HiroshimAI株式会社は2026年10月22日、PHPの重大な脆弱性2件（CVE-2026-109618／CVE-2026-109619、通称「php2shell」）への対応が難しい全国の中小企業を対象に、「PHP緊急脆弱性 初期対応支援」を開始しました。社内に詳しい担当者がいない、ホームページの制作会社と連絡がつきにくいといった企業に向け、利用状況の確認から修正版の適用までを無償で支援します。同社の本社は広島県にありますが、所在地を問わず全国の中小企業から申し込みを受け付けます。

重大な脆弱性「php2shell」の公開と中小企業の現状

PHPの開発元であるThe PHP Groupは、2026年10月21日夜（日本時間）、深刻度を示すCVSS v4.0で「9.2」と評価された脆弱性2件を修正した PHP 8.5.12／8.4.27／8.3.36／8.2.35 を公開しました。ログインしていない第三者が外部からサーバー上で勝手にプログラムを動かせるおそれがある内容です。情報処理推進機構（IPA）や国家サイバー統括室、高市早苗内閣総理大臣が公式Xなどで確認と修正版の適用を呼びかけたほか、セキュリティ企業Sansecは、修正版の公開前の10月21日にCloudflareが攻撃を観測したと報告しています。またOpenAIの10月21日の公式発表によると、セキュリティ研究会社のCalifがOpenAIのAIモデルを使って欠陥を特定し、セキュリティ企業のWizも独自に2件の脆弱性を発見・報告しました。

W3Techsの調査（2026年10月21日時点）によると、PHPはサーバー側の言語が判明しているWebサイトの69.3%で使われていますが、そのうち3割超（バージョン7が27.0%、バージョン5が7.7%）は更新版の提供が終了している旧バージョンで稼働しています。一方、IPAの「2024年度中小企業等実態調査結果」速報版（2025年2月14日公表／全国の中小企業4,191社が回答）では、不正アクセス被害を受けた企業（419社）のうち48.0%が「脆弱性（セキュリティパッチの未適用等）を突かれた」と回答しており、約7割で組織的なセキュリティ体制が整っておらず、直近3期にセキュリティ対策へ投資していない企業も62.6%にのぼるなど、確認を担う人材の不足が課題となっています。

無償支援の対応内容と特徴

今回の無償支援は、専門知識がない中小企業に代わり、以下の4つのステップで作業を進める体制をとっています。

• ステップ1 確認：ホームページがPHPで動いているか、どのバージョンかを調査
• ステップ2 判定：修正版で直せるか、バージョンが古く別の対応が必要かを判断
• ステップ3 適用：データの控え（バックアップ）を取った上で修正版へ入れ替え（またはサーバー会社の管理画面での切り替えを支援）、正常動作を確認
• ステップ4 報告：実施内容と今後必要な対応を1枚にまとめて報告

作業の範囲と手順は事前に書面で提示され、バックアップを取得してから着手されます。対象は「緊急の初期対応」に限定されており、追加契約や有償サービスの申し込みが条件になることはありません。なお、本支援はPHP本体の修正版の適用までを対象としており、ホームページ全体の安全性やすべての攻撃の防止を保証するものではありません。また、更新版の提供が終了しているPHP 8.1以前の環境やホームページの改修を伴う対応は個別相談となります。

代表取締役の住田隆真氏は、確認を担う人がいない会社が全国に少なくないと考え、技術が分かる者が手を動かすことも役割の一つであるとして支援を決定したと述べています。

自社ホームページのPHP利用状況を確認する手順

同社は、企業が自社で対応の必要性を把握するための確認手順も示しています。

• PHPの利用有無：WordPressやEC-CUBEで作成したサイト、問い合わせ・予約フォーム、ネットショップなどはPHPで動いている場合が多くあります。制作会社の納品資料やサーバー契約画面のほか、WordPress管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」欄からバージョンを確認できます。
• 更新担当者の確認：レンタルサーバー利用時はサーバー会社による更新や管理画面での切り替えが一般的ですが、自社や制作会社でサーバーを管理している場合は管理者が入れ替える必要があります。
• バージョンの確認：8.2〜8.5系では、8.2.35／8.3.36／8.4.27／8.5.12以降が修正版です。すぐに対応できない場合、国家サイバー統括室（公式X、2026年10月21日）はホームページの一時停止もリスクを下げる有効策の一つとしています。

提供概要および問い合わせ先

本支援の提供概要は以下の通りです。

• 名称：PHP緊急脆弱性 初期対応支援
• 受付開始日：2026年10月22日
• 対象：全国の中小企業が運営するホームページ・Webシステム（所在地不問）
• 内容：PHPの利用有無・バージョンの確認／修正版で直せるかの判定／修正版の適用（またはサーバー会社の管理画面での切り替え支援）／実施内容の報告
• 費用：無償（初期対応限定、2026年10月31日までの申し込みが対象。申し込み状況により延長の場合あり）
• 申込方法：会社名とホームページのアドレス（URL）を窓口へ送付（受付順に順次対応。ログイン情報はメールに記載せず、受付後の案内に従い伝達）

運営会社概要：

• 会社名：HiroshimAI株式会社
• 所在地：広島県広島市中区紙屋町1-4-3 エフケイビル702
• 代表者：代表取締役 住田隆真
• 公式サイト：https://www.hiroshimai.co.jp/
• 問い合わせ先（担当：山口大樹）：Email：yamaguchi@hiroshimai.co.jp / info@hiroshimai.co.jp / Tel：082-298-2614

本記事はHiroshimAI株式会社の発表をもとに作成しました。最新のPHP情報についてはPHP公式サイト（https://www.php.net/）で確認できます。