PHPの重大な脆弱性（2026年10月）、AIに相談して対応する方法自分のサイトは関係ある？ AIへの聞き方の例文と、AIに聞くときの落とし穴
2026年10月21日、Webサイトを動かすプログラム言語「PHP」の重大な脆弱性2件の修正版が出ました。PHP公式は「完全な回避策はなく、更新だけが安全な選択肢」としています。
プログラミングが分からなくても、ChatGPT・Claude・Gemini などのAIに相談すれば、自分のサイトが関係あるか、何をすればよいかを整理できます。ただし、AIは今回の脆弱性を知らないことがあるため、公式の発表を自分で渡して聞くのがコツです。この記事では、その手順と例文、落とし穴を紹介します。
WordPress やエックスサーバーでの具体的な確かめ方は、se0.info の記事「PHPに重大な脆弱性（2026年10月）WordPressとエックスサーバーの利用者がやること」にまとめています。
状況は動いています。この記事は2026年10月22日 0時30分ごろに、PHP公式・IPA・エックスサーバーの発表を確かめて書いています。最新の情報は、必ず公式の発表で確かめてください。
何が起きたのか（30秒で）
- 10月20日：PHP公式が、重大な脆弱性2件の修正版を翌日に出すと予告しました。危険度はどちらも CVSS v4.0 で 9.2 です。
- 10月21日：IPA（情報処理推進機構）が「事前準備のお願い」を出しました。この時点で、IPAとしては悪用した攻撃を確認していないとしています。
- 10月21日（日本時間では21日の深夜）：PHP公式が修正版 8.5.12・8.4.27・8.3.36・8.2.35 を公開しました。脆弱性の番号は CVE-2026-109618 と CVE-2026-109619 で、どちらも認証なしで外から好きなプログラムを動かされうる（遠隔コード実行）種類です。
- 共同通信は、世界のサイトの約7割がPHPを使っていること、銀行などが一部サービスを止めたことなどを伝えています。
脆弱性の中身、どの版にすればよいか、WordPress・エックスサーバーでの対応は、se0.info の記事「PHPに重大な脆弱性（2026年10月）WordPressとエックスサーバーの利用者がやること」でくわしく解説しています。
自分のサイトは関係ある？
- WordPress のサイト：WordPress は PHP で動いているので、関係があります。
- お問い合わせフォームなどにPHPを使っているサイト：関係があります。
- HTMLだけで作った静的なサイト：そのページ自体はPHPを使わないので、直接は関係しにくいです。ただし、同じサーバーにPHPを使う別のサイトや機能がないかは確かめます。
- 業者に作ってもらった・分からない：作った人やサーバー会社に確かめます。下の例文で問い合わせ文をAIに作らせることもできます。
IPAは、PHPがソフトやネットワーク機器などに組み込まれていて、外からは分からないこともあると注意しています。
AIに相談して対応する手順
1. 公式の発表を貼って、やさしく説明させる
AIが学んだデータには期限があり（ナレッジカットオフ）、新しい脆弱性は知らないことがあります。PHP公式やIPAの発表の文章を、そのまま貼り付けて聞くのが確実です。
次は、PHP公式のセキュリティのお知らせです。プログラミングが分からない人向けに、 ・何が危ないのか ・だれが対応する必要があるのか ・すぐにやるべきこと を、やさしい言葉で説明してください。お知らせに書いていないことは推測しないでください。 【お知らせ】〔ここに公式の文章を貼る〕【お知らせここまで】
2. 自分の状況に合わせたチェックリストを作らせる
私のサイトは〔WordPress／PHPのお問い合わせフォームあり／業者に作ってもらった〕で、 サーバーは〔レンタルサーバーの会社名〕です。 上のお知らせをもとに、私がやることのチェックリストを、やる順番に作ってください。 自分でできること、サーバー会社に任せること、業者に頼むことに分けてください。
3. サーバー会社や業者への問い合わせ文を作らせる
サイトを作ってくれた業者に、PHPの脆弱性（CVE-2026-109618・CVE-2026-109619、2026年10月21日に修正版公開）への対応を確かめるメールを書いてください。 聞きたいこと：・私のサイトはPHPを使っているか ・使っているなら、修正版への更新は済んでいるか、いつ済むか ・私がやることはあるか ていねいな言葉で、200字くらい。
4. 社内やお客さんへのお知らせ文を作らせる
PHPの脆弱性への対応のため、〔10月〇日 〇時〜〇時〕にサイトを一時的に止めます。 お客さん向けのお知らせ文を、不安をあおらない落ち着いた言葉で、150字くらいで書いてください。
AIに聞くときの落とし穴
- AIは今回の脆弱性を知らないことがある：知らないまま、それらしい答えを作ることがあります（ハルシネーション）。公式の文章を渡すか、ウェブ検索の機能で調べさせ（グラウンディング）、出典を開いて確かめます。
- 版の数字やCVE番号をまちがえることがある：修正版の番号（8.3.36 など）は、必ずPHP公式の発表と照らし合わせます。
- 「たぶん大丈夫」をうのみにしない：AIは、あなたのサーバーの中を見ていません。最後は、サーバー会社や作った人の公式の案内で確かめます。
- パスワードや設定ファイルを丸ごと貼らない：サーバーのパスワード、設定ファイルの中身などは、AIとのやり取りに書きません（「AIに入力してはいけない情報」）。
- 攻撃の方法は聞かない・試さない：自分のサイトの安全を確かめる目的でも、攻撃のためのプログラムを探したり動かしたりするのは危険です。確かめ方は、公式の案内に従います。
AIエージェントにサーバー作業を任せるときの注意
Claude Code のようなAIエージェントは、サーバーにつないで設定を確かめたり、コマンドを動かしたりできます。便利な一方、本番のサーバーでは次のことを守ります。
- 先に控えを取る：作業の前に、サイトのファイルとデータベースの控えを取ります。
- 1つずつ、人が確かめて承認する：どのコマンドを、何のために動かすのかを説明させ、内容を読んでから承認します（人の確認をはさむ進め方）。
- パスワードは自分で入力する：AIに渡さず、ログインは自分で行います。
- サーバー会社の案内を優先する：レンタルサーバーでは、PHPの更新はサーバー会社が行うことが多いです。自分で設定を変える前に、サーバー会社の案内を確かめます。
これを機に考えたいこと
- 古い版のPHPを使い続けない：PHP公式は、PHP 8.2 のサポートが2026年12月31日で終わると発表しています。サポートが終わった版には修正版が出ません。IPAも、サポート切れのPHPのサイトは非常に早く攻撃される可能性があると注意しています。
- 静的なサイトという選び方：動く部品（PHPやデータベース）が少ない静的なサイトは、守るところが少なくてすみます。AIに頼んで作るなら（バイブコーディング）、静的なHTMLで作れないか相談してみるのも一つの方法です。くわしくは「Claude Code でホームページを作る手順」。
- AIは見つける側にも：AIは、ソフトの脆弱性を見つける研究にも使われ始めています。2026年4月には、Anthropic が脆弱性を見つける力の高いAIを防御のために使う取り組みを始めました（AIの進化の歴史）。
よくある質問
ChatGPT に聞いたら「そんな脆弱性は知らない」と言われました。
AIが学んだデータには期限（ナレッジカットオフ）があり、新しい脆弱性は知らないことがあります。PHP公式やIPAの発表の文章を貼り付けるか、ウェブ検索の機能を使って調べさせてください。
WordPress を更新すれば大丈夫ですか？
今回の問題は、WordPress を動かしている土台の PHP にあります。WordPress の更新だけでは直りません。使っているサーバーの PHP が修正版になっているかを確かめる必要があります。くわしくは se0.info の記事をご覧ください。
AIエージェントにサーバーの更新を任せてもよいですか？
任せる場合も、控えを取ってから、1つずつ、人が内容を確かめて承認しながら進めてください。サーバーのパスワードはAIとのやり取りに書かず、自分で入力します。