PHPの穴で一番しんどいのは誰か｜これから求められるのは「作れる人」より「土台から守れる人」

PHPの重大な穴（PHP2Shell）の対応に追われた夜が明けて、ふと思いました。
「今回いちばんしんどい思いをしているのは、誰なんだろう」

私の答えは、制作会社です。
そして、そこから見えてきたのは、これからWebを学ぶ人に必要なものでした。

まず、今回の穴をおさらい

2026年10月21日、PHPの公式サイトが緊急の修正を出しました。
ログインしていない人のアクセスだけで、サーバーの上で好きなプログラムを動かされるおそれがある穴です。

ポイントは、WordPressを最新にしても直らないことです。
直すには、その下で動いているPHPそのものを上げる必要があります。
くわしくは「PHPの穴はエンジンにあった」に書きました。

一番しんどいのは制作会社だと思う

ホームページを持つ会社の社長さんの多くは、サイトを「一度作れば終わりの看板」のように感じています。
守るのは、作った業者かサーバー会社の仕事だと思っている。

でも実際には、保守の契約があいまいなことがよくあります。
それでも、こういう騒ぎが起きると、問い合わせは制作会社に届きます。

制作会社から見ると、こうです。

• 何十ものお客さんのサイトを、一度に確かめないといけない
• 古いPHPで作ったサイトは、版を上げるとテーマやプラグインが動かなくなることがある
• 直す手間はかかるのに、保守契約がなければ費用はもらいにくい

私自身も、お客さんのサイトを預かる立場で、今回の対応に追われました。
だから、この大変さは他人ごとではありません。

足りないのは「人手」より「土台の知識」

では、制作会社には何が足りないのか。
私は、サーバーの仕組み、つまり土台の知識だと考えています。

サイトを作る力は、たくさんあります。
デザインも、WordPressの組み立ても上手です。

ただ、その下の層になると、急に心細くなる。

• 自分のサイトが、どのPHPの版で動いているか
• その版は、いつまで修正が出るのか
• サーバー会社に任せていい部分と、自分で手を打つ部分はどこか
• 直せないときに、いったんサイトを閉じる判断ができるか

今回の騒ぎで困るのは、この「土台」がわからないときです。
（ここは、私が現場で感じた見立てです。統計で確かめたものではありません）

これから求められるのは「土台から守れる人」

ここで考えが、私の教室のことにつながりました。

私は、生徒さんへの学び方の案内を「HTML → WordPress → Laravel」と考えていました。
今回の騒ぎで、一度は「PHPは危ないから変えたほうがいいのでは」と迷いました。

でも、整理してみると、危ないのはPHPという言語そのものより、古い版を放っておくことでした。
穴はほかの言語にも見つかります。そのたびに修正版が出ます。
問題は、それを当てずに放置することです。

だから、道筋は変えずに、こう足そうと考えています（まだ考え中です）。

• HTMLの次に、動く部分のない「静的なサイト」を公開してみる
• WordPressでは、作るだけでなく「版を見る」「更新の前にバックアップ」まで練習する
• サポートの終わった版は使わない、という判断を身につける

目指すのは、作れるだけでなく、守れる人です。

道具は死ぬ、構造は残る

私が授業でよく話すのが、「道具は死ぬ、構造は残る」という言葉です。

WordPressもLaravelも、いつか別の道具に変わるかもしれません。
でも、「サイトの下にはサーバーがあり、その上でPHPが動き、さらにその上にWordPressがある」という層の構造は、道具が変わっても残ります。

構造がわかっていれば、今回のようなニュースを見ても慌てません。
「これは自分の番か、サーバー会社の番か」が見分けられるからです。

そして、その力は、今まさに手が足りない制作会社にとって、心強い助っ人になります。
作れる人はたくさんいる。でも、土台から守れる人はまだ少ない。
ここに、これから学ぶ人のチャンスがあると思っています。

PHP2Shellについては、ほかにも疑問ごとに記事を書いています。
「なぜPHPばかり狙われる？」もあわせてどうぞ。