認ください。（この画面の「8.3.36」は8.3の脆弱性に対応された修正バージョンです。）サポート対象外になっている７などの古いバージョンの場合は、脆弱性対応された修正バージョンが適用されないため、急ぎPHPのバージョンアップが必要です。
ただ、このままPHPのバージョンアップすると、WordPressで使っているテーマやプラグインが古いままでは対応できず、表示エラーになることがあります。そのため、まずは動いている状況を確認したらバックアップを取得します。
（念を入れるなら、感染がないことをするためにセキュリティプラグインWordfenceを入れてスキャンすることもよいかもしれませんが今回は省略しました）
まずは、バックアップの取得
たとえ、サイトに侵入されて書き換えなどの被害が発生しても、最悪「バックアップデータ」があれば、復旧が可能です。
逆に「バックアップ」がないままに書き換えが発生してしまうと、元の状態に戻すことは難しくなります。これまで積み重ねてきた資産を失うといっても過言ではありません。
無料で比較的使いやすく、容量が大きなWordPresssのバックアップや復旧もできる『UpdraftPlus: WP Backup & Migration Plugin』というプラグインはよく使っています。
バックアップ用プラグインを入れていなかった方は、この機会にバックアッププラグインを追加し、定期的にバックアップを取得する設定をしておきましょう。
※ただ、UpdraftPlusの開発元で不正アクセスがあり情報漏洩があったことが発表されました。これを受けて一部のレンタルサーバー会社では、既にインストールされていた『UpdraftPlus: WP Backup & Migration Plugin』のプラグインが旧バージョンで放置されていた場合、「UpdraftPlus」のディレクトリのアクセス権限を『000』にし再インストールができない状況に変更されていました。（弊社の作業中には、Xサーバーのお客様で確認できました。）。その場合は、FTP接続するなどしてディレクトリのアクセス権限を変更し、最新版をインストールすることが必要です。今回の作業では、取り急ぎ、「All-in-One WP Migration」などの別のバックアッププラグインでバックアップを取得しました。ただ、「All-in-One WP Migration」では定期バックアップが取得できないため、後日「UpdraftPlus」の再インストールは必要です。その後「All-in-One WP Migration」のプラグインは削除しました。
以前から『UpdraftPlus: WP Backup & Migration Plugin』のプラグインを使っていた方も、有料の接続サービスを使っていなければ今回の情報漏洩の影響はありません。（正確には公式サイトをご確認ください。）
今回のバックアップ＆復旧系のプラグインは、脆弱性があると書き換え被害の原因になることがありますので。最新版を使い、スケジュール通りバックアップが取得できているか確認しておくことが安心です。
UpdraftPlusが追加できたら、サイドメニューから「UpdraftPlus」をクリックし「今すぐバックアップ」をクリックします。
バックアップができると下に５つの項目に分かれてバックアップされた履歴が表示されます。
「データベース」「プラグイン」「テーマ」「アップロード」「その他」とそれぞれの項目をクリックすると上に「お使いのコンピューターにダウンロード」のボタンが表示されますのでクリックして、PCにダウンロードします。5種類すべて同様に行います。ファイルの数が多い場合など、アップロードのバックアップが複数になることもあります。
最終的にはUSBなどに退避しておくのもおすすめです。
これで、万一、サイトが書き換え被害にあっても復旧できる状態になりました。目的の半分は達成できたと言えるでしょう。
定期バックアップスケジュールの設定を確認
この機会に、定期的なバックアップ設定ができているか確認しておきましょう。
「設定」のタブに切り替えると、定期的に自動で行われるバックアップのスケジュールの設定ができます。
おすすめでよく設定するのは「Weekly」（毎週） バックアップの保存を３～4個。
これで概ね1か月前までの状態に戻せることになります。
「ファイル」と「データベース」の両方のバックアップを取得する設定にしておきます。
このままでは、レンタルサーバーのWordpressが設置されている中にバックアップファイルが作られますが、最近の書き換え事例では、このバックアップファイルも削除したり書き換えたりする例が発生しています。
Googleドライブなどリモートストレージにバックアップ先を指定しておく方が安全です。
画面一番下の「変更を保存」をクリックすると設定が保存されます。リモートストレージをバックアップ先に選んだ場合はGoogleドライブなどの認証確認画面が出ますので接続設定をしておきましょう。
WordPressやテーマ、プラグインを最新版に更新
レンタルサーバーのPHPを最新版にバージョンアップすると、古いテーマやプラグインが対応できずサイトが表示できないなどが起こることがあります。
LightningやSWELLなどは最新版が今も更新されているので安心ですが、過去の古いテーマについては気を使います。私自身は、ClaiudeCodeに先ほどのバックアップデータからテーマに関するものを渡し、新しいPHPやWordPressのバージョンに対応できるか確認してもらってからバージョンアップしました。
WordPressやテーマ、プラグインを最新版に更新するタイミングが一番エラーが出やすく、先にバックアップを取ってあることが何より安心です。
いよいよレンタルサーバーでPHPのバージョンアップ
当初はレンタルサーバーの管理画面がメンテナンス中になっていたり、アクセス集中でログインできなくなっていましたが今はもう大丈夫です。レンタルサーバーの管理画面にログインしてPHPの脆弱性に対応したバージョンに修正します。
レンタルサーバーにログインしPHPのバージョンアップする
使っているレンタルサーバーごとにPHPをバージョンアップする画面はかなり違います。Xサーバーやロリポップは、ドメインごとに適用させるPHPのバージョンを変更できます。
その点、さくらインターネットは、契約しているサーバーごとPHPのバージョンを変える設定です。複数のサイトを一つのレンタルサーバーの契約で運営している場合、一番気を遣うのが「さくらインターネット」です。
最近は、生成AIがサポートしてくれるのでやりやすくなったと思います。Chromeのブラウザの場合は、右上に「Geminiに相談」をクリックし右上の「…」メニューから「チャットをポップアップ表示」を選んで、画面を見てもらいながら質問するのがおすすめです。
レンタルサーバーのWAFなどのセキュリティ強化を追加設定
レンタルサーバーの多くが提供している「WAF」という設定もこの機会に設定しておくことをおすすめします。
比較的簡単に導入できるセキュリティ強化の設定です。
Xサーバーなどでも規定値はOFFになっているので、この機会に「ON」に設定しておきましょう。
ただ、WAFを有効にしていると、国内からの正常な記事更新やサイト編集であっても誤検知によるエラー（主に 403 Forbidden）が発生することがあります。
その時は、WAFを一時的に無効にして回避できるか確認することにより、エラーの原因を確認するようなことがあります。Ｘサーバーでは、ブロックした原因を特定して、ブロック理由ごとにＯＦＦにするなど細かな設定ができるようです。
まとめ
WordPressは世界標準的なツールですため、対応できる専門家は多くいます。
対応しきれないトラブルにあたっては、必要に応じて専門家のサポートを受けることもおすすめです。
今後、生成AIがサイト書き換えのリスクは高まっています。専門家でもバックアップがない場合には復旧のしようがありません。まずは「バックアップがちゃんと取れている状態」であること、そして、時には物理的にも切り離されたＰＣやＵＳＢなどにダウンロードしておくことが一番大事なことです。
WordPressは、サイトの中に情報を積み重ねていくことで資産化できる素晴らしいツールです。SEO対策やAIO・GEOなど生成AI対策にも強いこと、プラグイン機能の拡張性も高いこと。ただ、作りっぱなしで放置するのは危険な時代になりました。
しっかりメンテナンスしながら運営していくことで結果が得られるツールなのだと思います。
