PHPとは？何に使うのか、プログラミングをしない人にも脆弱性が関係する理由

WindowsMac更新 2026-10-31

PHPは、ウェブサイトを作るためのプログラミング言語です。PHPマニュアルは、PHPを「広く使われているオープンソースの汎用スクリプト言語」で、特にWeb開発に適していると説明しています。PHPが動くのはウェブページを送り出す側のコンピューター（サーバー）で、ページを読んでいるスマートフォンやパソコンではありません。この記事は2026年10月23日時点の情報です。

要点

PHPは、多くのウェブサイトで使われているオープンソースのプログラミング言語です。PHPのコードはサイトのサーバーで実行され、できあがったページだけがブラウザに届きます。そのため、PHPの脆弱性はサイトを運営する側の問題で、対策も閲覧者の端末ではなくサーバー側の更新です。

PHPは何に使うのですか？

主に、内容が変わるウェブページを作るために使います。普通のウェブページは決まった内容のファイルです。PHPのページは小さなプログラムで、アクセスがあったその場でページを組み立てます。だから、買い物かごの中身や自分のアカウント情報、最新の投稿などを表示できます。

PHPマニュアルによると、PHPは主にサーバーサイドでの活用に焦点を当てた言語で、フォームからデータを受け取る、ページの内容を動的に作る、クッキーを送受信するといったことができます。PHPの公式サイトのトップページは、PHPが個人のブログから世界で最も人気のあるサイトまで、あらゆるものを動かしていると紹介しています。

名前を目にしなくても、PHPに触れていることはよくあります。WordPress日本語版の「PHP の更新」ページは、PHPを「WordPress を構成するプログラミング言語の1つ」と説明しています。また、PHPマニュアルによると、PHPはサーバーもブラウザも使わずにコマンドラインだけで動かすこともでき、決まった時間にスクリプトを実行したり、ちょっとした文書処理をしたりするのに向いています。

「サーバーサイド」とは、サイトと閲覧者にとってどういう意味ですか？

処理はすべてサイト側のコンピューターで行われ、終わってからあなたに届く、という意味です。PHPマニュアルは、ブラウザの中で動くJavaScriptとの違いを、PHPは「コードがサーバーで実行され、その結果がクライアントに送信される」点だと説明しています。クライアントとは、あなたのブラウザのことです。

PHPで作られたサイトのページを開くと、サーバーがPHPを実行して普通のウェブページ（HTML）を作り、それをあなたに送ります。マニュアルによると、クライアントは実行結果を受け取りますが、それを作ったコードがどんなものかは知ることができません。さらに、サーバーの設定によっては、ユーザーはPHPが動いていることすら知ることができない、とも書かれています。

閲覧者にとっての意味は2つです。PHPのサイトを使うのに自分の端末にPHPを入れる必要はありません。そして、そのサイトがPHPを使っているかどうかは、たいてい外からはわかりません。

なぜPHPの脆弱性1つが多くのサイトに影響するのですか？

PHPを使うサイトはどれも同じ中核のソフトウェアを動かしているので、その中核に弱点があれば、それぞれが更新するまで全員が同じ弱点を抱えることになります。2026年10月21日、PHPの開発元は2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619を公表し、対象は「ウェブのリクエストを処理しているすべてのPHP」だとしました。JPCERT/CCは注意喚起の中で、PHPが国内で広く利用されていることを確認していると書いています。

この記事の出典にしている公式の発表には、PHPを使っているサイトの数や割合は書かれていないので、ここでも数字は挙げません。公式に書かれているのは、PHPが広く使われていて、見えにくい場所にもあるということです。アメリカのCISAは、PHPは他のソフトウェアの部品として組み込まれていることが多く、使われていても直接はわからない場合があるとしています。IPAも、PHPは様々なウェブアプリケーションやソフトウェア製品で利用されているとして、利用している製品の開発者やサービス提供元の情報を確認するよう求めています。WordPress日本語版の「PHP の更新」ページは、PHPは非常に人気があるためハッカーの標的になる、と書いています。

脆弱性の中身、深刻度、修正版のバージョンは、PHPの脆弱性「PHP2Shell」とはで説明しています。

自分のスマホやパソコンでサイトのPHPが動くことはないのですか？

ありません。PHPはサイトがあるサーバーで動きます。ブラウザがページを求めると、サーバーがPHPを実行し、返ってくるのは完成したページ（HTML）です。10月21日のPHPのアドバイザリが危険のある環境として挙げているのも、PHP-FPM、Apacheのmod_php、LiteSpeedなど、ウェブサーバーで使われる構成です。

古いPHPや修正前のPHPで動いているサイトを見ても、そのPHPがあなたのスマホやパソコンに入ってくることはありません。閲覧者にとってのリスクは別のところにあります。攻撃者にサイトを乗っ取られると、表示される内容を書き換えられることがあります。どんなことが起こり得て、何に気をつければよいかは改ざんされたサイトを見ただけで感染しますかで説明しています。

例外は、サイト制作やテストのために自分でPHPをインストールしている場合です。そのときは、ほかのソフトウェアと同じように、自分の端末のPHPも更新が必要です。

PHPの脆弱性とは、わかりやすく言うと何ですか？

脆弱性とは、ソフトウェアを本来の動きとは違うことに使われてしまう弱点のことです。PHPの開発元は、2026年10月の2件を、ログインなしでリモートからコードを実行される（リモートコード実行）おそれのある脆弱性だと説明しています。つまり、外部の誰かが、ログインもせずにサーバーに自分の命令を実行させられるかもしれないということです。JPCERT/CCは、悪用された場合、PHPの実行プロセスの権限で任意のコードを実行される可能性があるとしています。

PHPの開発元が示している対策は更新です。リリース告知には「There are no complete mitigations, updating is the only safe choice.」（完全な緩和策はなく、更新だけが安全な選択肢です）と書かれています。サイトを管理しているなら、まず使っているバージョンを調べることから始めます。確認する場所と修正版の一覧はPHPのバージョン確認方法にまとめています。

よくある質問

PHPはウイルスや、パソコンに入っているプログラムですか？

いいえ。PHPはプログラミング言語と、それを動かすソフトウェアで、マルウェアではありません。動いているのはウェブサイトのサーバーです。自分のパソコンにPHPが入っているかどうかはPHPがインストールされているか確認する方法で調べ方を説明しています。

PHPは何の略ですか？

PHPマニュアルによると、PHPは「PHP: Hypertext Preprocessor」を再帰的に略したものです。再帰的とは、略語の最初の語がその略語自身になっているという意味です。プリプロセッサ（前処理をするもの）という名前のとおり、ページがブラウザに送られる前にサーバーで処理をします。

自分のサイトのPHPのバージョンは誰が決めるのですか？

たいていはレンタルサーバー会社です。WordPress日本語版の「PHP の更新」ページは、サイトで使えるPHPのバージョンはレンタルサーバーによって決まるが、多くの場合は自分で変更できると説明しています。確認する場所はPHPのバージョン確認方法をご覧ください。

あるサイトがPHPを使っているかどうか、見てわかりますか？

多くの場合、わかりません。PHPマニュアルによると、サーバーの設定によってはユーザーがPHPの動作に気づくことすらできません。自分が運営しているサイトなら、レンタルサーバーの管理画面かサーバー会社でバージョンを確認できます。

PHPは安全に使えるのですか？

サイトが使っているバージョンによります。サポート中のバージョンにはセキュリティ修正が出ますが、サポートが終わったバージョンには出ません。PHPのサポートの仕組みはPHPは安全ですかで説明しています。