2026年10月21日、PHPに重大な脆弱性（CVE-2026-109618、CVE-2026-109619）が公表されました。SNSなどで「緊急メンテナンス」「セキュリティパッチ」という言葉を見かけた方も多いと思います。
PHPはWordPressなど多くのWebサイトで使われています。広告の受け皿となるLPやコーポレートサイトも、影響を受ける可能性があります。この記事では、Web広告運用代行を行う当社の立場から、広告を出稿している企業が確認しておきたいポイントをまとめました。
1. 今回の脆弱性の概要
- 深刻度はCVSS 9.2（Critical）と評価されています
- 条件によっては、外部の第三者がサーバー上で不正なプログラムを実行できるおそれがあります
- 被害としては、データの漏えいや改ざん、サイトの乗っ取り、サービス停止などが考えられます
- 修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です
- PHP 8.1以前は修正版が提供されないため、サポート対象のバージョンへの移行が必要です
2. 広告運用への影響
① サイト停止中も広告費がかかってしまう
メンテナンスでサイトが止まっている間も、広告の配信は続きます。クリックされるたびに費用が発生しますが、ユーザーにはエラー画面が表示されるだけです。リンク先が表示されないと、広告審査で不承認になる可能性も考えられます。当社は担当させていただいている案件が多いこともあり、担当者ごとに確認次第お客様と連携がとれますよう、順次進行しております。停止依頼をいただいているお客様につきましては、可能な限り最速での停止対応を実施しつつ、見通しをお伺いしたうえで、再開対応も行っております。
② 問い合わせなどのリード獲得が止まってしまう
問い合わせフォームや資料請求フォームが止まると、広告から来たユーザーがコンバージョンできません。フォームがCRMやMAとつながっている場合は、その連携も途切れるおそれがあります。ご新規の問い合わせ獲得は企業存続の生命線ともいえる重要なポイントですので、できる限り早急にパッチを適用し、再開したいところです。
③ 改ざんされると広告アカウントにも影響する
攻撃者は、LPに不正なリダイレクトや悪質なコードを仕込むことがあります。そうなると、広告媒体のポリシー違反として配信停止やアカウント停止になる場合があります。ブラウザに警告が表示されるなど、ブランドの信頼も損ないかねません。
④ 計測データが狂う
タグが改ざんされたり、復旧作業でタグが外れたりすると、コンバージョンが正しく計測されなくなります。コンバージョンなどの最適化のための重要なシグナルが失われると、自動最適化の精度も下がってしまう恐れがあります。
3. 今すぐ確認したいこと
- 広告のリンク先に設定しているページ（LP、サイト）がPHPを使っているかを確認する。分からなければ、制作会社やサーバー管理会社に問い合わせてください。
- ホスティング事業者や制作会社から、メンテナンスの予定が出ていないか確認する。
- サイトを止める必要があると判断し、その時間帯が決まったら、広告の配信を一時停止するか調整する。
- パッチを当てた後に、LPの表示、フォームの送信、コンバージョンタグの発火を確認する。
- 広告管理画面で、不承認の広告やポリシー警告が出ていないか確認する。
広告運用を外部に任せている場合は、メンテナンスの日時を早めに運用担当者へ伝えておくと、広告費の無駄を防げます。
4. 当社の対応状況
おもにお客様からのお問い合わせを受け付ける可能性の高い、当社が運営する以下のサイトは、セキュリティパッチの適用を完了し、現在は正常に稼働していることを確認できております。なお、サーバーサイドの運営が別会社のものについても、現在各社の対応進捗情報を確認の上、問題がないことを認識しております。
- 広告代行サービスサイト
- DX事業サービスサイト
- イマカラサービスサイト
- Lisketサポートサイト
おわりに
当社では、広告運用をお任せいただいているお客様のメンテナンス時の配信調整や、復旧後の計測確認もサポートしております。お困りの際はお気軽にご相談ください。
関連記事：PHPの重大な脆弱性（2026年10月）でLINE公式アカウント・Lステップの運用者が確認すべきこと
関連記事：【重要】PHPに重大な脆弱性が発見。Salesforce・AppExchange製品への影響と確認すべきポイント
