2026年10月22日現在、PHPの重大な脆弱性が報じられ、
- 「自分が普段利用しているWebサイトでもPHPが使われているのだろうか」
- 「今回の脆弱性は修正されているのだろうか」
と気になっている方もいるのではないでしょうか。
Webサイトがどのような技術で作られているかは、外部から調べられる場合があります。
また、サイト運営者が脆弱性への対応状況を公式に公表していることもあります。
ただし、外部から確認できる情報には限界があり、ツールを使えば必ず安全性を判断できるわけではありません。
この記事では、一般ユーザーでも利用できる技術調査ツール「Wappalyzer」の使い方や、サービスの公式発表から対応状況を確認する方法についてまとめてみました。
PHPを使っているサイトか調べる方法
Wappalyzerで利用技術を確認する
WebサイトでPHPが使われているか調べたい場合は、「Wappalyzer（ワッパライザー）」というツールが参考になります。
Wappalyzerは、Webサイトの情報を手掛かりに、使用されているプログラミング言語やCMSなどの技術を調べるツールです。
ここではChromeの拡張機能を使う方法を紹介します。
- ChromeウェブストアのWappalyzer公式ページを開きます。
- 「Chromeに追加」をクリックします。
- ポップアップの確認画面で「拡張機能に追加」を選びます。
- ブラウザの右上（拡張機能アイコンの場所）にアイコンが表示されたら完了（必要に応じてピン留めすると便利）
- PHPが使われているか調べたいWebサイトをChromeで開きます。
- ブラウザの拡張機能メニューからWappalyzerを選択します。
- 表示された技術情報の中に「PHP」などの項目があるか確認します。
例えば、WikiPediaのサイトを調査したい場合は、Chromeでウィキペディアを開き、手順６のように右上のWappalyzerを選択します。
以下の画面のように、PHPが使われていることが分かります。
やまとくんサイトを開いた状態で、右上のWappalyzerのアイコンをクリックすると表示されますよ。
このように、Webサイトで使用されている技術について手掛かりを得られる場合があります。
WappalyzerでPHPが検出されなくても、使われていないとは限らない
Wappalyzerは便利なツールですが、すべてのWebサイトの技術情報を正確に把握できるわけではありません。
Webサイトの中には、使用している技術に関する情報を外部から分かりにくくする設定を行っているものもあるためです。
Wappalyzer公式の解説記事では、PHPはURLの「.php」という拡張子や、標準の「PHPSESSID」というCookieなどを手掛かりに検出すると書かれています。
ただし、サイト側の設定によっては検出しにくくなるという記載もあります。
WappalyzerからPHPを隠す
PHPは、URLのファイル拡張子やデフォルトのCookie を調べることで識別できます
Wappalyzer公式の解説記事（英語）PHPSESSID。URLを書き換えたり、Cookieの名前を変更したりすることで、PHPの検出を困難にすることができます。
やまとくんどのような技術を使っているかできるだけ情報を隠すように対策をしているサイトもあり、全てのウェブサイトの正確な情報を得られるわけではない点に注意が必要です。
そのため、調査結果は次のように考えるとよさそうです。
- PHPが検出された場合：PHPが使われている可能性がある
- PHPが検出されなかった場合：PHPを使っていないとは断定できない
また、PHPが検出されたとしても、今回の脆弱性の影響を受けるかどうかまでは分かりません。
上記の例でいえば、WikipediaのサイトではPHPを使用していることは分かりますが、具体的なバージョン情報までは取得できていません。
そのため、脆弱性の対応がなされているかどうかについて判断するためには、PHPのバージョン情報まで含めて取得しなければなりません。
スポンサーリンク
PHPの脆弱性に対応済みか確認する方法
サービスの公式お知らせやメンテナンス情報を確認する
一般ユーザーが脆弱性への対応状況を知りたい場合は、サービスの運営元が公表している情報を確認する方法が確実かと思われます。
例えば、次のような情報を探してみましょう。
- セキュリティ上の問題に関するお知らせ
- システムの更新や緊急メンテナンスの案内
- 不正アクセスや情報漏えいに関する報告
- 利用者に必要な対応や注意事項
今回のPHPの脆弱性についても、企業が自社サイトやサービスへの影響を調査し、対応状況を公表している例があります。
例えば、2026年10月22日付のLINE WORKSの公式のお知らせでは、PHPを使用している自社Webサイトについて修正パッチの適用を完了したことや、提供する製品・サービスではPHPを使用していないことなどを説明しています。
PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応完了について
（中略）
当該情報について、当社ではサービスやシステムで使用されているPHPについて確認を実施し、該当する箇所については修正済みのバージョンへの更新を完了しました。
LINE WORKSの公式のお知らせ
なお、当社が提供する製品およびサービスについては、PHPの使用はありませんのでご安心ください。
このように、運営元がPHPの使用状況や対応状況を公表していれば、利用者も情報を確認できます。
こころこれを見ると、LINE WORKSの製品やサービスはPHPを使用していないことも分かり、安心できますね。
やまとくんもし普段利用しているサービスの対応状況を知りたい場合は、企業の公式サイトのお知らせ・公式X、メンテナンス情報などを確認してみると、掲載されている場合がありますので確認してみてください。
ただし、すべての企業が同じように詳細な情報を公開しているとは限りません。
そのため、公式のお知らせが見当たらないからといって、必ずしも対策が行われていないとはいえない場合もあります。
情報が見つからず不安で、どうしても確認する必要がある際は、公式の問い合わせ窓口の利用もご検討ください。
脆弱性チェッカーもあるが、利用条件と判定結果に注意
今回のPHPの脆弱性については、Impervaが公開している「PHP2Shell Vulnerability Checker」というチェックツールもあります。
このツールは、Webサイトへの通常のリクエストに対して返される公開情報をもとに、今回の脆弱性について参考となる評価を行うものです。
アプリケーションのソースコードを調べたり、脆弱性を実際に悪用したりするものではないと説明されています。
やまとくん使い方は簡単でPHP2Shell Vulnerability Checker公式ページで、調査したいURLを入力して確認するだけです。
ただし、利用条件として、対象のWebサイトを検査する権限があることを求めています（検査の前にチェックボタンがあります）。
自分が管理していないサイトを調べる場合は、利用条件を確認し、必要な許可を得ているか注意する必要があります。
さらに、同社は公式ページで、判定結果が不完全または不正確な場合があると明記しています。
PHPの使用状況やバージョン情報が隠されている場合もあるため、脆弱性が検出されなかったからといって、安全性が保証されるわけではありません。
やまとくん一般ユーザーが普段利用しているサイトの安全性を確実に判定する目的では、テストのための必要な許可を得る必要もあり、使いづらい面があるかと思われます。
そのため、無理にチェッカーを利用することはせず、まずはサービスの公式発表を確認することをおすすめします。
スポンサーリンク
外部から調べるだけでは、脆弱性への対応状況を確実には判断できない
ここまで紹介した方法を整理すると、次のようになります。
| 確認したいこと | 確認方法 | 注意点 |
|---|---|---|
| PHPが使われているか | Wappalyzerなどの技術調査ツール | 検出されない場合もある |
| PHPのバージョン | 外部に公開されている情報を確認 | 情報が非公開の場合や、実際の環境と一致しない場合がある |
| 今回の脆弱性への対応状況 | 運営元の公式発表や問い合わせ窓口を確認 | 発表がなければ、外部からは判断できない場合がある |
| 脆弱性チェッカーによる判定 | 対応するチェックツールを利用 | 利用条件や判定結果の限界に注意が必要 |
今回のような脆弱性では、PHPのバージョンを知ることができたとしても、それだけでサイトの安全性を判断できるとは限りません。
例えば、判定結果が不完全または不正確な場合もあり、外部から見えるバージョン情報が古くても、実際には修正済みの環境で動作している可能性があります。
反対に、PHPの情報が表示されていなくても、脆弱性の影響を受けないとは断定できません。
そのため、Wappalyzerなどの外部ツールで得られた情報はあくまで参考にとどめるとよいです。
やまとくんPHPの脆弱性（PHP2Shell）への対応がなされているのかについては、運営元が公表している情報を確認するのがよいでしょう。
スポンサーリンク
まとめ
Wappalyzerなどの技術調査ツールを使えば、WebサイトでPHPが使われているかどうか、手掛かりを得られる場合があります。
ただし、すべてのサイトを正確に判定できるわけではなく、PHPが検出されても今回の脆弱性への対応状況までは分かりません。
対応済みかどうかを確認したい場合は、サービスの公式お知らせやメンテナンス情報を確認し、必要に応じて運営元に問い合わせる方法が良いと思われます。
PHPの脆弱性関連については、こちらの記事もよろしければ併せてご覧ください。