自分の会社のサイトはPHPを使っている？外から確認する方法と対策（WixとEmDashも）

「うちのサイトは、PHPを使っているの？」

2026年10月21日にPHPの

重大な脆弱性2件の修正版が出てから

こう聞かれる方が増えています。

制作会社に任せきりで

自分では、分からない。

そんな方も、多いと思います。

この記事では

次の3つを整理します。

• 自社サイトがPHPかどうかの確認方法

• Wixの場合はどうか

• WordPressをEmDashに変える価値はあるか

2026年10月28日時点の情報です。

最新は、各公式ページで確認してください。

筆者は、Wixでの制作が中心です。

Wixに寄った見方に

なっている可能性があります。

確認できなかったことは

そのまま「確認できなかった」と書きました。

まず、確認の順番

確認は、次の順番が、確実です。

1．外から見る（ツールやヘッダー）

2．管理画面を見る（WordPressの場合）

3．サーバー会社や制作会社に聞く

1と2で分からなければ、3です。

外から見えないことは、安全という

意味ではありません。

自分のサイトがPHPか、確認する方法

WordPressなら、PHPです

WordPress公式は、今回の問題を

「PHPを使うサーバーすべてに関わる」と

説明しています。

WordPressで作ったサイトは

PHPで動いている、と考えてください。

バージョンは、管理画面の

「ツール」→「サイトヘルス」→

「情報」→「サーバー」で見られます。

外から調べるツール

2つの無料のツールが公開されています。

• RealAIzeの「サイト診断」：URLを入れると、PHPとWordPressのバージョンを調べます。見るのは、ヘッダー・HTMLの痕跡・公開API・RSSです。1回の診断で開くのは最大4ページで、入力したURLと結果は保存しないと、運営元が説明しています。
  

• OpenAIの「php2shell-checker」：GitHubで公開（Apache-2.0）。Node.jsで動かすコマンドのツールです。「X-Powered-By」と「Server」のヘッダーから、PHPのバージョンを読み、修正版と比べます。
  

ほかに、Wappalyzer・BuiltWithなど

サイトの技術を調べるサービスもあります。

無料の範囲や精度は、確認できていません。

注意：RealAIzeの運営元は

EmDashでサイトを作る制作会社です。

サイトにその案内も載っています。

（運営元自身の説明による）

自分でヘッダーを見る

ブラウザの開発者ツールや

curlというコマンドで

サイトが返す情報（ヘッダー）を見られます。

筆者が、2026年10月28日に

自分のサイトと、WordPress公式サイトを

1回ずつ見た結果です。

• 筆者のWixのサイト：PHPのバージョンは出ていませんでした。HTMLの中に「Wix.com Website Builder」というgenerator（作成ツールの名前）が出ていました

• WordPress公式サイト（wordpress.org）：HTMLの中のgeneratorに「WordPress 7.2-beta2」と、バージョンまで出ていました

WordPressは、設定によっては

バージョンが外から見えることがある

という例です。

見るのは、ご自身のサイトだけにしてください。

結果の読み方

ツールの結果は、次のように読みます。

• 「OK」：表示されたバージョンが、修正版以上です。 ただし、実際の状態を確かめたものではありません

• 「脆弱の可能性」：修正版より古い表示です。サーバー会社に確認をしてください。

• 「UNKNOWN（不明）」：バージョンが見えません。 「安全」ではなく「分からない」です

• PHPの痕跡がない：PHP以外か、隠されているだけの可能性もあります

見えないケースは、主に3つです。

• CDNなどが、ヘッダーを消している

• サーバーの設定で、バージョンを隠している（expose_php=Off）

• サーバー会社が、修正を「取り込み」ながら、バージョン番号は古いまま（バックポート）にしている

OpenAIのツールのページにも

バックポートでは、修正済みでも

古く見えることがある、と書いてあります。

結局は、サーバー会社の

公式のお知らせで確認するのが

いちばん確実です。

PHPを使っている場合のセキュリティ対策

優先順位の順に書きます。

1．PHPを更新する

修正版は、8.5.12・8.4.27・

8.3.36・8.2.35です。

8.1以前は、公式の修正版がありません。

8.2は、2026年12月31日に

セキュリティサポートが終了する予定です。

更新の前に、バックアップを取り

プラグインやテーマが

新しいPHPで動くかを確認します。

2．更新のほかに、できること

次は、更新の代わりにはなりません。

あくまで補助です。

• PHPのバージョンを外に出さない：php.iniで expose_php = Off にします。PHP公式のマニュアルでも、初期値は有効（表示される）です

• WAF（不正な通信を止める仕組み）：Cloudflareは、10月21日からphp2shell向けのルールを提供していると報じられています。ただし、Cloudflareを経由するホスト名だけが対象で、PHPは直りません（報道による。公式記事は未確認）

• 10月23日のPHP公式の告知：session.upload_progress.enabled=0 にしておく
  

3．部品とログインを見直す

• 使っていない・更新が止まったプラグインを削除する

• 管理者とプラグインの一覧に、見覚えのないものがないか見る（Must-Useも）

• 管理画面のログインに、二段階認証を使う

• 辞めた制作者や外部の方の権限を外す

プラグインに問題が多いことは

前の記事に書きました。

Wixの場合

筆者のWixのサイトは

外から見ると、PHPの痕跡は

見つかりませんでした（上の実測）。

Wixは、サーバーを提供元が管理する

サービスです。

利用者が、自分でPHPを更新する

仕組みではありません。

ただし、PHPについての

Wixの公式な発表は

私が検索した範囲では見つかりませんでした。

「Wixは、影響がない」とは書けません。

Wixを使っている方が、できることです。

• Wixアカウントで、2段階認証を有効にする（Wix公式ヘルプに手順があります）

• 共同管理者を、見直す

• 埋め込んだコードや、外部のアプリを見直す

• 更新が早いサービスなので、公式ヘルプの日付を確認する（筆者の経験）
  

WordPressをEmDashに変える価値はあるか

EmDashとは

Cloudflareが、2026年4月1日に

発表したオープンソースのCMSです（MITライセンス）。

TypeScriptとAstroで作られ

PHPは使いません。

9月29日付の報道では

1.0が出た、とされています。

最大の特徴は、プラグインの扱いです。

プラグインは、それぞれ隔離された環境で動き

必要な権限を宣言します。

管理者が承認した範囲だけ、使えます。

WordPressからは、書き出したファイル（WXR）や

専用のプラグインで、投稿・メディア・

カスタム投稿タイプを取り込めます。

注意点

• WordPressのテーマとプラグインは、そのまま移せません。 見た目や機能は、作り直しになります（RealAIzeの説明）

• ビジュアルのページビルダーではありません（レビュー記事による）

• プラグインの署名は、発行元を示すだけで、アカウントの乗っ取りまでは防げません（Help Net Security）

• 隔離の機能の一部に、Cloudflareの有料プランが必要だとする情報もあります（RealAIzeの説明など。一次情報は未確認）

• PHPの問題からは外れますが、 JavaScript側の部品の問題（axiosの事例など）は、別に残ります
  

筆者の見方

筆者は、EmDashを自分では試していません。

YouTube動画「EmDash完全解説」も

題名しか確認できていません。

そのため、あくまで公開情報からの整理です。

価値がありそうなのは、次のような場合です。

• 会社案内とお知らせが中心

• 更新は、AIに頼みたい

• 技術を管理できる人か、制作会社がいる

慎重にしたいのは、次の場合です。

• 予約・会員・ネットショップなどがある

• プラグインに、大きく頼っている

• 社内に、技術を見られる人がいない

移す前に、まず今のサイトの

PHPの更新を済ませるのが先です。

この記事の参考と、足したこと

参考にしたのは、KEITOさん

（AIディレクター）のX投稿です。

10月22日に、URLでPHPを確認できる

ツールの公開を10月23日に、

サイト・PC・AI・ログインの

セキュリティ12項目を紹介していました。

この記事では、次を足しました。

• 複数の確認方法の比較と、結果の読み方

• 筆者が実際に見た結果

• Wixの場合

• EmDashの判断の目安と注意点
  

まとめ

• 確認の順番は、外から見る、管理画面、サーバー会社です。

• 「見えない」は、安全ではありません。

• 対策は、PHPの更新が先で、他は補助です。

• Wixは、PHPの更新が不要な仕組みですが、公式の発表は確認できませんでした。

• EmDashは、まず今のPHPの更新を済ませてから、考えます。

筆者は、Wixでの制作を中心に

学びながら実践しています。

気になる点があれば

お問い合わせください。

ウェブデザイン・カウ

出典

• KEITOさんのX投稿（2026年10月22日）：https://x.com/keitowebai/status/2113231361079443886

• KEITOさんのX投稿（2026年10月23日）：https://x.com/keitowebai/status/2113633762353553910

• RealAIze「サイト診断」：https://web.realaize.jp/phpcheck

• OpenAI「php2shell-checker」：https://github.com/openai/php2shell-checker

• PHP公式のニュース一覧（10月28日に確認）：https://www.php.net/archive/2026.php

• PHPのサポート状況：https://www.php.net/supported-versions.php

• PHPマニュアル「expose_php」：https://www.php.net/manual/en/ini.core.php

• WordPress公式「Critical PHP Security Release」（2026年10月21日）：https://wordpress.org/news/2026/10/critical-php-security-release/

• Wix公式ヘルプ「Wixアカウントで2段階認証を使用する」：https://support.wix.com/ja/article/using-2-step-verification-for-your-wix-account

• Cloudflare「Introducing EmDash」（2026年4月1日）：https://blog.cloudflare.com/emdash-wordpress

• EmDash（GitHub）：https://github.com/emdash-cms/emdash

• Help Net Security「EmDash 1.0」（2026年9月29日）：https://www.helpnetsecurity.com/2026/09/29/cloudflare-emdash-plugin-security/

• RealAIze（EmDashのサイト制作の案内）：https://web.realaize.jp

• PHP2Shellとクラウドフレア（eSEOspace。報道）：https://eseospace.com/blog/php2shell-cloudflare/

• InfoQ「axiosのサプライチェーン攻撃」：https://infoq.com/news/2026/04/axios-supply-chain