PHPに大きな穴が見つかる11日前。5年放っておかれたホームページを、点検していました

2026年10月21日。

WordPressを動かしている「PHP（ピーエイチピー）」という仕組みに、大きな穴が2つ見つかりました。

危険度は、2つとも10点満点で9.2です。

その11日前の10月10日。

僕は、メンテナンスを任された会社のホームページを、点検していました。

5年間、ほとんど誰も中を見ていなかったホームページです。

1. 5年放っておかれたホームページを、開けてみた

そのホームページは、WordPressで作られた読み物のサイトでした。

記事は約420本。画像は1万枚ほど。

5年前まではしっかり更新されていて、そこから先は、ほぼそのままです。

ホームページは、古くなっても見た目は何も変わりません。

だから、誰も気づかないんです。

まず確かめたのは、「もう誰かに入られていないか」です。

外からの見え方、管理画面、サーバー、全部のファイル。

4つの方向から調べて、乗っ取られた跡はありませんでした。

ここで、まずひと安心。

そして、中を開けてみると、出てきたものはこんな感じです。

家でいえば、こうです。

鍵の古い勝手口が4つあって、誰も住んでいない離れが1軒あって、合鍵を持っている人が誰か分からない。

……。

これで5年、よく何も起きなかったな、と思いました。

2. 1日でやったこと

作業の前に、まず全部のデータを手元に控えました。

何かあっても、元に戻せるようにするためです。

そのうえで、1日でここまでやりました。

• PHPを「7.4」から、今も面倒を見てもらえる「8.4」へ
• プラグインを18個から6個に減らして、残りは全部最新に。これからは自動で更新
• テーマも最新の版へ（更新したあと、エラーがゼロなのを確認）
• 使っていない入口4つと、2019年の古いWordPressを削除
• 外から自動でログインを試せる「裏口」を閉じた
• 管理者の名前が、外から見えないようにした
• 管理者のメールアドレスを、会社のものに付け替えた

新しい部品は、1つも足していません。

足すほど、見張る場所が増えるからです。

3. そして、11日後に穴が見つかった

10月21日の夜、PHPの開発チームが、穴を直した版を出しました。

翌朝には、エックスサーバーもロリポップも、一斉に緊急メンテナンス。

サーバー会社が、サーバーのPHPを直した版に入れ替えてくれたんです。

ここが、今日いちばんお伝えしたいところです。

あのホームページが「7.4」のままだったら、どうなっていたか。

サーバー会社がいくら頑張っても、土台は古いまま。

穴は、開いたままです。

10日に「8.4」にしてあったから、このサイトは、直してもらえる側に間に合っていました。

4. 「作ってくれた人と、もう連絡が取れない」でも大丈夫

こういう話をすると、よく言われます。

「うちのホームページ、何で動いているのかも分からない」
「作ってくれた人と、もう連絡が取れない」

大丈夫です。

今回のホームページも、作った人が中を見ていたわけではありません。

点検は、作った人でなくてもできます。

まずは、今の状態を見ることからです。

あなたの会社のホームページ、最後に中を見たのは、いつですか？