「PHPに脆弱性が見つかりました」というニュースを見て、「うちのホームページは大丈夫？」と不安になった今治市の事業主さん・WEB担当者さんへ。
この記事では、専門用語をなるべく使わずに、結局なにをすればいいのかをまとめました。
まず結論：やることは3つだけ
- PHPのバージョンを確認する
- WordPress本体・テーマ・プラグインを最新にする
- バックアップをとっておく
この3つをやっておけば、ほとんどの場合は十分です。順番に説明します。
地元のお店・会社こそ気をつけたい理由
「うちは小さい会社だから狙われない」「地元のお客さんが中心だから関係ない」と思われがちです。でも、攻撃は人が一軒ずつ選んでいるのではなく、プログラムが世界中のサイトを自動で順番にチェックしています。会社の大きさや場所は関係ありません。
地域に根ざした仕事では、「信用」が一番の財産です。サイトが乗っ取られると、たとえば次のようなことが起こります。
- 「今治 ○○」で検索してくれたお客さんに、「このサイトは危険です」という警告が表示される
- 知らない商品の宣伝ページや、関係ないサイトへ飛ばされるページができる
- お問い合わせフォームから届くはずの依頼が、届かなくなる
口コミや紹介で来てくれた方にまで不安を与えてしまうのが、一番もったいないところです。
そもそもPHPって何？
PHPは、ホームページを裏側で動かしている「プログラム言語」です。WordPressで作られたサイトは、PHPが動いているからこそ表示されたり、お問い合わせフォームが使えたりします。
お店でいえば、お客さまには見えない厨房のようなものです。
「脆弱性」ってなに？
脆弱性（ぜいじゃくせい）とは、プログラムの弱点、つまり「鍵のかかっていない窓」のようなものです。
玄関の鍵をしっかり閉めていても、窓が1つ開いていたら、そこから泥棒に入られてしまいますよね。それと同じで、PHPに弱点が見つかると、悪意のある人がそこからサイトに入り込もうとします。
入り込まれると、ホームページの内容を勝手に書き換えられたり、迷惑メールの送信元に使われたり、お問い合わせフォームで集めた情報が漏れたりする可能性があります。
やること①：PHPのバージョンを確認する
ニュースで脆弱性が見つかるのは、たいてい古いバージョンのPHPです。まずは、自分のサイトのPHPが何番なのかを調べましょう。
WordPressの場合は、管理画面からすぐに確認できます。
- WordPressの管理画面にログイン
- 左メニューの「ツール」→「サイトヘルス」をクリック
- 上のタブの「情報」→「サーバー」を開く
- 「PHPバージョン」の欄を見る
バージョンの目安
PHPは、バージョンごとに「サポート期限（修正プログラムが出続ける期間）」が決まっています。期限が切れると、新しい弱点が見つかっても直してもらえなくなります。
| PHPバージョン | 状況 |
|---|---|
| 8.1以前 | サポート終了済み。早めの切り替えが必要 |
| 8.2 | 2026年末でサポート終了予定。そろそろ準備を |
| 8.3以降 | 現役。基本的にこのあたりを使っていれば安心 |
※サポート期限は変わることがあるため、最新情報は公式サイト（php.net）や、お使いのレンタルサーバーのお知らせで確認してください。
バージョンを上げたいとき
PHPのバージョンは、レンタルサーバーの管理画面から切り替えられることがほとんどです（エックスサーバー、ConoHa WING、ロリポップなど、多くのサーバーに「PHPバージョン切替」の項目があります）。
ただし、切り替える前に必ず次のことをしてください。
- 先にバックアップをとる
- テーマやプラグインを最新にしておく（古いままだと、バージョンを上げたときに画面が真っ白になることがあります）
- 切り替えたあとは、トップページ・主要なページ・お問い合わせフォームを実際に見て、動作を確認する
やること②：WordPress・テーマ・プラグインを最新にする
実は、ホームページが乗っ取られる原因は、PHPそのものよりも、古いプラグインやテーマのほうが多いと言われています。
管理画面の「ダッシュボード」→「更新」に、更新が必要なものが表示されます。Elementor（エレメンター）をお使いの場合も、Elementor本体とアドオンが最新かどうか、あわせて確認しましょう。
コツは次のとおりです。
- 更新の通知が出たら、ためずに早めに更新する
- 使っていないプラグインやテーマは削除する（入れっぱなしが一番危険です）
- 更新の前には、バックアップをとる
やること③：バックアップをとる
バックアップは、「万が一のときの保険」です。ホームページのデータをまるごとコピーして、別の場所に保管しておくことです。
バックアップがあれば、もしサイトが壊れても、元の状態に戻すことができます。
- レンタルサーバーの自動バックアップ機能を使う
- WordPressのバックアップ用プラグインを使う
どちらでも構いません。「自動でとってくれている」状態にしておくと、忘れずに済みます。
追加でやっておくと安心なこと
- 管理画面のパスワードを、長くて推測されにくいものにする
- ログイン時の2段階認証を設定する
- 管理画面のユーザー名を「admin」のままにしない
- 使っていないユーザーアカウントを削除する
逆に、やらなくていいこと
- PHPのプログラムを自分で読む・直す（専門家の仕事です）
- ニュースを見るたびに慌ててサイトを作り直す
- 「うちは小さい会社だから大丈夫」と放置する
こんな症状があったら、早めにご相談を
- 見たことのないページや記事が、いつの間にか増えている
- サイトを開くと、関係ないサイトに飛ばされる
- Googleで検索したときに「このサイトは危険です」と出る
- 管理画面にログインできなくなった
- 身に覚えのない迷惑メールが、サイトのアドレスから送られていると言われた
今日できるチェックリスト
- PHPのバージョンを確認した
- WordPress本体・テーマ・プラグインを最新にした
- 使っていないプラグイン・テーマを削除した
- バックアップが自動でとれている
- パスワードが簡単なものになっていない
まとめ
PHPの脆弱性ニュースが出たときも、慌てる必要はありません。「PHPのバージョン確認」「WordPressまわりの更新」「バックアップ」の3つを、日ごろの習慣にしておけば大丈夫です。
それでも、「自分で確認するのは不安」「どこを見ればいいかわからない」という今治市の事業主さん・WEB担当者さんは、お気軽にご相談ください。れっこデザインで制作させていただいたサイトはもちろん、他社で作られたサイトでも、状態の確認やご相談を承ります。
