日本でPHPの脆弱性への対応が急がれるなか、中国現地法人のホームページについても確認が必要です。「中国向けのサイトだから関係ない」「今も正常に表示されているから大丈夫」とは限りません。
アライドビジネスにも、5年前、10年前にWordPressで構築した中国現地法人の会社ホームページが、十分に更新されないまま運用されているというご相談が寄せられています。
目次
今回の脆弱性は、中国のホームページにも関係します
PHPプロジェクトは2026年10月21日、認証なしで外部からコードを実行される可能性がある重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）の修正版を公開しました。対応版はPHP 8.2.35、8.3.36、8.4.27、8.5.12です。これらの情報はPHP公式発表で確認できます。
影響は国や表示言語ではなく、サーバーのPHP環境によって決まります。中国のサーバーで運用しているサイトも確認対象です。利用中の系列の修正版、またはそれ以降の修正を含む版への更新を進めてください。OSやホスティング事業者が独自に修正を適用している場合もあるため、提供元への確認も必要です。
今回の問題はPHP本体の脆弱性です。WordPress本体、テーマ、プラグインを更新するだけでは対処できません。WordPress公式もPHPの更新を呼びかけています。詳しくはWordPress公式の注意喚起をご覧ください。
古いWordPressサイトが、そのまま残っていませんか
中国でのPHPやWordPressの普及率、ニュースの量だけで、自社サイトの安全性を判断することはできません。まず確認したいのは、現地法人のサイトが何で構築され、誰が保守しているかという点です。
弊社に寄せられたご相談には、以前に制作した会社ホームページが現在も公開されている一方、WordPressやPHPの更新状況が分からないというケースがあります。制作会社との契約が終了していたり、担当者の交代で管理情報が引き継がれていなかったりすると、調査から始める必要があります。
また、中国現地でWordPressの改修経験がある担当者や、既存サイトの構成を理解した保守先をすぐに確保できず、対応に時間がかかるケースもあります。これは個々の保守体制の課題として確認することが大切です。
まず確認したい4つのポイント
- PHPのバージョンと修正状況：サーバーの管理画面やホスティング事業者に確認します。対応するWordPressでは「ツール → サイトヘルス → 情報 → サーバー」でも確認できます。管理画面に表示されない場合は保守先に調査を依頼してください。
- WordPress・テーマ・プラグインの状態：バージョン、更新履歴、開発終了の有無、独自改修の有無を整理します。
- バックアップと復元方法：サイトのファイルとデータベースの両方が必要です。バックアップの取得だけでなく、復元できるかも確認します。
- 管理権限と保守窓口：WordPress、サーバー、ドメインの管理者と連絡先を把握します。パスワードなどの認証情報は公開フォームの本文に記載しないでください。
なお、サイトのURLや公開レスポンスだけでは、PHPの正確なバージョンや修正適用状況を判断できない場合があります。「外からバージョンが見えない」ことは、安全性の証明にはなりません。
更新するとサイトが表示されなくなる場合は
WordPressのバージョンを上げただけでも、古いプラグインやテーマとの互換性の問題により、サイトが表示されなくなるケースがあります。更新前には、使用中のプラグインやテーマが更新先のWordPressとPHPに対応しているかを確認することが大切です。
古いPHP向けに作られたテーマ、プラグイン、独自プログラムは、新しいPHPで動かないことがあります。WordPressの更新後に画面が真っ白になる場合も、エラーログを調べて原因を特定する必要があります。
そのため、現在の構成を調査したうえでバックアップを取得し、検証用環境でPHPとWordPress、テーマ、プラグインの互換性を確認することが重要です。表示だけでなく、お問い合わせフォーム、メール送信、管理画面などの動作も確認してから本番へ反映します。
ただし、検証に時間がかかることを理由に、脆弱な環境の公開を続けるのは避けたいところです。すぐに修正できない場合は、保守先と相談し、一時的な公開停止やアクセス制限などを検討してください。緩和策の有効性は環境によって異なり、修正版の適用に代わるものではありません。
中国現地法人のWordPress保守もご相談ください
アライドビジネスでは、中国現地法人のWordPressホームページについて、PHPの利用状況の調査、更新に向けた確認、互換性の問題の調査や改修をご相談いただけます。
- 自社サイトのPHPのバージョンや、今回の脆弱性への対応状況が分からない
- 5年、10年前に制作したWordPressサイトの更新が止まっている
- PHPやWordPressを更新したら、サイトが表示されなくなった
- 以前の制作会社と連絡が取れず、中国で対応できる保守先を探している
このようなお困りごとがありましたら、アライドビジネスまでご連絡ください。サイトのURL、現在分かっている構成、発生している症状をお知らせいただければ、必要な調査や対応についてご案内します。
会社ホームページは、公開して終わりではありません。今回の注意喚起をきっかけに、中国現地法人のサイトも含めて、更新状況と保守体制を見直してみてはいかがでしょうか。
本記事は2026年10月24日時点の情報に基づいています。PHP公式は10月23日にも特定の設定条件に関する追加の注意事項を公表しています。最新の対応情報は、上記の公式発表およびご利用のサーバー提供元の案内をご確認ください。