ホームページ・ビルダーのHPは PHP の脆弱性と関係ある？ 確かめ方4STEP

※2026年10月27日時点の情報です。状況が変わったら更新します。

2026年10月21日、HPを動かすプログラムの言語 PHP に、ログインなしで外部からプログラムを実行される恐れがある脆弱性（ソフトウェアの欠陥）が公表されました。ホームページ・ビルダーで作ったHPも、自社が対象かを確かめておく必要があります。

ホームページ・ビルダーのHPが対象かどうかは、HPの中で PHP が動いている部分があるかで判断できます。HTMLのファイルだけのページなら PHP を使いませんが、WordPress やフォームなど、PHP が動く部分が後から加わっていることがあるためです。

本記事では、ホームページ・ビルダーのHPと PHP の脆弱性の関係・PHP が動く3つの場所・自社が対象かを確かめる4STEP・今やることをまとめています。さらに、ホームページ・ビルダー サービスを使っている場合の確認手順も紹介します。

ホームページ・ビルダーのHPと PHP の脆弱性の関係【早見表】

ホームページ・ビルダーで作ったHPは、HTMLのファイルだけなら PHP を使わないため、ページ自体は PHP の脆弱性と関係しません。一方、WordPress で作ったサイトや PHP で動くフォームがある場合は対象になり、サーバーの PHP が修正されているかを確かめる必要があります。

「ホームページ・ビルダーで作ったから安全」「PHP の脆弱性だから全部危ない」のどちらも正確ではありません。ここでは、HPの種類ごとの関係を早見表で示したうえで、脆弱性の要点と、ホームページ・ビルダーのHPが HTML 中心になる理由を説明します。

ホームページ・ビルダーで作ったHPの種類	PHP の脆弱性との関係	確かめること
HTMLのファイルだけのHP	ページ自体は PHP を使わない	同じサーバーに PHP のファイルがないか
WordPress のサイトとして作ったHP	対象（WordPress は PHP で動く）	サーバーの PHP の修正と、WordPress の更新
付属のサンプルCGI でフォームを置いたHP	サンプルCGI は Perl のため、フォーム自体は PHP ではない	ほかに PHP のファイルがないか
後から別のフォーム・掲示板・予約の仕組みを付けたHP	仕組みによる。PHP で動くものなら対象	付けた仕組みが何で動いているか

※2026年10月時点・PHP 公式サイト、ジャストシステム サポートFAQより

ソフトのホームページ・ビルダーを最新にしても、サーバーの PHP は直りません。修正が必要なのはサーバー側で、パソコンのソフトの版とは別の話です。

2026年10月の PHP の脆弱性（php2shell）とは

2026年10月の PHP の脆弱性とは、CVE-2026-109618 と CVE-2026-109619（通称 php2shell）の2件です。PHP の開発元は修正版 PHP 8.5.12／8.4.27／8.3.36／8.2.35 を公開し、PHP 8.1 以前には通常の修正版を出していません（PHP 公式サイトより）。

PHP の開発元は、対象を「Webのリクエストを処理するすべての PHP の環境」とし、PHP-FPM・Apache の mod_php・php-cgi などの動かし方を挙げています。IPA も2026年10月22日に注意喚起を出し、最新版へのアップデートを呼びかけています。

ただし、修正版への更新はサーバーを管理する側の作業です。経緯・修正版・レンタルサーバー各社の対応は、PHP の脆弱性（2026年10月・php2shell）、中小企業のHPで今やることで詳しく解説しています。

ホームページ・ビルダーのHPが HTML 中心になる理由

ホームページ・ビルダーで作るHPは、パソコンで作ったページを HTML のファイルとしてサーバーに送る形が基本です。HTMLのファイルは、閲覧されたときにサーバーでプログラムを動かさず、そのまま表示されます。

たとえば、会社案内・地図・お知らせだけのHPなら、HTMLと画像のファイルだけで成り立っていることがほとんどです。ジャストシステムのFAQでも、ホームページ・ビルダーには CGI プログラム（サーバーで動く小さなプログラム）を作る機能はないと説明しています。

ただし、ホームページ・ビルダーは WordPress のサイトを作る機能も持っています。HTML 中心かどうかは、作り方と、後から付け足したものによって変わります。

ホームページ・ビルダーのHPで PHP が動く3つの場所

ホームページ・ビルダーのHPで PHP が動く可能性があるのは、WordPress のサイト・フォームや掲示板・同じサーバーに置いた別のサイトの3か所です。どれも、HPを作った後に機能を足したときに入り込みやすい部分です。

自社のHPに3つのどれかがあれば、サーバーの PHP の修正を確かめる必要があります。ここでは、3つの場所ごとに、PHP が動く理由と見分け方を紹介します。

場所	PHP が動く理由	見分け方
WordPress のサイト	WordPress は PHP で書かれたソフト	HPのアドレスの後ろに /wp-admin/ を付けると WordPress のログイン画面が出る
フォーム・掲示板・予約	仕組みによっては PHP で動く	送信後のアドレスや、サーバーのファイルの拡張子が .php
同じサーバーの別のサイト	契約の中の別のサイトで PHP が動く	サーバーに WordPress などを入れた覚えがあるか

WordPress で作ったサイト

ホームページ・ビルダーで WordPress のサイトを作った場合は、PHP の脆弱性の対象です。WordPress は PHP で動くソフトのため、サーバーの PHP が修正されていなければ、欠陥がそのまま残るからです。

ホームページ・ビルダー23は WordPress 6.7.1 での動作を確認しており、ホームページ・ビルダーの画面から WordPress のサイトを編集する機能があります（ジャストシステム 動作環境・FAQより）。たとえば、ブログやお知らせの更新を WordPress で行うようにした会社・お店は、このケースにあたります。

ただし、WordPress の場合は PHP だけでなく、WordPress 本体・テーマ・プラグインの更新も必要です。WordPress 側の確認は、自社の WordPress に脆弱性がないか確認する方法を参照してください。

問い合わせフォーム・掲示板・予約の仕組み

フォームや掲示板は、使っている仕組みによって PHP で動く場合と動かない場合があります。ホームページ・ビルダーが付属で用意しているものと、後から別に付けたもので、動くプログラムが違うためです。

たとえば、ジャストシステムのFAQで案内している付属のサンプルCGI（anketo.cgi・jcode.pl）は Perl で書かれたプログラムです。一方、制作会社に頼んで付けたフォームや、ネットで配られていたフォームのプログラムは、PHP で動いていることがあります。

ただし、PHP でなくても、古いフォームのプログラムには別の問題が残っていることがあります。フォームの守り方は、問い合わせフォームから個人情報が漏れないようにで解説しています。

同じサーバーに置いた別のサイト

自社のHPが HTML だけでも、同じサーバーの契約の中に PHP で動く別のサイトがあれば、そのサーバーは対象です。1つの契約の中で、複数のサイトや仕組みを動かしていることがあるからです。

たとえば、ホームページ・ビルダー サービスのプランには、PHP・MySQL（データベース）・WordPress の簡単インストールが含まれています。昔試しに入れた WordPress や、キャンペーン用のページを消さずに残している場合が当てはまります。

ただし、使っていないサイトを残しておくと、更新されないまま放置されやすくなります。使っていないものは、バックアップを取ってから削除を検討しましょう。

自社のホームページ・ビルダーのHPが対象か確かめる方法【4STEP】

自社のホームページ・ビルダーのHPが PHP の脆弱性の対象かは、4つの手順で確かめられます。ページの作り方と、サーバーに置いてあるファイルを順に見れば、PHP が動いているかが分かります。

確認には、HPを更新しているパソコンか、サーバーのログイン情報があると早く進みます。ここでは、ページ・ファイル・サーバー・判定の4STEPを順に紹介します。

STEP	確かめること	必要なもの
1	ページのアドレスと WordPress かどうか	ブラウザー
2	サーバーに .php のファイルがあるか	ホームページ・ビルダーの「ファイル転送ツール」かサーバーの管理画面
3	サーバーの契約先と PHP のバージョン	サーバーの管理画面のログイン情報
4	判定表に当てはめる	STEP1〜3の結果

【STEP1】ページのアドレスと WordPress かどうかを見る

まず、自社のHPをブラウザーで開き、ページのアドレスの終わり方を確かめます。アドレスが「.html」「.htm」で終わるページは HTML のファイルで、「.php」で終わるページは PHP で動いています。

次に、HPのアドレスの後ろに「/wp-admin/」を付けて開きます。WordPress のログイン画面が出れば、HPの全部または一部が WordPress で動いています。

ただし、確かめるのは自社のHPだけにしてください。他人のサイトに同じことを試すのはやめましょう。

【STEP2】サーバーに .php のファイルがあるか確かめる

次に、サーバーに置いてあるファイルの一覧で、名前が「.php」で終わるファイルがあるかを確かめます。ページのアドレスに出てこないフォームのプログラムなども、ファイルの一覧なら見つけられるためです。

ファイルの一覧は、ホームページ・ビルダーの「ファイル転送ツール」でサーバーに接続するか、サーバーの管理画面のファイルマネージャーで見られます。たとえば、ホームページ・ビルダー サービスなら、操作ガイドに「ファイルマネージャー」の使い方が載っています。

ただし、ファイルを誤って消したり書き換えたりしないよう、一覧を見るだけにとどめましょう。見慣れないファイルがあっても、その場で削除しないでください。

【STEP3】サーバーの契約先と PHP のバージョンを確かめる

PHP のファイルが見つかったら、サーバーの契約先と、使っている PHP のバージョンを確かめます。PHP を直すのはサーバーの管理者で、レンタルサーバーならサーバー会社が修正を当てるためです。

PHP のバージョンは、多くのレンタルサーバーで管理画面から確かめられます。ホームページ・ビルダー サービスの確認手順は、次の章で説明します。

ただし、レンタルサーバーでは、番号が変わらないまま修正だけが当たっていることもあります。手順の詳細は自社HPの PHP バージョンを確認する方法を参照してください。

【STEP4】判定表に当てはめる

STEP1〜3の結果を判定表に当てはめると、次にやることが決まります。PHP が動いているかと、サーバーの対応の状況の組み合わせで判断できるためです。

STEP1〜3の結果	判断
.html のページだけで、サーバーに .php のファイルもない	ページ自体は PHP を使っていない。サーバー会社のお知らせだけ確かめる
.php のファイルや WordPress がある・レンタルサーバー	サーバー会社のお知らせと、選んでいる PHP のバージョンを確かめる
.php のファイルや WordPress がある・PHP 8.1 以前	通常の修正版がない。8.3 以降への切り替えを計画する
サーバーの契約先やログイン情報が分からない	まず契約先を確かめる。分からなければ専門家に相談する

判定表で「切り替えを計画する」に当てはまった場合は、後の「今やること」に進みましょう。

ホームページ・ビルダー サービスを使っている場合の確認

ホームページ・ビルダー サービスを使っている場合は、コントロールパネルで、対応済みの PHP のバージョンを選んでいるかを確かめます。ホームページ・ビルダー サービスは、新しく選べるバージョンは対応済みとしつつ、対応前のバージョンを使い続けている可能性があるとして、利用者に確認を求めているためです。

ホームページ・ビルダー サービスは、2026年10月26日に PHP の脆弱性への対応状況を公表し、サービス側の対応は完了したとしています。ここでは、お知らせで案内されている確認手順と、バージョンを変える前の注意を紹介します。

コントロールパネルで PHP のバージョンを確かめる手順

ホームページ・ビルダー サービスで PHP のバージョンを確かめる手順は、以下のとおりです（2026年10月時点・ホームページ・ビルダー サービスのお知らせより）。

1. コントロールパネルにログインする
2. 「Web設定」の欄にある「PHPのバージョン変更」を開く
3. 利用中のサーバーの「バージョン」の一覧（ドロップダウン）を開く
4. 複数のバージョンが表示されたら、対応前のバージョンを使っている可能性がある

バージョンを変える場合、お知らせでは一覧の中でもっとも新しいバージョンを選び、「変更」を押すよう案内しています。手順の詳細は、ホームページ・ビルダー サービスのお知らせで確かめてください。

WordPress を使っているならバージョンを変える前に確かめる

WordPress を使っている場合は、PHP のバージョンを変える前に、WordPress が新しい PHP に対応しているかを確かめることが重要です。ホームページ・ビルダー サービスのお知らせでも、互換性のないバージョンに変えるとサイトにアクセスできなくなるおそれがあるとしています。

たとえば、古い WordPress や更新の止まったプラグインは、新しい PHP で動かず、画面が表示されなくなることがあります。お知らせでは、必要に応じて WordPress 側のバージョンを先に変えてから、PHP のバージョンを変えるよう案内しています。

ただし、どちらを先に上げるかの判断は、サイトの状態によって変わります。バックアップを取ってから作業し、自信がなければ専門家に任せましょう。

ホームページ・ビルダーのHPで今やること【優先順位つき】

ホームページ・ビルダーのHPで最初にやることは、PHP が動いている部分があるかを確かめることです。PHP が動いていれば、サーバーの修正の確認と、古い PHP からの切り替えに進みます。

作業の多くはサーバー会社や制作会社が担いますが、自社のHPがどれにあたるかの判断は自社の役目です。ここでは、優先度の高い順に5つの作業を表で紹介します。

優先度	やること	対象
1	PHP が動いている部分があるか確かめる（4STEP）	すべて
2	サーバー会社のお知らせで修正の状況を確かめる	すべて
3	対応済みの PHP のバージョンを選ぶ・8.3 以降への切り替えを計画する	PHP が動いているHP
4	WordPress 本体・テーマ・プラグインを更新する	WordPress のサイト
5	使っていないサイトや古いプログラムを整理する	同じサーバーに別のサイトがある場合

PHP 8.2 も2026年12月31日でサポートが終わるため、切り替えるなら 8.3 以降を選ぶと次の期限まで余裕ができます（PHP 公式サイトより）。期限と移行の進め方は、PHP 8.2 のサポートは12月31日で終了。中小企業のHPでやることで解説しています。

また、IPA は今回の注意喚起で、更新・移行と、その後の維持管理に必要な人員・予算・保守体制を確保できるかの検討も呼びかけています。HPを更新する人がいない場合は、ホームページ・ビルダーのHPをこの先どう持つかもあわせて考えましょう。

あわせて読みたい
ホームページ・ビルダーのサポート終了、作ったHPはどうする？ 版別の期限と判断

ホームページ・ビルダーのHPと PHP の脆弱性でよくある誤解

ホームページ・ビルダーのHPと PHP の脆弱性では、ソフトとサーバーの役割を混同した誤解がよくあります。誤った判断は、修正が必要なサーバーを放置する原因になります。

誤解の多くは、パソコンのソフトであるホームページ・ビルダーと、HPを置くサーバーの PHP を同じものと考えることから生まれます。ここでは、よくある誤解4つと実際を表で比較します。

よくある誤解	実際
ホームページ・ビルダーを最新にすれば直る	直すのはサーバーの PHP。ソフトの版とは関係がない
ホームページ・ビルダーで作ったから全部関係ない	WordPress や PHP で動くフォームがあれば対象
サポートの終わった古い版で作ったHPは危ない	危ないかは PHP が動く部分があるかで決まる。ソフトの古さとは別に判断する
サーバー会社が対応したから何もしなくてよい	ホームページ・ビルダー サービスのように、利用者がバージョンを選び直す必要がある場合がある

※2026年10月時点・PHP 公式サイト、ホームページ・ビルダー サービスのお知らせより

表の誤解に当てはまる判断をしていた場合は、4STEPに戻って確かめましょう。外から見える範囲で自社のHPを点検する方法は、ホームページのセキュリティチェックを無料でする方法と、分かること・分からないことで紹介しています。

ホームページ・ビルダーのHPで専門家に相談すべきとき

ホームページ・ビルダーのHPで PHP が動いているか判断できないときや、PHP の切り替えで表示が崩れそうなときは、自社だけで進めないほうが安全です。古いフォームや WordPress は、PHP を切り替えると動かなくなることがあり、直すにはプログラムの知識が要るためです。

判断を先延ばしにすると、PHP 8.2 のサポート終了まで時間がなくなります。ここでは、専門家に相談したほうがよい条件を紹介します。

• サーバーに .php のファイルがあるが、何に使っているか分からない
• WordPress のサイトがあり、PHP のバージョンを変えると崩れそう
• サーバーやコントロールパネルのログイン情報が見つからない
• 見慣れないファイルやページがあり、入り込まれていないか不安

ホームページ・ビルダー サービスの解約やサーバーの引っ越しも考えている場合は、ホームページ・ビルダーのサーバーを解約・移すときに確認することもあわせて確かめてください。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• ホームページ・ビルダーのHPは HTML のファイルが基本で、ページ自体は PHP を使わない
• WordPress のサイト・PHP で動くフォーム・同じサーバーの別のサイトがあれば、PHP の脆弱性の対象になる
• ソフトのホームページ・ビルダーを最新にしても、サーバーの PHP は直らない
• ホームページ・ビルダー サービスは、コントロールパネルの「PHPのバージョン変更」で対応済みのバージョンを選んでいるかを確かめる

まずは4STEPで自社のHPに PHP が動く部分があるかを確かめ、自力で難しい場合は専門家の無料診断を活用しましょう。