2026年10月に、PHP の大きな脆弱性が公表されました。PHP はサイトの裏側でページを組み立てる言語で、WordPress も PHP で動いています。今回の穴は、ログインなしで外から乗っ取られるおそれがあり、サイトを入口に、見に来た人まで巻き込まれるおそれのあるものでした。
この記事は、今すぐ確かめたい5つだけを、短くまとめたものです。上の表は、見返し用です。それぞれの確かめ方と例文は、下の本文で確かめてください。ChatGPT や Claude などの AI を使っている方のために、AI への頼み方の例文も添えました。
何が問題なのか、なぜそうなるのかは、PHP の脆弱性は何が問題なのか。サイトが入口になり、見に来た人まで巻き込まれる で詳しくお話ししています。
はじめに：AI は2種類あります
- チャットの AI（ChatGPT や Claude のアプリ・サイト）：あなたのパソコンやサーバーの中は見えません。どこを開いて、何を見ればよいかを、一緒に考えてもらう使い方です。
- パソコンの中で動く AI（パソコンで作業をしてくれる AI の道具）：パソコンの中を、実際に読んで調べられます。そのぶん、頼み方に守りの言葉を入れておくことが大切です。AI が読んだ命令の結果やファイルの中身は、考えるために、多くの場合 AI の会社のサーバーにも送られます。だから、名前や秘密がそのまま出る調べ方は、なるべく避けてもらいます。
どちらの AI にも共通の約束
- パスワードや鍵を、AI に渡さない。 画面の写しを貼るときは、写っていないか先に確かめます。
- AI の答えは、サーバー会社や公式の案内でも確かめる。 AI は、それらしく間違えることがあります。
- 直すかどうかは、自分で決める。
下の例文には、1つだけ取り出して使うときのための注意を入れてあります。どの例文も「頼みたいこと」「守ってほしいこと」「答え方」の3つに分けてあるので、そのまま全部を貼ってください。〇〇の所は、ご自分の環境に置き換えてください。それでも、AI の答えは公式の案内でも確かめてください。
1. サイトの PHP の版（サイトを持っている人）
なぜ： 今回の穴は、サイトの裏側の PHP にあります。系統（8.3 など）が同じでも、細かい版が直した版より前なら、穴が残っているおそれがあります。ただし、版の番号だけでは分からないこともあります（サーバー会社が別に手当てしている場合など）。
どうやる： サーバーの管理画面で、サイトごとの PHP の版を見ます。直った版は 8.5.12・8.4.27・8.3.36・8.2.35 です。それより前、または 8.1 以前なら、サーバー会社のお知らせを確かめるか、問い合わせてください。
チャットの AI に頼むなら
【頼みたいこと】私はレンタルサーバーで WordPress のサイトを持っています。サーバー会社は〇〇です。2026年10月に公表された PHP の脆弱性について、自分のサイトの PHP の系統と細かい版（8.3.36 のような数字）を確かめたいです。管理画面のどこを見ればよいかを、1つずつ教えてください。版の番号だけでは分からないこともあるので、サーバー会社のお知らせで、今回の手当てが済んでいるかの確かめ方も教えてください。
【守ってほしいこと】〇〇のままの所があれば、手順を出す前に私に聞いてください。パスワードや鍵、ログインの情報は、あなたには伝えません。実際に変えるかどうかは、私が自分で決めます。
【答え方】分からない所は推測で答えず、公式の案内のどこを見ればよいかも教えてください。画面の写しや結果を貼る前に、パスワード・ログインの情報・名前が写っていないかの確かめ方も教えてください。
パソコンの中で動く AI では： サイトの版は、サーバー会社の管理画面かお知らせで確かめるのが確かです。この確かめのために、AI にサーバーへつながせる必要はありません。
2. WordPress の更新（サイトを持っている人）
なぜ： 古い版は、直し方が公表されたあとに狙われやすくなります。テーマやプラグインも同じです。
どうやる： 更新の前に、サイトのデータと設定の控えを取り、戻し方を確かめます。そのうえで、本体・テーマ・プラグインを更新します。使うテーマやプラグインは、公式の置き場か、よく知られた会社のものだけにします。
チャットの AI に頼むなら
【頼みたいこと】WordPress の本体・テーマ・プラグインを更新する前に、サイトの控え（バックアップ）を取り、戻し方を確かめる手順を、初めての人向けに順番に教えてください。サーバー会社は〇〇です。サーバー会社の控えの機能があるかどうかも、確かめ方を教えてください。
【守ってほしいこと】更新は、控えと戻し方を確かめてから、私が自分で行います。〇〇のままの所があれば、手順を出す前に私に聞いてください。パスワードや鍵、ログインの情報は、あなたには伝えません。実際に変えるかどうかは、私が自分で決めます。
【答え方】分からない所は推測で答えず、公式の案内のどこを見ればよいかも教えてください。画面の写しや結果を貼る前に、パスワード・ログインの情報・名前が写っていないかの確かめ方も教えてください。
3. ブラウザと OS（サイトを見るすべての人）
なぜ： 改ざんされたサイトを開くと、ウイルスを送り込まれることがあります。見ただけで入り込まれるのは、主にブラウザや OS（パソコンの土台）が古いままのときです。
どうやる： ブラウザと OS の更新を、溜めずに当てます。あわせて、勝手に落ちてきたファイルは開かない、「ウイルスに感染しました」のような偽の警告を信じない（電話をかけない・指示されたソフトを入れない）、の2つを覚えておきます。
チャットの AI に頼むなら
【頼みたいこと】私のパソコンは〇〇（Windows か Mac）で、ブラウザは〇〇です。OS とブラウザが最新になっているかの確かめ方と、更新の手順を、1つずつ教えてください。画面に「ウイルスに感染しました」のような警告が出たときに、本物か偽物かを見分ける考え方も教えてください。
【守ってほしいこと】〇〇のままの所があれば、手順を出す前に私に聞いてください。パスワードや鍵、ログインの情報は、あなたには伝えません。実際に変えるかどうかは、私が自分で決めます。
【答え方】分からない所は推測で答えず、公式の案内のどこを見ればよいかも教えてください。画面の写しや結果を貼る前に、パスワード・ログインの情報・名前が写っていないかの確かめ方も教えてください。
4. パソコンの Node.js と Python（AI の道具を使う人）
なぜ： 最近の AI の道具の多くは、Node.js や Python の上で動いています。ここが古いと、読み込んだファイルや Web ページをきっかけに、パソコンの中で勝手に動かされるおそれがあります。Node.js は 20 以前、Python は 3.10 以前が期限切れです。AI の道具のアプリの中に、別の Node.js が入っていることもあります。
どうやる： node --version と python --version（Windows なら py --list も）で版を見ます。期限切れや古い版なら、入れたときと同じ方法で上げます。期限内でも、今回のように穴を直す前の版のことがあるので、細かい版まで見て、最新の直しが入っているかを公式の発表で確かめます。
- Mac に最初から付いている Python：消したり上書きしたりせず、新しい版を横に足します。
- AI の道具のアプリの中に入っている Node.js：パソコンの Node.js を上げても、こちらは上がりません。アプリそのものを、作った側の方法で更新します。
チャットの AI に頼むなら
【頼みたいこと】私のパソコンは〇〇（Windows か Mac）です。Node.js と Python の版（細かい版まで）を確かめる命令と、その版が期限内かどうか、そして最新の直しが入った版かどうかを、Node.js と Python の公式の予定表や発表で確かめる方法を教えてください。Mac に最初から付いている Python と、アプリの中に入っているものは、どう扱えばよいかも分けて教えてください。
【守ってほしいこと】〇〇のままの所があれば、手順を出す前に私に聞いてください。パスワードや鍵、ログインの情報は、あなたには伝えません。実際に変えるかどうかは、私が自分で決めます。
【答え方】分からない所は推測で答えず、公式の案内のどこを見ればよいかも教えてください。画面の写しや結果を貼る前に、パスワード・ログインの情報・名前が写っていないかの確かめ方も教えてください。
パソコンの中で動く AI に頼むなら
【頼みたいこと】このパソコンに入っている Node.js と Python の版（細かい版まで）を調べて、一覧にしてください。AI の道具のアプリの中に別の Node.js が入っていれば、それも分けて書いてください。
【守ってほしいこと】読むだけで調べてください。何も入れず、何も変えず、何も消さないでください。パスワードや鍵が入っていそうなファイルは開かず、中身を開かないと分からないときは、そこで止まって私に聞いてください。設定の一覧や環境の中身を表示するような、秘密が出るおそれのある命令も使わないでください。利用者の名前・パソコンの名前・サーバーの名前がそのまま出る命令（置き場所を丸ごと出すものなど）はなるべく使わず、置き場所は「利用者のフォルダの中」のように書いてください。名前が出てしまう調べ方しかないときは、調べる前に止まって私に聞いてください。サーバーやほかのサービスにはつながず、調べた結果を外へ送らないでください。直すかどうかは私が決めます。
【答え方】期限が切れているか、最新の直しが入っているかは推測で決めず、私が公式の予定表と発表で確かめるまで「未確認」としてください。調べた事実と推測を分けて書き、調べた範囲と、調べられなかった範囲も書いてください。見つからないものを「無い」と言い切らないでください。
5. 使っていない道具に残ったパスワード（パソコンを使うすべての人）
なぜ： 以前使っていたファイル転送の道具などに、サーバーのパスワードが読める形で残っていることがあります。パソコンに入り込まれたら、そこからサーバーまで届いてしまいます。しかも、アプリを消しても、パスワードの入った設定のフォルダは残ることがあります。
どうやる： 使っていない道具は、保存したパスワードを消すか、道具ごと外します。外したら、設定のフォルダが残っていないかまで確かめます。消す前に、そのフォルダがそのアプリだけのものかを確かめ、まずごみ箱へ移し、困らないと分かってから空にします。
チャットの AI に頼むなら
【頼みたいこと】以前使っていたファイル転送の道具（〇〇）に、サーバーのパスワードが保存されたままになっていないかを確かめたいです。私のパソコンは〇〇（Windows か Mac）です。保存されたパスワードを消す方法と、アプリを外したあとに設定のフォルダが残っていないかの確かめ方を、1つずつ教えてください。フォルダを片付けるときは、そのフォルダがその道具だけのものかを見分ける方法と、すぐ消さずにまずごみ箱へ移し、困らないと分かってから空にする手順で教えてください。
【守ってほしいこと】その道具だけのものか分からないときは、手順を出す前に私に聞いてください。〇〇のままの所があれば、手順を出す前に私に聞いてください。パスワードや鍵、ログインの情報は、あなたには伝えません。実際に変えるかどうかは、私が自分で決めます。
【答え方】分からない所は推測で答えず、公式の案内のどこを見ればよいかも教えてください。画面の写しや結果を貼る前に、パスワード・ログインの情報・名前が写っていないかの確かめ方も教えてください。
パソコンの中で動く AI に頼むなら
【頼みたいこと】このパソコンに入っている、ファイルを送る道具やサーバーにつなぐ道具を、アプリの一覧と、よく使われる設定の置き場所から探して、一覧にしてください。前に外した道具の設定のフォルダが残っていないかも見てください。
【守ってほしいこと】読むだけで調べてください。何も入れず、何も変えず、何も消さないでください。パスワードや鍵が入っていそうなファイルは開かず、中身を開かないと分からないときは、そこで止まって私に聞いてください。設定の一覧や環境の中身を表示するような、秘密が出るおそれのある命令も使わないでください。利用者の名前・パソコンの名前・サーバーの名前がそのまま出る命令（置き場所を丸ごと出すものなど）はなるべく使わず、置き場所は「利用者のフォルダの中」のように書いてください。名前が出てしまう調べ方しかないときは、調べる前に止まって私に聞いてください。サーバーやほかのサービスにはつながず、調べた結果を外へ送らないでください。外すか消すかは私が決めます。
【答え方】パスワードが保存されているかどうかは、「保存されている・いない・分からない」だけを書いてください。確かめられなかった所は「未確認」と書いてください。調べた事実と推測を分けて書き、調べた範囲と、調べられなかった範囲も書いてください。見つからないものを「無い」と言い切らないでください。
終わったら
- 5つの結果を、どこかに1行ずつ残しておきます。次に同じようなニュースが出たとき、どこから見ればよいかがすぐ分かります。
- 会社のサイトやサーバーにつながるパソコンが何台かあるなら、同じ5つを、つながる全員で。この記事を渡して使っていただけます。
当社が実際にここまで点検した実例と、なぜこれが大事なのかは、PHP の脆弱性は何が問題なのか。サイトが入口になり、見に来た人まで巻き込まれる にまとめています。当社の日ごろの取り組みは 情報セキュリティへの取り組み をご覧ください。点検の進め方や、AI を使った点検のお手伝いについてのご相談は、お問い合わせフォームからどうぞ。
