PHP脆弱性への対策状況のお知らせ｜Pullaway

【2026年10月23日 追記・訂正】この記事を公開した時点（10月22日14時27分）では、サーバーのPHPはまだ修正前の版でした。本文で「修正済みの版に更新し」と書いていますが、実際に修正が適用されたのは、同日20時45分です（利用しているレンタルサーバー会社の発表による）。訂正してお詫びします。修正が反映されたことと、その後に行った安全確認の結果は、続報の記事でお知らせしています。

Pullawayでは、PHPの脆弱性への対策として、サーバーのPHPを修正済みの版に更新し、WordPress本体とプラグインを最新版にそろえ、サーバーの防御設定（WAF^※1）を確認しました。サイトを見てくださっている皆さまのほうで必要な操作はありません。このページでは、何が問題で、Pullawayが何をしたのか、そしてクラブや連盟のサイトを運営している方にも役立つ確認のポイントをお伝えします（2026年10月22日時点）。

PHPの脆弱性とは、何が問題なのか

PHPは、WordPressをはじめ多くのWebサイトを動かしているプログラム言語です。Pullawayもこの上で動いています。脆弱性とは、悪用されるおそれのある弱点のことです。PHPでは弱点が見つかるたびに修正版が公開されていて、2026年もいくつかの脆弱性と修正版が公表されています（例：Ubuntuのセキュリティ情報 USN-8513-1）。

弱点をそのままにしておくと、外部からサイトを書き換えられたり、サーバーを止められたりする危険があります。逆に言えば、修正版に切り替えることが、いちばん基本的で確実な対策です。家の鍵に不具合が見つかったら、新しい鍵に替える。考え方はそれと同じです。

小さなサイトでも対策が必要な理由

「有名なサイトでなければ狙われないのでは」と思われるかもしれません。ですが、こうした攻撃の多くは、人がサイトを選んで行うものではありません。プログラムがインターネット上のサイトを片っ端から調べ、古い版のまま放置されているところを自動で探しています。サイトの規模や知名度に関係なく、更新していないこと自体が狙われる理由になります。

Pullawayには、大阪の社会人リーグの日程・結果・順位表やクラブの情報が集まっています。週末の試合前に確認しに来てくれる選手や家族、応援する人たちが、いつでも安心して見られる状態を保つこと。それも、試合の情報を正確に届けることと同じくらい大切な役割だと考えています。

Pullawayが行った対策

今回、次の3つを行いました。

• サーバーで使っているPHPを、修正が入った版に更新しました。
• WordPress本体と、サイトで使っているプラグインを最新版に更新しました。
• サーバーの防御設定（WAF）が有効になっていることを確認しました。

PHPを更新すると、古い書き方のプログラムが動かなくなることがあります。そのため更新のあとは、試合日程・結果、リーグごとの順位表、クラブページなど、普段よく見られているページが正しく表示されるかを、更新のたびに確かめることが大切です。使っているバージョンなどの細かい情報は、攻撃の手がかりになりうるため、安全のため公開を控えています。

サイトを見ている人に影響はあるか

今回の対策はすべてサーバー側の作業なので、皆さまのほうで必要な操作はありません。試合日程・結果、順位表、クラブ紹介はこれまでどおりご覧いただけます。一般的な心がけとして、スマートフォンやパソコンのブラウザを最新の状態にしておくことも、安全にWebサイトを見るうえで役に立ちます。

クラブや連盟のサイトを運営している方へ：確認したい4つのこと

社会人サッカーのクラブや連盟でも、WordPressで公式サイトを作っているところは少なくありません。担当の方が仕事の合間に更新していることも多いはずです。今回Pullawayで確認した内容をもとに、まず見ておきたい点をまとめます。

1つ目は、PHPのバージョンです。レンタルサーバーの管理画面で、今どの版のPHPが使われているかを確認できます。サポートが終わった古い版のままなら、切り替えを検討してください。今サポートが続いている版は、PHP公式サイトのサポート対象バージョン一覧で確認できます。2つ目は、WordPress本体とプラグインの更新です。管理画面のダッシュボードに更新の案内が出ていれば、それが対応すべき合図です。

3つ目は、使っていないプラグインやテーマの整理です。有効にしていなくても、サーバーに残っているだけで弱点になることがあります。4つ目は、更新の前のバックアップです。万が一表示が崩れても、元に戻せる状態にしておくと安心して更新できます。多くのレンタルサーバーには、WAFや自動バックアップの機能が用意されているので、有効になっているかもあわせて確認してみてください。

これからの取り組み

PHPやWordPressの修正情報が公開されたら確認し、必要な更新をこれからも続けていきます。週末の試合を安心して調べられる場所であり続けることが、Pullawayの土台です。サイトの動作で気になる点があれば、お問い合わせページからお知らせください。

まとめ

• PullawayはPHPの脆弱性への対策として、PHPの更新、WordPress本体・プラグインの更新、サーバー防御設定（WAF）の確認を行いました。
• 閲覧している皆さまに必要な操作はありません。
• WordPressでサイトを運営しているクラブ・連盟は、PHPの版、更新の有無、不要なプラグイン、バックアップの4点をまず確認するのがおすすめです。

参考リンク

• Supported Versions（PHP公式：サポート対象のバージョン一覧）
• Hardening WordPress（WordPress公式：セキュリティ強化の手引き）
• 安全なウェブサイトの作り方（IPA 独立行政法人 情報処理推進機構）
• USN-8513-1: PHP vulnerabilities（Ubuntu セキュリティ情報）

---

※1 WAF（ウェブアプリケーションファイアウォール）：Webサイトへの不正なアクセスを見分けて止める、サーバー側の防御の仕組みです。