結論
サイトの緊急停止とは、脆弱性の修正をすぐに入れられないときに、攻撃される前にサイトや機能を一時的に止めて被害を防ぐ対応です。PHP2Shellでは首相や国家サイバー統括室も「有効策の一つ」と呼びかけ、国内で累計1,090件が止まりました。ただし約4割は再開を確認できていません（10月26日時点）。止めるのはあくまで修正までのつなぎです。①何を止めるか、②誰がどの基準で再開を決めるか、③誰に知らせるかを止める前に決め、検索への影響を抑えるために「503」を返す止め方を選んでください。数日を超える全面停止は、検索から外れて戻るまで時間がかかることがあります。
2026年10月21日夜、PHPの重大な脆弱性「PHP2Shell」の修正が公開されるのを前に、国内では銀行や省庁、自治体、ネットショップまで、サイトやアプリを止める動きが一気に広がりました。経緯はPHP2Shellの続報にまとめています。
このとき多くの会社が直面したのが、「本当に止めるべきか」「いつ再開してよいのか」という判断です。この記事では、PHP2Shellでの各社の対応とGoogleの公式の案内をもとに、止める判断、止め方、再開の基準を、Webの担当者がいない会社でも使える形で整理します。
なぜ「止める」が勧められたのか
| 発信者 | 呼びかけの内容 |
|---|---|
| 高市首相（10月21日、X） | 修正を速やかに適用する準備を求め、難しい場合は「ウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ」とした（ITmedia） |
| 国家サイバー統括室（同日、X） | 同じく、修正の適用が困難な場合は一時停止も有効策の一つと投稿（電ファミニコゲーマー） |
| 米国FBI（10月21日） | すぐに更新できない場合は、インターネットとの接続を断つよう求めた（共同通信） |
理由は単純です。PHP2Shellは、ログインなしで外部からプログラムを動かされるおそれがあり、修正の公開前から攻撃の試みが観測されていました。修正を入れるまでの間、攻撃を受ける入口を閉じるのが、一時停止の目的です。
裏を返せば、修正が入ってしまえば、止め続ける理由は小さくなります。止めることそのものが目的にならないよう、次の3つを先に決めておく必要があります。
止める前に決める3つのこと
1. 何を止めるか｜サイト全体か、危ない機能だけか
| 止める範囲 | 向いている場面 | 注意点 |
|---|---|---|
| サイト全体 | どこでPHPを使っているか分からない、修正のめどが立たない | 検索・問い合わせへの影響が最も大きい |
| PHPで動く部分だけ | 会社案内などの静的なページと、フォーム・会員ページが分かれている | どこがPHPかを把握している必要がある |
| 管理画面・フォーム・ログインなど機能だけ | 攻撃の入口になりやすい機能が限られている | 機能を止めた旨を、ページ上で案内する |
Googleは、一時的に休む場合でも「サイトを公開したまま、機能を絞る」ほうを勧めています（Google検索セントラル）。たとえばロリポップ!はサーバー単位で表示を止めたため、PHP 8.2以降のサイトやPHPを使っていないサイトも一時的に表示できなくなったと説明しています（ロリポップ!）。止める範囲が広いほど、関係のない部分まで影響を受けます。
2. 誰が、どの基準で再開を決めるか
止めるのは現場の判断でできても、再開の判断は「安全だと言い切れるのか」という問いが付いて回るため、先送りされがちです。止める時点で、再開を決める人と、再開の基準（後述の表）を決めておきます。
3. 誰に、どこで知らせるか
サイトを止めると、サイト上のお知らせも見られなくなります。メール、SNS、電話の案内など、サイト以外で知らせる方法を用意してください。あわせて、「メールやSMSでID・パスワードを求めることはない」と添えておくと、便乗したフィッシングへの備えになります。琉球銀行は実際にこの注意喚起を出しています（琉球銀行）。
検索への影響を抑える止め方
GoogleのJohn Mueller氏は、PHP2Shellの対応でサイトを止める場合について、応答が止まったり404や500を返したりするのではなく、HTTPの「503」（一時的に利用できない）を返すよう助言しています。503はPHPの外側で返せばよく、DNSの向き先を変える、CDN（配信サービス）の機能を使う、といった方法も挙げています（Search Engine Roundtable、10月21日）。
| やること | やってはいけないこと |
|---|---|
| 急ぎで全面的に止めるなら、1〜2日は「503」と案内ページを返す | サイトを応答なし・404・410・500のまま放置する |
| 「Retry-After」（再開の目安）を付ける | robots.txtで全体のクロールを禁止する |
| 案内ページは静的なHTMLにする（PHPを通さない） | robots.txt自体に503を返す（クロールが止まる） |
| 長引きそうなら、トップページを通常の案内ページとして公開する | noindexを付ける、Search Consoleの「削除」ツールを使う |
Googleは、完全な削除は「回復にかなりの時間がかかる大きな変化」になり得るとし、全面停止は長くても数日にとどめるよう案内しています（Google検索セントラル）。
Apacheのサーバーで503を返す例
レンタルサーバーの多くは、.htaccess（ディレクトリごとの設定ファイル）でPHPを通さずに503を返せます。次は、案内ページ maintenance.html 以外への接続に503を返し、再開の目安を1日（86,400秒）とする例です。
ErrorDocument 503 /maintenance.html
RewriteEngine On
RewriteCond %{REQUEST_URI} !=/maintenance.html
RewriteRule ^ - [R=503,L]
<IfModule mod_headers.c>
Header always set Retry-After "86400"
</IfModule>サーバーの設定によっては動かない場合があります。変更前に元の.htaccessを保存し、反映後はブラウザと外部の確認ツールで503が返っているかを確かめてください。設定に不安がある場合は、サーバー会社や制作会社に依頼してください。
再開の基準
再開してよいかは、次の項目で判断します。サーバー会社や制作会社に確認を頼むときは、この表をそのまま渡してください。
| 確認項目 | 確認の方法 | 担当の目安 |
|---|---|---|
| 修正が入ったか | PHPの版（8.5.12・8.4.27・8.3.36・8.2.35以上）か、サーバー会社の「対応完了」の告知。番号が古いままでも修正済みのことがある | サーバー会社 |
| 侵入の痕跡がないか | アクセスログ、不審なファイル（Webシェル）、管理者アカウントの追加、ページの改ざんを確認。JPCERT/CCは、異常な値を含むPHPSESSIDのCookie、不審なmultipart/form-data形式のリクエスト、PHPのプロセスの異常終了や頻繁な再起動を目安に挙げている | 制作会社・保守会社 |
| 3件目の脆弱性への備え | session.upload_progress.enabled=0 の設定（CVE-2026-115560の修正版はまだ出ていない） |
サーバー会社・制作会社 |
| 動作の確認 | フォーム送信、メールの到着、決済、ログインなど主要な機能 | 自社 |
| 必要なら認証情報の変更 | 痕跡が疑われる場合は、管理画面・データベース・FTPなどのパスワードを変える | 自社・制作会社 |
| 再開の連絡 | お客さま・取引先へ、再開と、止めていた間の問い合わせの扱いを知らせる | 自社 |
修正を入れても、修正前に置かれた不正なファイルは消えません。「修正済み」と「侵入されていない」は別の確認です（JPCERT/CC）。PHPの版の確かめ方はPHPの脆弱性の記事、各社の状況はレンタルサーバー各社の対応状況をご覧ください。
なぜ4割が戻れないのか
アシュアードの集計では、10月26日時点で国内の停止は累計1,090件、約4割は再開を確認できていません。PHPをどこで使っているかの確認に時間がかかることや、古い版で更新が難しいことが理由とみられています（テレビ朝日系（ANN））。公式の告知からは、次のような事情が見えます。
| 事情 | 例 |
|---|---|
| 修正が出ていない古い版・プラン | KAGOYAは共用・マネージド専用・WordPress専用サーバーについて「脆弱性が残存している状態」とし、レンタルサーバーへの移行を勧めている（KAGOYA）。CPIも旧プランは修正の対象外（CPI） |
| 仕組みごとに確認が必要 | 仙台市は10月27日15時時点で8件のサービスが停止・一部停止のまま（仙台市） |
| 代わりの手段で運用 | 滋賀県は防災情報システムの再開を未定とし、電話・FAXなどで代替（滋賀県） |
| 漏えいの有無を判断しにくい | KAGOYAは、ログから漏えいの有無を判断するのは難しいとしている（KAGOYA） |
共通しているのは、「どのシステムが、どの版のPHPで、誰が面倒を見ているか」が分からないと、修正も再開の判断も進まないということです。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
平時に準備しておくこと
| 準備 | 内容 |
|---|---|
| サイト・システムの一覧 | URL、サーバー会社、PHPなどの版、制作・保守の担当、契約の有無 |
| サポートが終わった版の移行計画 | PHP 8.1以前は公式の修正版が出ない。8.2も2026年12月31日でサポートが終わる |
| 案内ページと503の手順 | 静的な案内ページと、.htaccessなどの設定を用意しておく |
| 判断する人と連絡網 | 止める判断・再開の判断をする人、サーバー会社・制作会社の連絡先 |
| お知らせ文のひな形 | 停止時・再開時の文面と、サイト以外の発信先（SNS・メール） |
| サーバー会社の告知を受け取る方法 | メール配信や公式Xを、担当者が見られるようにしておく |
PHP公式のサポート期間の表では、8.2のセキュリティ修正は2026年12月31日までです（PHP）。今回は古い版にも独自に修正を入れたサーバー会社がありましたが、次も同じ対応があるとは限りません。
お知らせ文の例
停止するとき
【重要】ウェブサイトの一時停止について
当社ウェブサイトで利用しているソフトウェアに重大な脆弱性が公表されたため、安全のため、○月○日○時からウェブサイト（または「お問い合わせフォーム」）を一時停止しています。現時点で、不正アクセスや情報漏えいは確認されていません。再開の見込みは○月○日です。この間のお問い合わせは、お電話（000-0000-0000）でお受けします。
なお、当社からメールやSMSで、ID・パスワードや口座情報の入力をお願いすることはありません。
再開するとき
【再開】ウェブサイトの再開について
修正の適用と、不正アクセスの痕跡がないことの確認が終わったため、○月○日○時にウェブサイトを再開しました。停止中にお送りいただいたお問い合わせが届いていない場合があります。お手数ですが、○月○日以降にフォームからお送りいただいた方は、あらためてご連絡ください。
被害の有無が分からない段階では、「確認されていません」のように、その時点で分かっていることだけを書きます。断定的な表現は避け、確認が進んだら続報で更新してください。
いま確認すべきこと
| 確認すること | 理由 |
|---|---|
| 止めたままのサイトや機能がないか | 約4割が再開を確認できていない |
| 再開の基準の表で、修正と侵入の痕跡を確認したか | 修正前に置かれた不正なファイルは残る |
| 止めている間は503を返しているか | 応答なし・404のままだと検索に影響しやすい |
| サイト・システムの一覧と、古いPHPの移行計画があるか | 次の脆弱性でも同じ判断が必要になる |
よくある質問
サイトを止めると、検索順位は下がりますか？
1〜2日程度の短い停止で、正しく「503」を返していれば、大きな影響は出にくいとGoogleは案内しています。一方、数日を超える全面的な停止は、検索結果から外れて戻るまでに時間がかかることがあります。長くなる場合は、サイト全体ではなく、危険な機能だけを止める方法を検討してください。
何日まで止めてよいですか？
Googleの案内では、急いでサイトを止める場合は1〜2日、全面的な停止は長くても数日までが目安です。それ以上かかる見込みなら、トップページだけを案内ページとして公開する（503ではなく通常のページとして表示する）方法が勧められています。
問い合わせフォームだけ止めることはできますか？
できます。PHPで動くフォームやログイン画面、管理画面だけを止め、会社案内などの静的なページは公開を続ける方法です。Googleも、全面停止より機能を絞って公開を続けるほうを勧めています。ただし、どこがPHPで動いているかの確認が必要です。
再開したあとに、また攻撃されたらどうしますか？
修正を入れたあとも、攻撃の試みは続きます。再開後もサーバー会社の告知と、アクセスログやエラーの記録を見続けてください。不審な動きがあれば、もう一度止めて調べる判断ができるよう、連絡先と手順を決めておくと安心です。
自社では判断できません。どうすればよいですか？
まずサーバー会社の告知で、修正が「完了」になっているかを確認してください。サイトを作った制作会社や保守会社がいれば、この記事の「再開の基準」の表を渡して確認を依頼するのが近道です。保守の契約がない場合は、外部の専門会社への相談も検討してください。
出典
- Google検索セントラル「ウェブサイトを一時停止または無効にする」
https://developers.google.com/search/docs/crawling-indexing/pause-online-business - Search Engine Roundtable「Google on taking sites down to fix PHP2Shell」（2026年10月21日）
https://www.seroundtable.com/google-php2shell-42353.html - テレビ朝日系（ANN）「PHP脆弱性で1000件超のサイトなどサービス休止 約4割の企業が再開できず」（2026年10月27日）
https://news.ksb.co.jp/ann/article/16996986 - ITmedia NEWS「高市総理『大至急、PHPパッチ適用を』Xで異例の要請」（2026年10月22日）
https://www.itmedia.co.jp/news/article/2610/22/2000002483/ - 電ファミニコゲーマーの記事（2026年10月21日）
https://news.denfaminicogamer.jp/news/2610213j - 共同通信（熊本日日新聞）「米FBI、PHP欠陥に注意喚起」（2026年10月22日）
https://kumanichi.com/articles/2049263 - JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」
https://www.jpcert.or.jp/at/2026/at260033.html - ロリポップ!のお知らせ（2026年10月22日）
https://lolipop.jp/info/news/8239/ - ConoHa WING「PHPの脆弱性への弊社対応完了のお知らせ（終報）」（2026年10月22日）
https://www.conoha.jp/wing/news/?ap=2015054909 - KAGOYAのお知らせ（2026年10月27日更新）
https://www.kagoya.jp/news/2026102637175/ - CPIのお知らせ（2026年10月24日更新）
https://www.cpi.ad.jp/news/support-info/261022/ - 滋賀県のお知らせ（2026年10月24日）
https://www.pref.shiga.lg.jp/as00/press-release/34485.html - 仙台市のお知らせ（2026年10月27日更新）
https://www.city.sendai.jp/security/20261021php_security.html - 琉球銀行「『PHPの脆弱性』に便乗したフィッシングにご注意ください」（2026年10月22日）
https://www.ryugin.co.jp/100429/ - PHP「Supported Versions」
https://www.php.net/supported-versions.php
※本記事は2026年10月28日時点の公開情報にもとづく一般的な考え方の整理です。設定の例は環境によって動かない場合があります。実際の作業は、サーバー会社や制作会社に確認のうえ行ってください。
あわせて読みたい
Webサイトの保守のご相談
止めたサイトの再開確認から
ご相談ください
株式会社仁頼は、Webサイトの制作・改善と保守を支援しています。再開前の確認、サイト・システムの一覧づくり、古いPHPからの移行計画までご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
