こんにちは、中小企業診断士のSacChiです。
高知の暮らし・観光・移住の“リアル”を、
企業支援の現場で得た視点とあわせて発信しています。
世界のWebサイトの約7割で使用されているプログラミング言語、PHP。
※W3Techs調べ（2026年10月21日時点）。サーバー側のプログラミング言語が判明しているWebサイトが対象。
2026年10月22日、AIを活用して発見されたPHPの重大な脆弱性がニュースになりました。
PHPはWordPressでも使われており、この脆弱性は私のブログにも直結する問題です。
そのため今回は、WordPressでブログを運営する中で経験した、サーバーのセキュリティ確認について書きたいと思います。
ニュースを見た瞬間に思ったこと。それは、
「私のブログは大丈夫なのか？」
の一点。
すぐに対応しようとしましたが、
すでにサーバーの管理画面を操作できない状況になっていました。
現在管理画面を利用できるようになりましたが、
セキュリティの問題は、何も起きていないときほど後回しにしてしまっているものだと痛感しました。
ニュースを受けて、私が実際に確認したことと、改めて感じたことを整理しています。
PHPの脆弱性情報をきっかけに、サーバーを確認することに
過去にもお伝えしている通り、このブログは、エックスサーバーとWordPressを利用して運営しています。
日本語ブログと英語ブログのほか、実はWordPressの操作やWebサイト制作の練習に使っていたテストサイトもあります。
普段は記事の執筆や更新が中心で、サーバーの設定画面を開くことはほとんどありません。
そんな中、PHPの脆弱性に関する情報が入り、
いざ、自分のサイトが使用しているPHPのバージョンを確認しようとしたところ…
自分のサーバーの管理画面に入れない状態になっていました。
「自分のサイトを守りたいのに、対応できない」
エックスサーバー側のメンテナンスにより、管理画面を利用できない状況となっており、すぐに確認することができませんでした。
個人ブログなので、企業のホームページほど大きな影響があるわけではありませんが、この時間は思っていた以上に不安になりました。
翌朝以降、管理画面が利用できるようになったことを受け、サイトごとの状況確認を進めました。
今回、実際に確認したこと
管理画面が利用できるようになってから、ブログとテストサイトについて、順番に確認しました。
WordPressの管理画面
1．PHPのバージョンとWordPressの動作確認
まず、各サイトで使用しているPHPのバージョンを確認しました。
メインブログの確認。（ツール⇒サイトヘルス⇒情報⇒サーバーで確認できます）
脆弱性が発表された時点ではPHPのバージョンが8.3.35でしたが、無事更新されていました。
ほっと一安心。
一方、テストサイトの方は、PHPは 8.2.35… 。
今回の脆弱性が修正されたバージョンでしたが、プラグインの更新要件もあり、サーバーの管理画面から8.3.36へ変更しました。
変更後、サイトの表示とWordPress管理画面へのログインに問題がないことを確認できました。
※PHPのバージョン変更は、単に数字を新しくすれば終わりではありません。テーマやプラグインとの互換性にも注意が必要です。
2．WordPressの管理画面を確認
続いて、日本語ブログ、英語ブログ、テストサイトの状況を確認しました。
主に確認したのは、次のような項目です。
- WordPressに登録されているユーザー（ユーザー⇒ユーザー一覧）
- 投稿記事の状況（投稿一覧より投稿日時）
- 知らないプラグインが追加されていないか、各プラグインの更新状況
- 管理画面へのアクセスやサイト表示に問題がないか
確認した範囲では、明らかに見覚えのないユーザーや投稿の異常は見つかりませんでした。
ただし、管理画面で異常が見つからないことと、ファイルが改ざんされていないことは別問題です…。
エックスサーバーの管理画面
エックスサーバーのセキュリティ設定の確認
エックスサーバーの管理画面では、WordPressのセキュリティ設定やWAF（Webアプリケーションファイアウォール）の設定も確認しました。
WAFは、Webサイトへの不正な通信を検知・遮断するための仕組みです。
今回確認したところ、WAFの各設定が初期設定のままOFFになっていたため、すべてONに変更しました。
一方、WordPressのセキュリティ設定については、IPアドレスによるアクセス制限など、一部運用への影響も考慮して保留しています。
セキュリティを強化することは大切ですが、設定によっては自分自身が管理画面を利用できなくなったり、サイトの機能に影響が出たりする場合もあるようです。
設定変更後の動作確認も含めて、慎重に対応する必要があると感じました。
アクセスログとファイルマネージャーを確認
サーバーのアクセスログも一部確認しました。
ログには、通常のページ閲覧だけでなく、設定ファイルとして使われることがある「.env」へのアクセスや、「POST」というデータ送信を伴うリクエストも見られました。
こうした記録には通常の通信も含まれますが、不正アクセスを試みる通信が混在している可能性もあります。
すべてをチェックするには時間がかかるため、今回は総チェックを断念し、ログの量が多いときの一部しか確認できませんでした。
アクセス記録だけで不正侵入の成否を断定することはできず、アクセス先やサーバーの応答内容などを詳しく調べる必要があります。
ファイルマネージャーからサーバー内のフォルダやファイルも確認しましたが、ファイル名や更新日時を目視で確認するだけでは、既存ファイルの内部が書き換えられていないかまではわかりませんでした。
正直、ここまで確認しても「本当に大丈夫なのか」という不安は残ったままです。
使っていないテストサイトは、残しておくべき？
今回の点検で、もう一つ考えたのが、過去に作成したテストサイトの扱いです。
WordPressの操作やサイト制作を試すために作ったものの、
その後ほとんど使用していないサイトを複数持っています。
普段アクセスしないため、更新状況やセキュリティ設定を確認する機会も少なくなります。
プラグインの自動更新は設定していますが、空き家同然なので異変には気づけません。
それでも、公開されたままのサイトは、管理する必要がなくなるわけではありません。
そこで今回、不要なテストサイトの一部をアンインストールし、関連するファイルの整理を進めました。
※今後参照する可能性があるサイトについては、バックアップを取ってから整理する方針です。
WordPressのバックアップでは、サイトのファイルだけでなく、記事や設定などが保存されているデータベースも重要になります。
「使っていないから、そのままでいい」ではなく、
「使っていないからこそ、残す必要があるか考える」。
これもセキュリティ管理の一つだと感じました。
今回の経験から感じた3つのこと
1．バックアップは、何か起きてからでは遅い
今回、最も強く感じたのがバックアップの大切さです。
普段は問題なく表示されているブログも、サーバーのトラブルや設定変更、ファイルの破損などで、突然利用できなくなる可能性があります。
ブログの記事は、時間をかけて積み重ねてきた資産です。
だからこそ、何か問題が起きてから保存方法を調べるのではなく、普段から復元できる状態を整えておく必要があります。
バックアップは「取ること」だけでなく、「必要なときに戻せること」まで考えておきたいと思います。
2．サイトを増やすほど、管理するものも増える
ブログを始めた頃は、WordPressを試したり、デザインを変更したりするために、気軽にテストサイトを作っていました。
しかし、サイトを一つ増やせば、その分だけPHP、WordPress本体、テーマ、プラグインなどの管理対象も増えます。
今回のように脆弱性に関する情報が出たとき、管理対象が多いほど確認にも時間がかかります。
今後使わないサイトであれば、必要なデータを保存したうえで削除することも、合理的な選択だと思いました。
3．「異常が見つからない」と「安全である」は違う
今回、PHPのバージョン、WordPressの管理画面、サーバーのセキュリティ設定、アクセスログ、ファイルの状況などを確認しました。
それでも、改ざんされていないことを完全に確認できたわけではありません。
アクセスログに不審なリクエストがあっても、侵入に成功したとは限りません。
反対に、画面上で問題なくブログが表示されていても、それだけで安全だと断定することもできません。
自分で確認できる範囲には限界がある。
今回の経験で、そのことを実感しました。
必要に応じて、WordPressのファイル改ざんスキャンや、サーバー事業者への相談なども検討したいと思います。
まとめ｜ブログ運営には、記事を書く以外の仕事もある
ブログを運営していると、どうしても記事の執筆やアクセス数、検索順位などに意識が向きがちです。
私自身も、普段は新しい記事を書くことを優先しています。
しかし、その土台となるサーバーやWordPressを安全に維持することも、ブログ運営の大切な仕事です。
今回の経験を通じて、特に次の3つを意識したいと思いました。
✅ ファイルとデータベースのバックアップを定期的に確認する
✅ 使用していないサイトやプラグインを整理する
✅ PHPやWordPressの更新情報、セキュリティ設定を定期的に確認する
今回の点検で、すべての不安が解消されたわけではありませんが、
これまで後回しにしていたサーバー管理の状況を把握し、
不要なものを整理するきっかけにはなりました。
ブログは、書いて終わりではなく、安心して続けられる状態を維持することも大切。
今回の出来事を、今後の運営に活かしていきたいと思っています。
そして、企業のホームページも同じだと思います。
「制作会社に作ってもらったけれど、その後はほとんど触っていない」
「更新やセキュリティ対策が必要なのはわかるけれど、何から手をつければよいかわからない」
という方もいらっしゃるのでは？
セキュリティ上のリスクを100％なくすことは難しいですが、現状を把握し、
できることから対策を進めることは大切なことです。
「何を確認すればよいかわからない」「誰に相談すればよいかわからない」という方は、お気軽にご相談ください。
専門的なセキュリティ調査や対策そのものは専門事業者による対応が必要ですが、現状の課題を整理し、何から取り組むべきかを一緒に考えることはできます。
次に読む記事
📌【2026年8月】WordPressに緊急の脆弱性「wp2shell」｜7.1なら大丈夫？実際に確認した対策 | SacChi’s LOCAL WORKS
📌地方企業こそ始めたいオウンドメディア｜効果・メリット・始め方を解説 | SacChi’s LOCAL WORKS
📌WordPressサイト運用の始め方：初心者でも迷わないステップガイド －SacChiの実例（前編）－ | SacChi’s LOCAL WORKS
