結論：年末の棚卸しで、まず確認したいのは、ホームページの裏側で動いている「PHP」が、修正版になっているかです。2026年10月21日に、PHPの公式から、第三者にサーバーを操られるおそれのある重大な脆弱性（ぜいじゃくせい：プログラムの弱点）の修正版が公開されました。あわせて、PHP 8.2は2026年12月31日でサポートが終わります。そのうえで、WordPressの更新、アカウント、バックアップ、契約の期限、年末年始の連絡先を、休みに入る前に確かめておくと安心です。
年末が近づくと、ホームページやパソコンのことは、つい後回しになりがちです。しかし、年末年始の休みの間は、担当者が不在になり、何か起きても気づくのが遅れます。このコラムでは、休みに入る前にやっておきたい「ホームページとITの棚卸し」を、チェックリストの形でまとめます。今回は、2026年10月に公表されたPHPの問題も、あわせて取り上げます。（情報は、2026年10月28日時点のものです。）
なぜ、年末にIT・ホームページの棚卸しをするのですか？
理由は3つあります。
- 休み中は、気づくのが遅れるから：表示の不具合や、不審な動きがあっても、休み明けまで誰も見ないことがあります。
- 年末で期限を迎えるものがあるから：契約や証明書の更新、そして、PHP 8.2のサポート終了（2026年12月31日）などです。
- 1年分の「放置」が、たまっているから：使っていないアカウントやプラグイン、古いバックアップなどを、年に1回、整理する機会になります。
いま話題のPHPの問題とは、何ですか？ 自社のホームページに関係はありますか？
PHPは、WordPressをはじめ、多くのホームページや業務システムの裏側で動いているプログラム言語です。2026年10月21日、PHPの公式から、重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）の修正版が公開されました。公式の案内によると、どちらも、ログインしていない第三者が、サーバー上で不正なプログラムを動かせるおそれがあるもので、深刻度の評価（CVSS v4.0）は、いずれも9.2とされています。公式は、「すべてのPHP利用者に、すぐの更新を強く勧める」とし、「完全な回避策はなく、更新だけが安全」と説明しています。
修正版は、次のとおりです。
| PHPの系統 | 修正版（2026年10月21日公開） | セキュリティサポートの期限 |
|---|---|---|
| 8.2 | 8.2.35 | 2026年12月31日 |
| 8.3 | 8.3.36 | 2027年12月31日 |
| 8.4 | 8.4.27 | 2028年12月31日 |
| 8.5 | 8.5.12 | 2029年12月31日 |
注意したいのは、次の3点です。
- これは、PHP本体の問題です。WordPress本体やプラグインを更新しても、直りません。直すのは、サーバー側のPHPです。
- PHP 8.1以前は、PHP開発元の更新が終了しています。古いPHPのまま使っている場合は、サーバー会社などが、独自に修正を提供しているかを確認するか、新しい系統へ切り替える必要があります。
- レンタルサーバーの場合は、サーバー会社が修正を進めていることが多いです。ただし、「直してくれたはず」と思い込まず、契約先の公式のお知らせで確認しましょう。
PHPの問題を含めた、中小企業のサイバー攻撃への備え方は、サイバー攻撃は防ぎきれない時代へ｜中小企業が「入られても大丈夫」な体制をつくる方法のコラムで、詳しく解説しています。
自社のPHPのバージョンは、どう確認しますか？
- WordPressの管理画面で見る：「ツール」→「サイトヘルス」→「情報」→「サーバー」の中に、「PHPバージョン」が表示されます。
- サーバー会社の管理画面やお知らせで見る：契約しているレンタルサーバーの管理画面でも、PHPのバージョンを確認できます。今回の脆弱性についての、公式のお知らせも出ているはずです。
- ホームページを作った会社・管理している会社に聞く：自分で見られない場合は、いつ、どのバージョンに対応したかを、確認します。
ここで、見落としやすい点があります。サーバー会社によっては、表示される番号を変えずに、修正だけを取り込む方式があります。たとえば、ConoHa WINGは、10月22日の対応完了のお知らせで、「表示が『8.5.11』のままでも、修正は済んでいる」と案内しています。そのため、番号が修正版（8.5.12など）と違うからといって、すぐに「未対応」と決めつけず、サーバー会社の公式のお知らせで確認してください。
なお、PHP公式は、10月23日にも、追加の注意情報を出しています。サーバーの設定を自分で管理している場合は、PHP公式のお知らせを確認するか、管理を頼んでいる会社に、対応の状況を聞いてください。
PHP 8.2を使っている場合は、どうすればよいですか？
PHP 8.2のセキュリティサポートは、2026年12月31日で終わります。それ以降は、新しい弱点が見つかっても、PHP開発元からの修正は出ません。さらに、WordPressの公式の必須要件も、現在はPHP 8.3以上とされています。年内に、8.3以上への切り替えを計画しましょう。切り替えるときは、次の順番が安全です。
- バックアップを取る：データベースとファイルの両方を取り、戻し方も確認しておきます。
- プラグインとテーマの対応を確認する：長く更新されていないものは、新しいPHPで動かないことがあります。提供元の案内を見ましょう。
- 切り替える：サーバー会社の管理画面で行います。可能なら、アクセスの少ない時間帯に行います。
- 表示を確認する：トップページ、記事ページ、お問い合わせフォーム、管理画面へのログインを、一通り確認します。
もし不具合が出ても、修正されていない古いPHPに戻したまま公開を続けるのは、避けてください。原因（多くは、古いプラグインなど）を調べて、直すのが基本です。
年末の棚卸しチェックリストには、何を入れればよいですか？
ホームページと、社内のITに分けて、確認する項目をまとめました。
| 区分 | 確認すること |
|---|---|
| PHP・サーバー | PHPのバージョン（修正版か、サポート期限内か）／サーバー会社のお知らせの確認／サーバー・ドメインの契約期限 |
| WordPress | 本体・テーマ・プラグインの更新／使っていないプラグインとテーマの削除／長く更新されていない部品の見直し |
| アカウント | 管理者アカウントの一覧（退職者・外部委託先が残っていないか）／パスワードの使い回しがないか／権限が広すぎないか |
| バックアップ | 自動で取れているか／最近の分があるか／実際に戻せるか／サーバーとは別の場所にも持っているか |
| 表示・機能 | お問い合わせフォームが届くか（通知先のメールアドレスが正しいか）／スマホの表示／SSL証明書（https）の期限 |
| 社内のIT | パソコン・ルーターなどの更新／サポートが終わったソフトの有無／退職者のアカウント／共有フォルダの権限／使っていない契約・ライセンス |
| 年末年始の備え | 休み中の緊急連絡先／ホームページの休業案内／休み前のバックアップ |
このなかで、とくに大切なのはバックアップです。取れているだけでは足りません。何かあったときに、「いつの状態に」「誰が」「どうやって」戻すのかを、決めておきましょう。
バックアップを「3つ持つ・2種類に分ける・1つは別の場所に置く」という考え方（3-2-1ルール）は、バックアップの「3-2-1ルール」とはのコラムで解説しています。
年末年始の休みの前に、決めておくことは何ですか？
- 休み前に、最新のバックアップを取る：更新や切り替えをする場合は、その前後に取ります。
- 緊急時の連絡先を、決めておく：ホームページの管理を頼んでいる会社、サーバー会社の連絡窓口を、社内で共有します。
- 休業日のお知らせを載せる：ホームページの「お知らせ」に、休業の期間と、お問い合わせへの対応予定を書いておくと、お客様が安心します。
- 休み明けに、最初に確認することを決める：表示、お問い合わせフォームのテスト送信、管理画面のログインなどです。
セキュリティの見直しは、どこから始めればよいですか？
すべてを一度に整えるのは、大変です。次の3つから始めるのが、現実的です。
- 更新を止めない：PHP、WordPress、プラグインを、最新に近い状態に保ちます。
- 入口を固める：管理画面のパスワードを強くし、使っていないアカウントを消します。
- 戻せるようにしておく：バックアップと、戻す手順を決めておきます。
もう少し広い視点での備え方（権限の絞り方、社内システムの分け方など）は、中小企業の「入られても大丈夫」な体制づくりのコラムをご覧ください。また、社内の作業の棚卸しをしたい場合は、AIや社内システムを定着させる方法で紹介している「1週間の時間記録」が、参考になります。
よくある質問
Q. レンタルサーバーを使っています。自分で何かする必要はありますか？
PHPの修正は、サーバー会社が行うことが多いため、自分で作業が必要ないケースもあります。ただし、サーバー会社の公式のお知らせで、対応が済んでいるかを確認してください。あわせて、WordPress本体・テーマ・プラグインの更新、アカウントの整理、バックアップは、サイトを持つ側の仕事です。
Q. PHPの表示が、修正版の番号になっていません。未対応でしょうか？
未対応とは限りません。サーバー会社によっては、番号を変えずに修正だけを取り込む方式があります。サーバー会社の公式のお知らせで、確認してください。
Q. PHPを切り替えたら、画面が真っ白になりました。どうすればよいですか？
古いプラグインやテーマが、新しいPHPに対応していないことが、原因のひとつです。まず、バックアップから戻すか、原因の部品を特定します。修正されていない古いPHPのまま、公開を続けるのは避けてください。自分で対応するのが難しい場合は、ホームページを管理している会社に相談しましょう。
Q. 年内に、PHP 8.2から切り替えられない場合は？
2027年1月以降は、PHP 8.2に新しい弱点が見つかっても、PHP開発元からの修正は出ません。切り替えが遅れる場合でも、いつまでに、誰が行うかを、早めに決めておきましょう。
まとめ：休みに入る前に、PHP・更新・アカウント・バックアップ・期限を確かめる
年末の棚卸しでは、まずPHPが修正版になっているか、そしてPHP 8.2の場合は、年内に8.3以上へ移る計画があるかを確認します。そのうえで、WordPressの更新、アカウントの整理、戻せるバックアップ、契約の期限、年末年始の連絡先を、休みに入る前に確かめておきましょう。完璧を目指すよりも、まず一覧にして、一つずつ消していくことが大切です。
「自社のホームページの状況が、よく分からない」「何から手をつければよいか分からない」という場合は、SaCのホームページ制作でも、ご相談いただけます。まずは、お問い合わせから、お気軽にご連絡ください。