PHPの重大な脆弱性（2026年10月）とは？ 料理店のたとえで分かる仕組みと、葬儀社が今確認すべきこと

この記事のポイント

• PHPに深刻な欠陥が見つかり、2026年10月21日に修正版が公開されました
• 危ないのは古い版のまま放置されたサイト。自社と取引先のサイトの確認を
• ブリッジ葬儀はPHPを使わず、Salesforceのセキュリティ基盤に守られています

2026年10月、Webサイトの裏側で広く使われている「PHP」に深刻な欠陥が見つかり、ニュースでも大きく取り上げられました。本記事では、何が起きているのかを整理したうえで、PHPとは何か、なぜ問題になるのかを、料理店にたとえて分かりやすく解説します。あわせて、葬儀社として何を確認すればよいか、ブリッジ葬儀への影響についてもお伝えします。

1. 何が起きているのか

2026年10月21日（日本時間23時）、PHPの開発チームは、深刻な脆弱性2件を修正したセキュリティリリースを公開しました。PHPの公式発表によると、悪用されるとログインなどの認証を経ずに、外部からサーバー上で任意のプログラムを実行される恐れがあります。

修正版の公開前から情報の一部が出回り、攻撃を試みる動きも報告されています。国内では、レンタルサーバーなどのホスティング事業者、EC関連サービス、ゲームや投稿サイトなどが、予防のためにサービスの全部または一部を一時停止しました。官公庁でも、一部のWebコンテンツを一時停止する対応がとられています。

2. そもそもPHPとは

PHPは、Webサイトの裏側で動くプログラムを書くための言語です。1990年代半ばに生まれ、今も広く使われています。調査会社W3Techsの集計では、サーバー側の言語が判別できる世界のWebサイトのうち、69.3％がPHPを使っています（2026年10月時点）。ブログやニュースサイトの多くが使っているWordPressも、PHPで作られています。

たとえば会員サイトにログインしたり、通販サイトで商品を検索したりすると、その要求を受け取ったサーバーがデータベースから情報を取り出し、画面に表示するページをその場で組み立てます。この「受け取って、処理して、ページを返す」部分を担うのが、PHPの典型的な役割です。手軽に始められ、安価なレンタルサーバーでも動くため、中小企業や自治体のサイトにも広く使われてきました。

3. PHPの脆弱性には2つの種類がある

PHPの脆弱性とは、悪用されると攻撃者がそのサーバーで不正な操作をできてしまう「欠陥」のことです。大きく2種類に分けて考えると分かりやすくなります。

言語そのもの（処理エンジン）の欠陥

1つ目は、PHPという言語そのもの、つまり処理エンジンの欠陥です。今回の脆弱性はこちらに当たります。細工したデータを送りつけることで、サーバーを停止させたり、外部から任意のプログラムを実行させたりできてしまう種類の欠陥です。

建物にたとえれば、使っている建材そのものに不具合が見つかったような状態です。PHPを使うすべてのサイトが更新を求められ、WordPressやプラグインをいくら最新にしても、PHP本体を更新しない限り直りません。

PHPで作られたアプリケーションの作り方の問題

2つ目は、PHPで書かれた個々のアプリケーションの作り方の問題です。実際の被害は、普段はこちらのほうが多いのが実情です。入力欄に命令文を紛れ込ませてデータベースの中身を盗む「SQLインジェクション」が、その代表例です。

PHPは手軽に書けるぶん、安全対策を十分に知らない人でも作れてしまいます。そのため、こうした欠陥を抱えたサイトが生まれやすいという側面があります。

4. 料理店にたとえると

ここまでの内容を、身近な料理店に置き換えてみます。

Webサイトを1軒のレストランだとすると、私たちが見ている画面は「客席」、裏側でお客さんの注文を受けて料理を作っているのが「厨房」です。PHPは、この厨房で使われている「料理の手順を書く共通の言葉」のようなものです。とても覚えやすく、世界中の多くの店（Webサイトのおよそ7割）がこの言葉で厨房を動かしています。

PHPの脆弱性とは、この厨房に「泥棒が入り込める隙間」があることを指します。隙間ができる原因は2つあります。

隙間1：厨房の設備そのものに欠陥がある

どの店も同じメーカーのコンロを使っていて、そのコンロに欠陥が見つかったような状態です。今回のニュースは、まさにこれに当たります。メーカー（PHPの開発チーム）が修理版を配っているので、各店が交換すれば防げます。逆に言えば、交換しない限り、どれだけ店の造りが立派でも隙間は残ります。

隙間2：店ごとの作り方に問題がある

たとえば注文票に「料理のほかに、金庫の中身も持ってこい」と書き込まれても、店員が疑わずにそのとおり動いてしまう店があります。これが、普段の被害では一番多い型です。覚えやすい言葉なので誰でも厨房を作れる反面、防犯の知識が十分でないまま作られた店も多いのです。

一番危ないのは「古い設備を交換しない店」

結局のところ一番危ないのは、古い設備を交換しないまま営業を続けている店です。PHPには版ごとに「修理の受付期限」があり、期限が切れた古い版は、欠陥が見つかっても直してもらえません。

5. 葬儀社として、今確認すべきこと

経営の観点で問題になるのは、言語の良し悪しよりも、古い版のまま放置されていることです。PHPは各版ごとにサポート期限があり、期限を過ぎた版には修正が提供されません。今回も、PHP 8.1以前は修正の対象外です。現在サポート中のPHP 8.2も、2026年12月31日でサポートが終了します。

葬儀社の場合、会館の案内や事前相談の受付を載せたホームページを、WordPressなどで運用しているケースが少なくありません。次の点を、制作会社やレンタルサーバー会社に確認しておくと安心です。

自社や取引先のサイトが古いPHPのまま動いていないか、更新の責任者が明確になっているかを確かめること。これが、内部統制や事業継続の観点から、最も実務的な対策になります。

6. ブリッジ葬儀への影響 ― PHPを使っておらず、影響を受けない構成です

ブリッジ葬儀は、世界中の企業が利用するSalesforceのプラットフォーム（Salesforce Platform）上で動く葬儀業務システムです。プログラムは、Salesforceが提供する開発言語のApexと、画面部品のLightning Web Componentsで作られています。PHPは使っていません。

今回の脆弱性は、PHPという言語そのもの（料理店のたとえでいえば、特定メーカーのコンロ）の欠陥です。そのコンロを使っていないブリッジ葬儀は、今回の脆弱性の影響を受けない構成です。

ログインの仕組みを自作せず、Salesforceのセキュリティ基盤に守られています

ブリッジ葬儀のもう一つの強みは、Salesforce OEMアプリケーションであることです。ログイン画面や認証、権限の管理、サーバーの運用といった「守りの土台」を自社で作らず、Salesforceの仕組みをそのまま使っています。ブリッジ葬儀が自ら作っているのは、その上で動く葬儀業務の機能だけです。

3章で見たとおり、普段の被害で多いのは「作り方の問題」です。中でもログインや認証の仕組みは、作り方を一つ誤るだけで、情報漏えいに直結します。すべてを自前で作るシステムでは、この部分も自社で作り、守り続けなければなりません。ブリッジ葬儀はログインの仕組みを自社で作らないため、そこに独自の欠陥が生まれることもありません。

料理店でいえば、店を一から建てるのではなく、警備の行き届いたビルに入居しているようなものです。入館の管理（ログイン）や警備、設備の更新はビルが担い、店は料理（葬儀業務）に専念できます。Salesforceの認証基盤では、たとえば次の仕組みが使えます。

• 多要素認証：パスワードだけではログインできない仕組み。Salesforceは、すべての従業員ユーザーに多要素認証を義務付けています
• 不審なログインへの備え：普段と異なる振る舞いを検知して追加の本人確認を求めたり、匿名化VPNや高リスクなIPアドレスからの接続を遮断したりします
• ログインの記録と制限：誰がいつどこからログインしたかの記録が残り、ログインできるIPアドレスや時間帯を制限することもできます

また、Salesforceのサービスは、日本政府が求めるセキュリティ基準を満たすクラウドサービスを評価・登録する制度「ISMAP（政府情報システムのためのセキュリティ評価制度）」のクラウドサービスリストに登録されています。ブリッジ葬儀自体も、Salesforceのセキュリティ審査を通過し、Salesforce公式のアプリ市場「AppExchange」に掲載されています。詳しくはセキュリティと信頼性のページをご覧ください。

基盤の更新は、Salesforceが責任を持って行います

社内サーバーやレンタルサーバーでシステムを動かす場合、今回のような欠陥が見つかるたびに、自社や制作会社が更新作業を行わなければなりません。

Salesforce Platformでは、サーバーや基盤ソフトウェアの運用・更新はSalesforce社が担います。仮に基盤側で何らかの欠陥が見つかった場合も、対応するのはSalesforce社であり、ブリッジ葬儀をお使いの葬儀社の皆さまが、深夜にサーバーを更新するといった作業を行う必要はありません。

なお、2026年10月22日時点で、Salesforce社から今回の脆弱性に関する発表は確認できていません。今後、関連する発表があった場合は、必要に応じてお知らせします。

利用する側で気をつけていただきたいこと

クラウドのセキュリティは、サービス事業者と利用企業が責任を分担する「責任共有」の考え方が基本です。基盤が安全でも、IDやパスワードの共有、退職者のアカウントの放置があれば、そこが入口になります。また、ブリッジ葬儀と連携している電話システムなどの外部サービスは、それぞれの提供元のシステムで動いているため、今回の脆弱性への対応状況は提供元にご確認ください。

日々の運用で注意したい点は、相次ぐ情報漏えいとAI時代のサイバー攻撃の記事でも詳しくまとめています。

おわりに

今回の脆弱性は、PHPという言語そのものに見つかった欠陥です。世界中のWebサイトで使われているからこそ影響が大きく、修正版の公開直後から対応に追われた事業者も少なくありません。

一方で、こうした事態が起きたときに「自社は影響を受けるのか」「誰が更新するのか」をすぐに答えられるかどうかが、日ごろの備えの差として表れます。ホームページや取引先のシステムも含めて、何がどこで動いていて、誰が責任を持っているのかを、この機会に確かめておくことをおすすめします。

ブリッジ葬儀は、葬儀業界に特化したクラウド基幹システムとして、葬儀社の皆さまが安心して業務を続けられる環境づくりを支援しています。情報管理やシステムの見直しをご検討の際は、お気軽にご相談ください。

参考資料

• The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日） https://www.php.net/archive/2026.php#2026-10-21-5
• The PHP Group「Supported Versions」 https://www.php.net/supported-versions.php
• The PHP Group「Unsupported Branches」 https://www.php.net/eol.php
• W3Techs「Usage statistics and market share of PHP for websites」（2026年10月22日時点） https://w3techs.com/technologies/details/pl-php
• ITmedia NEWS「PHPに「緊急」レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ、事前準備を呼び掛け」（2026年10月21日） https://www.itmedia.co.jp/news/article/2610/21/2000002446/
• ビジネス+IT「PHP重大脆弱性でWebサイト緊急停止 世界のWebサイトの約7割で利用、国内サービスも緊急メンテナンス」（2026年10月22日） https://www.sbbit.jp/article/cont1/187672
• Rapid7「CVE-2026-109618 and CVE-2026-109619: Critical Unauthenticated Remote Code Execution in PHP」 https://www.rapid7.com/blog/post/etr-cve-2026-109618-and-cve-2026-109619-critical-unauthenticated-remote-code-execution-in-php/
• Salesforce「Security-Related Product Updates to the Salesforce Platform: User Identity, Data Protection, and Access Controls」 https://help.salesforce.com/s/articleView?id=005317465&language=en_US&type=1
• Salesforce「Salesforce、「Agentforce」を含む新たな4製品群で「ISMAP」クラウドサービスリストに登録」（2026年3月5日） https://www.salesforce.com/jp/news/press-releases/2026/03/05/ismap/