2026年10月のPHPの脆弱性、税理士・社労士・行政書士事務所のホームページは何をすればいい？

何が起きたのか：ホームページを動かす「土台」の弱点

2026年10月20日、PHPの開発チームが深刻な脆弱性（弱点）2件の修正を予告しました。深刻度は10段階で9.2とされ、外部からサーバーを操られるおそれがある種類のものです。翌10月21日にはIPA（情報処理推進機構）が注意喚起を出し、国内では50を超える企業・団体がサイトやサービスを一時停止しました（IPA（情報処理推進機構）の注意喚起（2026年10月21日））。

PHPとは、ホームページを動かすための「土台」にあたる仕組みです。事務所のホームページでよく使われるWordPress（文章やお知らせを自分で更新できる仕組み）も、このPHPの上で動いています。建物にたとえると、PHPが基礎、WordPressが建物、お知らせや料金表のページが部屋の中の家具です。

今回の弱点は、WordPressやその追加部品（プラグイン）ではなく、PHP本体にあります。そのため「WordPressは新しい版にしてもらっている」という事務所でも、PHPが古いままであれば対象になり得ます。ここが今回いちばん誤解されやすい点です。

士業事務所のホームページで気にしたい理由

税理士・社労士・行政書士の事務所のホームページは、飲食店のように毎日たくさんの人が見るものではないかもしれません。それでも、気にかけていただきたい理由があります。

• 相談フォームがある：相続・労務トラブル・在留資格・許認可など、相談者の方が人に知られたくない事情を書き込む入り口になっています
• 事務所の信用そのものになる：守秘義務のある仕事だからこそ、ホームページが乗っ取られたり、見知らぬページが差し込まれたりすると、相談をためらわれる原因になります
• 顧問先が見ている：顧問先への案内や様式のダウンロードをホームページに置いている事務所では、顧問先の担当者が日常的にアクセスしています
• 繁忙期に止まると困る：確定申告や年度更新、許認可の更新時期に問い合わせの入り口が止まると、新しいご相談を逃してしまいます

特に社労士事務所では、障害年金や労災の相談で、心身の状態にかかわる内容が相談フォームに書かれることがあります。こうした情報は個人情報保護法でいう「要配慮個人情報」にあたり、漏れた場合は件数に関係なく個人情報保護委員会への報告と本人への通知が必要とされています。詳しくは個人情報保護委員会の案内をご確認ください。相談フォームそのものの守り方は相談フォームに書かれた内容はどこを通る？守秘の不安をなくす確認ポイントでまとめています。

貴事務所で確かめる3つのこと

難しい作業は要りません。次の3つを確かめれば、どこまで対応が必要かがおおよそ見えてきます。

1. PHPの版（バージョン）を知る修正版はPHP 8.5.12・8.4.27・8.3.36・8.2.35です。これより前の版なら更新が必要です。PHP 8.1以前はサポートが終わっていて、公式の修正版がありません。版は、レンタルサーバーの管理画面か、制作会社への問い合わせで分かります。
2. 誰がPHPを更新する決まりになっているか知る多くのレンタルサーバーでは、PHPの版は契約者が管理画面で選ぶ仕組みです。サーバー会社が自動で上げてくれるとは限りません。制作会社との保守契約に「PHPの更新」が含まれているかも確認します。
3. 相談フォームや予約の仕組みが何で動いているか知る相談フォームがWordPressの追加部品で作られている場合、PHPを上げたあとにフォームが動くかどうかの確認も必要です。更新後に一度、自分で送信してみる段取りを決めておきます。

ご自身でサーバーの管理画面に入れる場合でも、PHPの版を切り替えるとホームページの表示が崩れることがあります。古いWordPressや古い追加部品が新しいPHPに対応していないためです。いきなり切り替えるのではなく、制作会社や詳しい方と段取りを決めてから進めるのが安全です。

制作会社への聞き方：そのまま使える文面

ホームページを制作会社に任せている場合は、次のような内容をメールで送ってみてください。専門的な言葉が分からなくても、この文面のまま送れば話が通じます。

返事が来たら、版の数字と更新の予定日をメモしておきます。もし「PHPは契約の範囲外です」「サーバーはそちらの契約なので」と言われた場合は、サーバーの契約者が誰かを確かめるところから始めます。制作会社と連絡がつかない場合の進め方は制作会社と連絡が取れない・廃業していた時の進め方をご覧ください。

対応のあとに続けたいこと

今回の弱点に対応できても、ホームページの土台や部品には、これからも弱点が見つかることがあります。大切なのは、今回のようなニュースが出たときに「うちは誰が見ているのか」がすぐ分かる状態にしておくことです。

• サーバーの契約者・管理画面に入れる人を、事務所の中で一人決めておく
• 制作会社との保守契約に、PHPの更新が含まれるかを書面で確かめておく
• 相談フォームの送信テストを、月に一度は事務員さんの業務に入れる
• 顧問先への案内ページや様式の置き場所が、古いまま放置されていないか年に一度見直す

全体の点検の流れは士業事務所のホームページ 安全点検チェックリストにまとめています。年に一度、確定申告や年度更新の繁忙期が終わったころに見直すのがおすすめです。

見守りと相談の手を借りるという選択肢

「ニュースが出るたびに自分で調べるのは難しい」という事務所のために、HPドクターでは、ホームページをAIが見守るサービスをご用意しています。AIみまもり＋AIチャット（AI相談プラン）は月額1,500円で、最初の14日間は無料です。週3回（月・水・金）、貴事務所のサイトを診断し、変化があった時だけお知らせします。気になることがあれば、AIにその場で相談することもできます。

人に相談したい場合は、月額20,000円・50,000円（税別）の助言プランがあります。作業が必要な場合は別途お見積もりです。今の制作会社との契約はそのままでお使いいただけるので、制作会社に作業をお願いしつつ、判断に迷うところだけ相談する、という使い方もできます。

まずは、今のホームページの状態を知るところから始めてみてください。無料の自動診断では、アドレスを入れるだけで、ニュースになった弱点に当てはまりそうかどうかを確かめられます。続けて見守りを試したい場合は、14日間無料のAIみまもりからお申し込みいただけます。