製造業ホームページのPHP脆弱性、WordPress確認方法と対応の切り分け3ステップ

レンタルサーバーでWordPressを動かしている部品加工・製造業のWeb担当者が、ある日突然「PHPに緊急レベルの脆弱性が見つかった」というニュースに直面したとき、何から手をつければいいかわからない——これはめずらしくない状況です。

2026年10月に公表された通称「php2shell」と呼ばれる脆弱性は、特定のPHPバージョンを使っているサーバー上で、外部からファイルを書き込まれたり、不正なコマンドを実行されたりするリスクがあるとされています。WordPressはPHPで動いているため、このバージョンに該当していれば、サイトが踏み台にされたり、お問い合わせフォームのデータが抜き取られたりする可能性があります。

ただし、パニックになる前に確認すべきことが順番にあります。以下の3ステップで「自分のサイトが影響を受けるか」「対応はサーバー会社に任せるか自社でやるか」を整理できます。製造業のWeb担当者が専門知識ゼロでも動けるよう、できるだけ具体的に書きました。

PHP 脆弱性とWordPressの関係——製造業サイトが狙われる理由

「うちは部品の問い合わせを受けるだけのサイトだから、攻撃者に狙われるわけがない」という感覚は、残念ながら正確ではありません。攻撃の多くは特定の企業を狙い打ちにするのではなく、脆弱なバージョンのPHPを使っているサーバーを自動的にスキャンして、手当たり次第にアクセスを試みます。

たとえば、金属プレス加工を手がける従業員40名ほどの会社が、数年前に制作会社に依頼したWordPressサイトをそのまま運用しているケースを考えてみてください。制作当時はPHP 7系を使っていたが、今もそのまま——こういう状態のサイトは少なくありません。PHP 7系はすでに公式サポートが終了しており、新しい脆弱性が見つかっても修正パッチが提供されません。php2shellのような脆弱性が発覚したとき、最も影響を受けやすいのはこうした「作りっぱなし」のサイトです。

被害の具体例としては、お問い合わせフォームから送られてくる内容の傍受、サイト内にマルウェアを仕込まれて訪問者のPCに感染を広げる踏み台化、Googleからスパムサイトとして検索順位を大幅に下げられるといったケースが考えられます。製造業の取引先が「このサイト、セキュリティ警告が出た」と感じたとき、信頼への影響は無視できません。

ステップ1：WordPressのサイトヘルスでPHPバージョンを確認する方法

まず自分のサイトが使っているPHPのバージョンを調べます。WordPressには「サイトヘルス」という標準機能があり、サーバーの技術情報をまとめて確認できます。難しい操作は不要です。

1. WordPressの管理画面にログインする（通常は「サイトURL/wp-admin」）
2. 左メニューの「ツール」をクリックし、「サイトヘルス」を選ぶ
3. 上部の「情報」タブをクリックする
4. 「サーバー」の項目を開くと「PHPのバージョン」が表示される

ここで表示されたバージョンを控えておきます。確認すべきポイントは「8.1以上かどうか」です。PHP 8.0以下（7系・5系を含む）を使っている場合は、次のステップに進んで対応を検討してください。php2shellの影響範囲については、使用しているPHPのマイナーバージョンによって異なるため、サーバー会社からの案内も必ず参照してください。

なお、管理画面にログインできない場合や、「ツール」メニューが表示されない場合は、利用しているレンタルサーバーの管理パネル（cPanelやさくらのサーバーコントロールパネルなど）からも確認できます。「PHP設定」や「PHPバージョン切り替え」といったメニューを探してみてください。

ステップ2：サーバー会社対応待ちか自社対応かを切り分ける

PHPバージョンを確認したら、次は「誰が対応するか」を判断します。これを曖昧にしたまま放置するのが最も危険なパターンです。

サーバー会社に任せてよいケース

• 契約しているレンタルサーバーから「脆弱性対応完了」「PHPを自動更新しました」といった通知メールが届いている
• サーバーのPHPバージョンが8.1以上に既に設定されている
• マネージドサービス（サーバー管理をすべて委託しているプラン）を契約している

自社（または依頼した制作会社）が動く必要があるケース

• PHPのバージョンが8.0以下のまま変わっていない
• サーバー会社から案内はあるが「お客様にてPHPバージョンをご変更ください」と書かれている
• WordPressのプラグインが古く、PHP 8系に対応していない可能性がある

樹脂成形部品を扱う企業で、数年前に外注して作ったWordPressサイトを担当者がほぼ触っていない場合、プラグインが旧バージョンのままPHPだけ上げると、サイトが正しく表示されなくなることがあります。PHPバージョンの変更は「上げるだけ」で終わらないケースがあるため、制作会社や保守業者に状況を共有してから作業するのが無難です。

ステップ3：緊急対応後にやっておくべき最低限の保守設定

今回の脆弱性対応を終えた後、同じ状況を繰り返さないための設定を最低限整えておきます。製造業のWeb担当者が本業と並行して管理する現実を踏まえ、手間が少ない方法に絞って紹介します。

WordPressの自動更新を有効にする

WordPressのコア（本体）はセキュリティ修正のマイナーアップデートを自動適用する設定が標準で有効になっています。管理画面の「ダッシュボード」→「更新」を開き、「自動バックグラウンド更新が有効化されています」と表示されていれば問題ありません。

サーバー会社のセキュリティ通知メールを受け取れる状態にする

レンタルサーバーの契約時に登録したメールアドレスが、現在も確認できる状態になっているか確認してください。担当者の退職や部署変更でメールが届かなくなっているケースが製造業の中小企業では起きやすいです。

WordPressの管理画面URLを変更する、またはログイン試行制限プラグインを入れる

「サイトURL/wp-admin」というデフォルトのURLは攻撃者にも知られているため、ログイン試行を繰り返す自動攻撃（ブルートフォース攻撃）を受けやすいです。「SiteGuard WP Plugin」のような日本語対応のプラグインを導入すると、管理画面のURLを変更したり、ログイン失敗の回数を制限したりできます。設定は日本語で表示されるため、専門知識がなくても操作できます。

BtoB企業の技術発信と採用コンテンツを、制作から月次運用まで担当しています。まず現状のサイトを無料で診断します。