PHPの重大な脆弱性が見つかった件を経て、普段からやっておいて良かったと思ったこと

2026年10月21日の早朝、PHPの重大な脆弱性が見つかったとニュースになりました。

「CVE-2026-109618」「CVE-2026-109619」という識別番号が割り振られた脆弱性だったようです。

緊急度が高いものだったため朝から全力でバックアップ取ったりメンテナンスしたりしてたんですが、今回の件で感じた「普段からやっておいて良かった」と思えたことをまとめておきます。

SSH接続の設定

僕はエックスサーバーを使ってるんですが、昼過ぎくらいからエックスサーバーはサイトを守るための対応としてサーバーパネルへのログインをできないように設定しました。

これによってPHPのバージョン変更どころか、現バージョンの確認もできなくなったんですけど、SSH接続はできたので対応は簡単でした。

SSH接続ができれば安全にメンテナンスできます。

サーバー上のファイルのバックアップは複数の方法を組み合わせて取っておくべきだと思っています。

最近はAIも使えることですし、毎日1回バックアップを自動取得するっていう設定も簡単です。

また、バックアップをとっておくだけではちょっと足らなくて、そのバックアップファイルを使って元の状況を完全再現できるかどうかのリハーサルを普段からやっておくことは重要です。

今回のPHPの脆弱性って、ウェブサイト側でやらないといけないことって多くなかったんですけど、それはPHPのバージョンを常になるべく新しいものにした上でウェブサイトをメンテナンスし続けた結果そうだったという話です。

サーバー上でPHPのバージョンを変更した際にウェブサイト側にエラーが出るっていうことは可能性としては考えられるので、ウェブサイトのメンテナンスは常にやっておく必要があります。

また普段からメンテナンスをしているからこそ、PHPのバージョンをアップするなどの対応が迫られた時に慌てずに対応することができます。

ちょうどここ最近はCMSレスなサイトを作っていたところでして、いくつかのサイトは脱WordPressに成功してます。

WordPressが悪いというわけではないんですけど、適材適所だと思っていて。

例えばメールフォームのためだけにWordPressを選んでた時代もあったりしたんですよね。それは流石にやりすぎだなと思いつつ、作る方も運用する方も手軽だったんです。

今後はAI時代に合わせて柔軟にいろんな形でウェブサイト制作できたらと思ってます。PHPを使わないEmDashみたいなものもありますし、サイトの規模によっては静的なHTMLで書いちゃってもいいと思ってます。

管理保守をやってる側の意見ですけど、管理保守マジで大事です。

正直、「昔制作を担当して、その後は管理保守契約を結んでないけど、たまに相談に乗ったりしてる」くらいの距離感のサイトが今回後手に回りました。

流石にお金を払ってくれているお客様のサイトを守るのが最優先で、その次に自社サイト、その後余裕があったら以前に作ったことのあるサイトっていう優先度になってしまいます。

というわけで今後は管理保守の重要性をもっと訴えかけていきたいと思います。