PHP脆弱性でWordPressが乗っ取られた話｜アメリカ在住デザイナーの体験談

2026年10月、世界中で使われているPHPに重大な脆弱性が見つかり、認証なしでサーバーを乗っ取られるPHP脆弱性の被害が世界中で相次ぎました。アメリカでWebデザイナーとして働く筆者も、自身が管理するWordPressサイトが実際にハッキングされました。

この記事では、今回のPHP脆弱性で何が起きているのか、実際にサイトを乗っ取られた経緯、そしてWordPressやWebサイトを運営している人が今すぐ確認すべきことをまとめます。

世界のWebサイトの約7割が使うPHPに重大な脆弱性

世界中で多くのニュースサイトや自治体のサイト、官公庁のポータルサイト、大学の研究機関のサイト、ECサイトなどが次々とアクセスできない状態になりました。原因は、プログラミング言語PHPに見つかった重大な脆弱性です。動画の中では、世界中のWebサイトの約7割がPHPで動いていると話されており、影響の大きさがうかがえます。

認証不要でサーバーに侵入される「RCE」とは

今回の脆弱性は、IDやパスワードを突破して侵入する通常のハッキングとは違い、認証なしでリモートからサーバーを操作できてしまうというものです。動画の中では、どれだけ複雑なパスワードを設定していても、ドアを開けずに壁に穴を開けて侵入されるようなものだと例えられています。概要欄によると、この脆弱性は「PHP2Shell」と呼ばれているとのことです。

自分のWordPressサイトが乗っ取られていた

筆者はWebデザイナーとして複数のWordPressサイトを管理しており、そのうち8個のサイトで半数以上がハッキングの被害を受けました。きっかけは、あるサイトの管理画面にアクセスできなくなったことです。サーバー側からファイルを確認すると、見覚えのないファイルが大量に追加されており、メインのファイルにも不審なコードが書き込まれていました。

管理画面にようやく入れるようになると、ユーザー一覧には管理者権限を持った見覚えのないアカウントが500人ほど追加されていました。投稿一覧には、サイトを乗っ取ったことを示すスパム記事が大量に投稿されていたとのことです。

復旧作業とその後の対応

復旧にあたっては、AIにサーバーへアクセスしてもらい、怪しいファイルの洗い出しとデータベースの修正を行いました。あわせて、サーバー、データベース、WordPressの管理画面それぞれのパスワードをすべて変更しています。被害の範囲はサイトごとに差があったとのことです。なお、グッズを購入してくれた方の情報は流出していないと説明されています。契約しているレンタルサーバー会社に確認したところ、すでにパッチが適用されたとの回答があったそうです。

PHPのバージョンを上げればいいわけではない難しさ

対策としては、PHPのバージョンを最新のものに更新することが基本です。動画の中では、PHP7を使っている場合は特に危険で、最新バージョンへの切り替えが必要だと話されています。ただし、PHPのバージョンを上げるとサイトが正常に動かなくなるケースがあり、プログラマーが社内にいない場合は対応が難しいという問題も指摘されています。

複数サイトを運営している人が注意すべきこと

1つのレンタルサーバーに複数のサイトを同居させている場合、権限が分かれていないと、1つのサイトが突破されただけで同じサーバー内の無関係なサイトまで一斉に被害を受ける可能性があります。動画の中では、サーバーの権限を分けておくことと、バックアップファイルやデータベースをサーバーの外に保存しておくことの重要性が強調されています。古いサイトの改修には業者によって費用がかかり、金額を理由に対応を見送るケースもあると話されています。放置されたサイトは、別のサイバー攻撃の踏み台として悪用される可能性があるため注意が必要です。

よくある質問

PHPの脆弱性でどんな被害が起きるの？

認証なしでサーバーを遠隔操作され、WordPressなどのサイトに不審なファイルを送り込まれたり、管理者権限を持つアカウントを勝手に追加されたりします。

自分のサイトがハッキングされていないか確認するには？

WordPressの管理画面でユーザー一覧に見覚えのないアカウントが追加されていないか、投稿一覧に不審な記事が増えていないかを確認します。

PHPのバージョンはどれにすればいい？

動画の中ではPHP7は危険なので最新版へのアップデートが勧められています。

PHPを最新版に上げるとサイトが壊れることがあるのはなぜ？

古いバージョン向けに作られたテーマやプラグインが新しいPHPに対応していないことがあるためで、事前の検証が必要になります。