※本記事にはプロモーションが含まれます。特定の銘柄の売買を推奨するものではなく、個人の投資記録とWebサイト運営についての考察です。

2026年10月の「PHP2Shell」をきっかけに、ブログを守るための保守と、保有株の値動きをあらためて考えました。先に大事な点を整理すると、今回の問題はWordPress本体ではなく、その実行基盤であるPHPの脆弱性です。WordPressやプラグインの更新とは別に、サーバー側の対応を確認する必要があります。

一方、保有しているGMOプライム・ストラテジー（5250）の株価は急上昇した後、10月28日にストップ安となりました。ブログの安全対策と株価への期待は、同じニュースに関わっていても分けて考えたいところです。

情報の確認日：2026年10月28日。株価は同日の東証終値を使用しています。

PHP2Shellへの対応は、WordPressの更新だけでは終わらない

PHP開発チームは10月21日、CVE-2026-109618とCVE-2026-109619への修正版を公開しました。PHP公式が示した深刻度はCVSS v4.0で9.2です。修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12。Webリクエストを処理するPHP環境が評価の対象となり、とくにApacheのmod_php構成は高いリスクがあるとされています。

脆弱な環境では、認証なしで送られた細工済みのリクエストによってメモリが破壊され、遠隔でコードを実行されるおそれがあります。ただし、実際の影響は実行構成や対策の適用状況によって異なります。

参考：PHP公式発表（2026年10月20日・21日）

このブログで利用しているConoHa WINGは、10月22日20時45分の案内で、提供中の全PHPバージョンについてこの2件への対策完了を公表しています。元のバージョン番号を保ったまま修正を適用する方式のため、画面のバージョン番号だけで「未対策」と判断することはできません。

参考：ConoHa WINGの対応案内（10月22日）

さらに10月23日には、別の問題であるCVE-2026-115560についてPHP公式から追加の案内が出ています。次の修正版までの対策として、session.upload_progress.enabled=0が推奨されています。10月22日の対応完了を、その後に公表された問題もすべて解決したという意味には受け取らず、利用サービスの最新案内を確認する必要があります。設定を変える場合は、アップロード機能などへの影響も確認します。

ブログの保守を確認し、静的サイト化も選択肢にする

今回、AIにも情報整理を手伝ってもらいながら、ブログの保守を見直しました。AIの説明だけで安全だと決めず、サーバー事業者や開発元の発表に戻って確認することが大切だと感じます。

対策済みかどうかは、サーバー側の案内まで確認する

  1. 利用サーバーの対応状況を読む。対象サービス、対象の脆弱性、対策日時、自分で必要な操作を確認します。障害情報の「対応中」と「適用完了」は区別します。
  2. PHPのサポートと修正の提供方法を確認する。単に「8.2以上だから安全」とは判断せず、修正版への更新か、事業者による修正の適用が済んでいるかを確認します。
  3. 不要なプラグイン、WAF、バックアップを点検する。使っていないプラグインがないか見直し、削除する場合は依存関係と復元方法を確認します。WAFは補助策であり、PHPの修正そのものの代わりではありません。

ここで挙げた項目は、読者向けの確認手順です。すべてを当日に実施済みという意味ではありません。

静的サイトは攻撃される入口を減らせるが、保守が不要になるわけではない

個人のテキスト中心のブログに、公開側でPHPやデータベースを動かす仕組みがどこまで必要なのか。今回、考え直した点です。

静的サイトは、あらかじめ生成したHTMLなどを配信します。WordPressの「固定ページ」やキャッシュを有効にするだけの話とは異なります。公開側でPHPを実行しない構成にできれば、その部分のPHPの攻撃経路を減らせます。ただし、原稿を管理するWordPress、生成ツール、配信アカウント、外部サービスの安全確保は引き続き必要です。

比較観点 個人WordPress 静的サイト KUSANAGI等の企業向け高速環境
PHPの脆弱性 稼働環境の修正が必要 公開側でPHPを使わなければ、その攻撃経路を減らせる PHPの修正が必要。対応は構成・契約による
保守の範囲 本体・プラグイン・PHPなど 生成元・ビルド・配信先・外部連携 契約範囲内で保守を委託できる
費用 サーバー・保守等の料金による 無料枠もあるが、容量や機能で変わる 構成・ライセンス・保守契約による
向いている用途 管理画面で更新したいブログ 配信中心のサイト 性能・運用体制を重視するサイト

フォームやコメント、会員機能などは、そのまま移せるとは限りません。CloudflareのWordPress静的配信ガイドでも、動的機能の制約と生成元の管理が説明されています。

静的サイト化も検討しましたが、現時点ではWordPressでの運用を続けています。移行を選ぶなら、URL、AdSense、記事更新の手順、必要な機能を維持できるかの確認が必要です。まずはWordPressの運用を改善する方向で考えています。

GMOプライム・ストラテジーの急騰と急落を、業績とは分けて見る

GMOプライム・ストラテジーは、WordPressなどの実行環境であるKUSANAGIや関連する保守サービスを提供しています。PHPの更新対応が注目される場面ですが、製品があることと、すべての利用環境で修正が適用済みであることは別です。

同社の10月27日の案内では、自動更新への対応をEnterprise EditionとSecurity Editionについて説明しています。また、KUSANAGIの10月23日の案内ではPHP 8.1以前にはセキュリティ更新を提供しないとされています。製品名だけで安全性を判断せず、版・構成・契約内容の確認が必要です。

参考：GMOプライム・ストラテジーのPHP更新案内（10月27日）、KUSANAGIの更新対象と旧バージョンの注意（10月23日）、追加の暫定対策（10月25日）

10月28日の終値は1,705円、前日比500円安

  • 10月22日：終値1,399円。
  • 10月27日：日中高値2,390円、終値2,205円。
  • 10月28日：終値1,705円。前日比500円安（22.68％下落）のストップ安。

参考：Yahoo!ファイナンス・5250の株価時系列（2026年10月28日確認）

保有する側として、ここ数日の値動きにはハラハラします。ただ、この価格の動きだけから「利益確定売りが原因」「保守需要の増加を織り込んだ」とまでは断定できません。ニュースへの期待、売買の需給、企業の実際の業績は分けて見ます。

なお、同じ時期に報じられた「お名前.com デスクトップクラウド」の不正アクセスは、GMOインターネットが提供する別サービスの事案です。GMOプライム・ストラテジーは10月27日、現時点で自社サービスへの不正アクセス・情報漏えい・提供への影響は確認されていないと公表しました。PHP2Shellがこの事案の原因だとは確認されていません。

参考：GMOプライム・ストラテジーの声明（10月27日）、GMOインターネットの第14報（10月28日18時20分）

保守需要への期待は、契約と利益の数字で確かめたい

緊急の修正が続けば、保守を外部に任せたい企業が増える可能性はあります。これは今後を考えるうえでの仮説であり、今回の件で同社の契約や利益が増えたと確認できたわけではありません。

私が見たいのは、継続契約の増加が決算に表れるか、その契約を支える費用を含めて利益が伸びるかという点です。高配当商品を中心に資産を考える姿勢と、小型株の値動きへの期待を混ぜず、株価の勢いだけで判断しないようにしたいと思います。

まず確認するのは、自分の環境と公式の対応状況

ブログ運営では、更新の通知を受け取り、適用を確認し、不具合があれば戻せる状態を作る。投資では、話題性と業績を分けて追う。自動化に任せる部分が増えても、確認するポイントは残ります。

  1. 利用サービスの公式情報を確認する。自分の契約環境が対象か、対策済みか、追加の操作が必要かを読みます。
  2. 変更前に復元手段を確保する。PHPやプラグインの更新・削除は、バックアップと表示確認をセットにします。「使っていないから」と、影響を調べず一括で消さないようにします。
  3. 関連銘柄は次の決算を読む。保守への関心が継続契約や利益に結び付いたのかを確認し、期待だけで業績を先取りしないようにします。

今回の経験を、株価を追うだけで終わらせず、自分のブログを無理なく続けられる運用の見直しにもつなげていきたいと思います。