- Q.脆弱性対策されたバージョンを教えてください。
脆弱性が解消されたバージョンは下記になります。
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
- Q.すでに身に覚えのないページが増えているなど、被害に遭っている疑いがある場合はどうすればよいですか？
至急サイトの安全確保と調査が必要です。
被害が疑われる場合は、被害拡大を防ぐためのアクセス制限（一時閉鎖やIP制限）を講じた上で、悪質なコードやバックドア（不正な隠しファイル）の調査・駆除（マルウェア駆除）を行う必要があります。弊社では緊急の復旧・マルウェア駆除もスポット対応可能です。
- Q.自分でPHPを更新するのが不安な場合、代行やサポートは依頼できますか？
はい、承っております。
事前のサイト全体バックアップから、検証環境での事前テスト、PHPバージョン切り替えに伴うテーマ・プラグインのエラー修正、サーバー側での脆弱性パッチ適用状況の確認まで、専門エンジニアがサイトを停止させることなく安全に代行いたします。お気軽にご相談ください。
- Q.自分でPHPのバージョンを上げるとサイトが真っ白になったり崩れたりしませんか？
古いテーマやプラグインが最新PHPに対応していない場合、画面が真っ白（Fatal Error）になったり表示が崩れる可能性があります。
PHPの更新前には必ず事前のバックアップを取得し、必要に応じてテーマやプラグインのアップデートを行ってから切り替える必要があります。万が一エラーが発生した場合は、元のPHPバージョンに切り戻して調査・修正を行うことが推奨されます。
- Q.一般的なレンタルサーバー（エックスサーバー、さくら、ConoHa、ロリポップなど）を使っている場合は何をすべきですか？
まずはご契約中のサーバー会社の「お知らせ・障害情報」をご確認ください。
共用レンタルサーバーの場合、サーバー会社側でセキュリティパッチの自動適用を進めているケースが大半です。ただし、PHP 8.1以前の古いバージョンを利用している場合は自動更新の対象外となっていることが多いため、サーバー管理画面からご自身でバージョンアップ手続きを行う必要があります。
- Q.自分のWebサイトが危険にさらされているか（対象かどうか）確認する方法はありますか？
WordPress管理画面の 「ツール」 ＞ 「サイトヘルス」 ＞ 「情報」タブ ＞ 「サーバー」 を開くことで、現在稼働しているPHPのバージョンを確認できます。
PHP 8.1 以前（7.4 / 8.0 / 8.1 等）： 公式のセキュリティサポートが終了しており修正版が提供されないため、危険度が高い状態です。至急 8.3 や 8.4 等の安全な系統へ切り替える必要があります。
PHP 8.2 / 8.3 / 8.4 系： 修正版がリリースされています。ご利用のレンタルサーバー会社のお知らせで「脆弱性修正パッチの適用完了」が告知されているかをご確認ください。
- Q.プラグインで「メンテナンスモード」に切り替えておけば攻撃を防げますか？
防ぐことはできません。
プラグインによるメンテナンス画面の表示は、PHPが起動した後に処理されます。今回の脆弱性はPHPが起動・処理を開始する段階で攻撃が成立してしまうため、WordPressプラグインによるメンテナンスモードではブロックできません。（一時的な遮断を行う場合は、サーバーの .htaccess によるIP制限など、PHP起動前の段階でアクセスを止める措置が必要です。）
- Q.WordPress本体やプラグインを最新版に更新していれば安全ですか？
いいえ、WordPressの更新だけでは防げません。
今回の問題はWordPressのプログラムではなく、サーバー上で動くPHPそのものの欠陥であるため、WordPress本体やプラグイン・テーマをアップデートしてもPHPの脆弱性は解消されません。サーバー側でPHP自体の修正プログラムを適用するか、安全なバージョンへ切り替える必要があります。
- Q.今回報道されているPHPの脆弱性とは何ですか？どのようなリスクがありますか？
Webサイトを動作させているプログラミング言語「PHP」自体に、外部から任意のプログラムを遠隔実行されてしまう極めて深刻な脆弱性（通称：php2shell等）が確認されました。
放置した場合、サイトの改ざん（身に覚えのない広告や不正リンクの埋め込み）、個人情報や顧客データの漏洩、サーバーの乗っ取り、迷惑メールの踏み台化などの被害に遭う恐れがあります。