PHPの脆弱性で仙台でもサイト停止。脆弱性対応のメンテナンスは、止め方でSEOに影響します

こんにちは。中小企業診断士の草彅です。

2026年10月21日、WordPressなどを動かしているプログラム「PHP」に、重大な脆弱性があるとして修正版が公開されました。仙台でも、仙台市が管理するサイトをはじめ、多くのサイトが「緊急メンテナンス」として一時的に止まっています。

止めること自体は、安全のための正しい判断です。ただ、止め方によっては、Googleの検索結果からページが外れたり、トップページが「メンテナンス中」のページとして登録されたりするおそれがあります。

このお知らせでは、PHPの脆弱性と仙台での影響を短くまとめたうえで、サーバーのメンテナンスがSEOにどう影響するかと、弊社の対応をお伝えします。制作会社や保守会社から「メンテナンスのためサイトを止めました」と連絡を受けた方は、最後の「確かめていただきたいこと」までご覧ください。

PHPの脆弱性（PHP2shell）とは

PHPの開発元は10月21日、修正版（8.5.12・8.4.27・8.3.36・8.2.35）を公開しました。PHP公式サイトの告知によると、2件の脆弱性は、ログインしていない第三者が、外からサーバー上でプログラムを動かせてしまう種類のものです。IPA（情報処理推進機構）は「PHP2shell」という呼び名で注意喚起を出しています。

IPAの注意喚起は10月22日に公開され、10月27日に更新されました。更新では、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が、実際に悪用が確認された脆弱性の一覧に10月26日（現地時間）付で載せたことが追記されています。同じページには、国内での攻撃被害の事例は把握していない、とも書かれています。

押さえておきたいのは、次の3点です。

• 直す場所は、サーバーのPHPそのものです。WordPress本体やプラグインを更新しても、この脆弱性は直りません。
• PHP 8.1以前には、開発元からの修正版（新しいバージョン）が出ません。IPAは、新しいバージョンへの更新や移行の検討を呼びかけています。
• レンタルサーバーでは、サーバー会社がPHPを直したところが多くあります。たとえばエックスサーバーは、レンタルサーバーの契約者のサイトを止めずに修正を当て、10月26日の朝までに対象のすべてのサーバーで対応を終えたと告知しています。同社が止めたのは、自社の公式サイトや管理画面でした。

仙台でも、PHPの脆弱性でサイトの停止が続いています

仙台市は、市が管理・利用するウェブサイトやサービスの一部を止めています。10月27日15時時点で、8つのサイト・サービスを停止中（うち1つは一部停止）として公表しました。不正アクセスなどは確認されていない、とも書かれています（仙台市「仙台市が管理・利用するウェブサイト・サービスの一部停止について」）。

東北経済産業局も10月23日、PHPを使ったサイトやシステムを運用する事業者に、バージョンを確かめて更新などの対策を検討するよう呼びかけました。制作や管理を外部に任せている場合や、レンタルサーバーを使っている場合は、委託先やサーバー会社に影響と対応状況を確かめるよう求めています（東北経済産業局「PHPの重大な脆弱性に関する注意喚起について」）。

ホームページを制作会社に任せている仙台・宮城の会社では、止めるかどうかを委託先が決めることも多いと思います。そのときに確かめておきたいのが、次の「止め方」です。

サーバーのメンテナンスは、SEOに影響しますか

影響するかどうかは、止めている間にサーバーがGoogleに返す番号と、止める長さで決まります。1〜2日のメンテナンスで「503」を返していれば、すでに検索結果に載っているページはそのまま残ります。番号を間違えたり、長く止めたりすると、ページが検索結果から外れるおそれがあります。

この番号は「HTTPステータスコード」と呼ばれます。ブラウザーやGoogleのクローラー（ページを集めて回るプログラム）がページを見に来ると、サーバーはページの中身と一緒に、3けたの番号を返します。画面には出ませんが、Googleはこの番号でページの状態を判断しています。

番号	意味
200	正常に表示できた
301・302	別のURLへ転送した（301は引っ越し、302は一時的な転送）
401・403	見る権限がない
404・410	ページがない
503	一時的に使えない（メンテナンス中など）

メンテナンス中は、どの番号を返せばよいですか

返すべき番号は「503」です。Googleの公式ドキュメント「ウェブサイトを一時停止または無効化する」は、1〜2日の緊急停止であれば、503と一緒にお知らせのページを返すよう案内しています。再開の目安は「Retry-After」という欄で、日時か秒数を伝えられます。

503を受け取ったGoogleは、クロールの頻度を一時的に下げます。すでに検索結果に登録されているページは、そのまま残ります（HTTPステータスコードがGoogleのクローラーに与える影響）。

やってはいけない止め方は

止め方	Googleの受け取り方	起こりうること
トップページなどを「メンテナンス中」のページへ転送する（301・302）	転送先のページの中身を見る	続くと、元のページの代わりに「メンテナンス中」のページが登録されるおそれがある
「メンテナンス中」の表示を、200（正常）で返す	正常なページとして受け取る	中身がエラーなので「ソフト404」と判定される
403・404・410を返す	ページがない、見られない	検索結果から削除される
robots.txtにも503を返す	サイト全体のクロールを止める	「メンテナンス中」だとも伝わらない
503を長く続ける	最初は一時的な停止として扱う	続くと、最終的に検索結果から外れる
再開後に503を戻し忘れる	まだメンテナンス中だと受け取る	上と同じ

robots.txtも503にしてよいですか

robots.txtには503を返さず、200のままにしておきます。Googleのドキュメントも、robots.txtに503を返さないよう案内しています。

robots.txtは、クローラーに「どのページを見てよいか」を伝えるファイルです。クローラーはサイトに来ると、まずこのファイルを読みます。ここに503を返すと、Googleは最初の12時間、サイトのクロールを止めます。その後は、以前に読んだrobots.txtを最長30日使います（robots.txtの仕様）。トップページに503を返していても、robots.txtで止まってしまうと、Googleには「メンテナンス中」という情報まで届きません。

何日までなら止めても大丈夫ですか

サイト全体を止めるのは、長くても2〜3日までの最終手段です。Googleのドキュメントは、それより長くなると、正しく設定していても検索に大きな影響が出る、としています。1〜2日の緊急停止なら503を返し、それより長く止める必要があるときは、トップページを200のまま検索で見つけられる状態に残す方法が案内されています。

おすすめされているのは、サイトそのものは公開したまま、カート（注文）などの機能だけを止めるやり方です。5xxの番号が続くと、登録済みのページも最終的には検索結果から外れます。作業が終わったら、トップページとrobots.txtが200に戻っていることを確かめます。

止め方は、正しくできていたか

全国：112サイトのうち、正しかったのは3サイト

SEMリサーチの渡辺隆広さんは、10月22日から25日にかけて、国内112サイトのトップページとrobots.txtが返す番号を調べています。トップページで503を返していたのは61サイト。そのうち、robots.txtを200で返していたのは3サイトでした。「メンテナンス中」の表示を200で返していたサイトも12ありました（SEMリサーチ「メンテナンス中に503を返すだけでは足りない」）。

仙台：確かめた4サイトとも、503ではなかった

弊社でも10月27日19時ごろ、仙台で「メンテナンス中」になっているサイトのうち、独自のアドレスを持つ4つについて、返している番号を確かめました。

サイト	トップページ	下の階層のページ	robots.txt
A	302でメンテナンスの画面へ転送（画面は200）	同じ画面へ302で転送	302でメンテナンスの画面へ
B	メンテナンスの画面を200	同じ画面を200	200
C	メンテナンスの画面を200	同じ画面を200	200
D	メンテナンスの画面を200	未確認	404（ないもの扱い）

503を返しているサイトは、1つもありませんでした。4つとも、最後に届くのはメンテナンスの画面で、番号は200（正常）でした。Aは、どのページを開いても同じメンテナンスの画面へ転送していました。測った時点の結果で、どのサイトかはここでは書きません。止めた判断は正しく、直すのは返す番号だけです。

この話題は、ミエルカチャンネルの動画（10月26日公開）でも取り上げられています。解説した鈴木謙一さんは、503が検索エンジンにとって何を意味するかまで知っているエンジニアは多くない、と話していました。サイトを作るだけなら、そこまで知らなくても困らないからです。そのうえで、SEOを見る側から止め方を伝えることが大切だ、と続けています。

どんなサイトが、特に注意が必要ですか

次のような形でサイトを管理している場合は、止め方まで確かめておくことをおすすめします。

• 個人で、自分でサイトを管理している
• 社内で、WEBやサーバーにくわしくない方が担当している
• 管理を任せている会社が、SEOまでは見ていない（エンジニアでもSEOにはくわしくない、デザインを中心に作る制作会社など）

サイトを作る技術と、検索エンジンに正しく伝える知識は別のものです。今回も、全国の112サイトのうち正しく止められていたのは3サイト、仙台で確かめた4つは0でした。止め方まで正しく対応できるWEB会社は、思っているより少ない。弊社はそう見ています。

弊社の対応

弊社で保守・管理をお預かりしているサイトと、弊社のサイトは、10月22日のうちに、PHPが修正版になっていることを確認しました。

10月27日にも、各サイトのトップページとrobots.txtが、転送なしで200を返していることを確かめています。

弊社は、サイトの保守とSEOを同じ目で見ています。PHPが直っているかだけでなく、Googleにどう届いているかまで確かめるのは、そのためです。

確かめていただきたいこと

制作会社や保守会社から「メンテナンスでサイトを止めた」と連絡があった方は、次の3つを確かめてみてください。

1. いまのPHPのバージョン

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」と開くと、PHPのバージョンが出ます。8.2.35・8.3.36・8.4.27・8.5.12以降なら修正版です。8.1以前の場合は、サーバー会社が独自に修正を当てているかどうかを、サーバー会社の告知で確かめてください。

2. 止めていた間に、何を返していたか

「メンテナンス中は503を返していましたか。robots.txtはどうでしたか」と、作業した会社に聞いてみてください。まずはこの2つを聞けば、止め方に問題がなかったかの見当がつきます。

いま止めている最中なら、パソコンのChromeでも確かめられます。ページの上で右クリックして「検証」を選び、「ネットワーク」タブを開いてからページを再読み込みします。一番上の行の「ステータス」の欄に出る3けたの数字が、そのページが返している番号です。

3. Search Consoleの「ページのインデックス登録」

止めていた日のあとに、「見つかりませんでした（404）」や「ページにリダイレクトがあります」が急に増えていないかを見ます。増えていれば、止め方が影響した可能性があります。

作業した会社に聞いても答えが返ってこない、任せている会社がSEOまでは見ていない、という場合は、CONVYにご相談ください。いまのサイトがGoogleに何を返しているか、止めていた間の影響がSearch Consoleに出ていないかを、無料相談で一緒に画面を見ながら確かめます。