PHPで動くサイトのLP運用｜確認と備え
｜広告運用ノウハウ公開中！
より詳しく知りたい方は資料をダウンロード！
2026年10月、PHPの重大な脆弱性を受けて、国内の多くのサイトが緊急メンテナンスに入りました。広告を配信している側は、遷移先が落ちるかどうかを短時間で判断することになります。
ここで効くのは技術力ではなく、自社のLPがどこで動いているかを把握できているかどうかです。把握できていれば影響のあるキャンペーンだけを止められますが、できていなければ全部止めるか、落ちたページに配信を続けるかの二択になります。
PHPはWordPressだけのものではありません。ECサイトのパッケージ、制作会社が作った独自のCMS、LaravelやSymfonyで作られた自社システムもPHPで動いています。広告の遷移先がそのどれかに乗っていれば、基盤側の緊急対応のたびに巻き込まれます。
この記事では、LPがどこで動いているかを3つに分けて棚卸しする方法、本体サイトに相乗りしているときに起きること、制作会社に任せている場合の確認事項、そして平時にやっておく備えをまとめます。
2026年10月21日の夜、高市早苗首相が自身のXで、公開しているウェブサイトでPHPを使っているかを確認し、修正パッチを速やかに適用できるよう準備することを呼びかけました。パッチの適用が難しい場合は、ウェブサイトを一時的に停止させることもリスクを下げる有効策の一つだとしています。
皆様に、今夜に対応して頂きたい大至急のお願いです。
— 高市早苗 (@takaichi_sanae) October 21, 2026
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
＼LPの制作から検証まで、ひとつの画面で／
- ・10日間、有料プランの機能を無料でお試しいただけます
- ・LP制作からA/Bテスト、効果測定までワンストップ
目次
1. LPがどこで動いているかを3つに分けて把握する
まず現状を把握します。広告の遷移先は、運用期間が長いほど散らばっています。
| 置き場所 | 基盤の緊急更新で | 止める判断をするのは |
|---|---|---|
| 本体サイトのドメイン配下（「example.com/lp/」） | 一緒に落ちる | 自社の情シスか制作会社 |
| 別ドメインに置いた専用サーバー | その基盤がPHPなら落ちる | 制作会社かサーバー会社 |
| LP作成ツール・外部サービス | ツール側の基盤次第 | ツールの提供元 |
本体サイトの配下にあるものは、本体を止める判断がそのままLPを止める判断になります。ここに広告の遷移先が乗っていると、運用側に選ぶ余地が残りません。
1-1. PHPで動いているかの確認方法
WordPressなら、管理画面の「ツール」>「サイトヘルス」>「情報」>「サーバー」を開くと、動いているPHPのバージョンが表示されます。
WordPress以外では見た目で判断できません。URLの拡張子が「.php」でなくても、中身がPHPで動いていることは珍しくないからです。EC-CUBEのようなECパッケージ、LaravelやSymfonyで作られた自社システム、制作会社が作った独自のCMSはいずれもPHPです。
IPAは注意喚起の中で、開発・運用しているプログラムのうちPHPを利用しているものを棚卸しし、製品のマニュアルや開発元・提供元が公開するセキュリティ情報を確認するよう呼びかけています（出典：IPA）。
なお、PHPの脆弱性は特定のCMSの問題ではありません。WordPress.orgは2026年10月の件について「今回の脆弱性は WordPress に固有のものではありません。PHP アプリケーションをホストしているすべてのサーバーが影響を受けます」と明記しています（出典：WordPress.org 日本語）。WordPressを使っているかどうかではなく、PHPの上で動いているかどうかで線が引かれます。
1-2. 棚卸しのときに抜けやすいもの
現役のキャンペーンから数えると漏れます。抜けやすいのは次の3つです。
- 過去のキャンペーンで作って、配信を止めたまま残っているLP
- アフィリエイトや代理店向けに、別ドメインで用意したページ
- サンクスページ、資料ダウンロードの完了ページなど、遷移先の「次」のページ
3つ目は見落とされがちですが、フォームの送信先が本体サイト側にあると、LPが生きていてもコンバージョンが取れません。遷移先だけでなく、その先の経路まで数えてください。
2. 本体サイトに相乗りしていると何が起きるか
LPを本体サイトの配下に置いていると、広告運用の都合とは関係のないタイミングでページが止まります。
2-1. 止めるかどうかを自分で決められない
セキュリティの緊急対応では、止める判断は情シスかサーバー会社が行います。広告運用の担当者は結果を伝えられる側です。
そこから先は時間との勝負になります。遷移先が落ちた状態で配信を続けると、表示できないページへの誘導として媒体の審査で不承認の対象になります。かといって配信を止めれば、自動入札の学習が入り直します。どちらの損失を取るかを、短時間で決めることになります。
止まったときに広告側で何が起きるかと、平時に用意しておける材料はランサムウェアの情報漏洩対策｜広告を止めない体制にまとめています。原因がセキュリティでも障害でも、止まった先の構造は同じです。
2-2. 更新作業そのものがリスクになる
PHPのバージョンを上げる作業自体にも失敗の可能性があります。古いプラグインやテーマがPHPの新しいルールに対応していないと、更新した途端に500エラーでサイトが表示できなくなります。
原因の切り分けと復旧の手順はWordPressのバージョンアップで500エラーが出た時の対処法で扱っています。復旧には、PHPのバージョンを戻す、原因のプラグインを特定する、対処してから上げ直す、という手順が必要です。ここに数時間かかる前提で、広告の配信計画を立てておく必要があります。
2-3. 更新を待つ側に回ると、予定が組めない
レンタルサーバーを使っている場合、ホスティング会社がPHPの自動更新やWAFルールの導入を進めていることがあります。これ自体は助かる話ですが、更新のタイミングを自社では決められません。
WordPress.orgも、ホスティング会社から更新の案内が出ていないか確認するよう案内しています。案内を見てから動く形になるので、広告のスケジュールを先に押さえておくことができません。
3. 制作会社に任せている場合に確認すること
自社に開発の担当者がいない場合、PHPのバージョンもサーバーも制作会社の管理下にあります。この場合に自分で動かせるのは、確認と段取りだけです。
確認すべきなのは次の4つです。
- PHPのバージョンが更新済みかどうか
- 更新作業でサイトが停止する時間帯（開始時刻と、想定している所要時間）
- 停止の対象に、広告の遷移先として使っているページが含まれるか
- 緊急時の連絡先と、営業時間外に連絡が取れるか
3つ目が要点です。制作会社は「サイト」の単位で話しますが、広告運用の側が知りたいのは「どのURLが落ちるか」です。ここを聞かずに「サイトを止めます」とだけ伝えられると、どのキャンペーンを止めればいいか判断できません。
3-1. 依頼先が分からなくなっている場合
数年前に作ったLPで、担当者も制作会社も変わっていると、そもそもどこに連絡すればいいか分からないことがあります。
- 症状：広告の遷移先として生きているページがあるのに、どのサーバーで動いているのか、誰が管理しているのかが社内の誰にも分からない。緊急時に対応を依頼する先がない
- 原因：LPは作って配信を始めたら終わりになりがちで、制作時の契約書や請求書にしか情報が残っていません。担当者の異動や制作会社の変更で引き継がれず、ページだけが動き続けます
- 対策：ドメインのWHOIS情報と、DNSの向き先を確認してください。ドメインの管理会社が分かれば、そこから契約者にたどり着けます。並行して、過去の請求書から制作会社を特定します
- 回避策：LPのURL、公開日、制作元、動いている基盤、管理している部署を1枚の表にまとめておきます。新しいLPを公開するたびに1行足す運用にすれば、負荷はほとんど増えません
4. 平時にやっておく備え
緊急時に新しく作れるものはありません。先に用意しておけるのは次の3つです。
LPの台帳：URL、公開日、制作元、動いている基盤、管理部署の5列。棚卸しの結果をそのまま残す形で構いません。
停止リスト：媒体名、キャンペーン名、担当者、停止操作をする人の4列。媒体をまたいで配信している場合、別担当が運用しているキャンペーン、代理店に任せている分が止め忘れの発生源になります。緊急時に確認するのではなく、確認する順番を先に決めておくということです。
委託先との取り決め：更新や停止の予定を、何時間前までに誰に連絡してもらうか。契約書に書く必要はありませんが、担当者どうしで握っておくだけでも動きが変わります。
この3つは、原因がPHPの脆弱性でなくても使えます。サーバー障害、ドメインの失効、CMSの更新、どれでも同じ構造だからです。
5. Squad beyondで、LPの受け皿を分ける
ここまで見てきた問題は、広告の遷移先が本体サイトと同じ基盤に乗っていることから来ています。本体を止める判断がそのまま広告を止める判断になり、運用側に選ぶ余地が残りません。
Squad beyondで作成・配信するLPはPHPを使っていないため、PHPの脆弱性の影響を受けません。本体サイトをメンテナンスに入れている間も、広告の遷移先は生きたままにできます。
受け皿を分けておくと、平時の運用でも効きます。本体サイトの更新スケジュールや制作会社の作業予定に縛られずにページを差し替えられるので、同じ商材のLPを複製してパターンごとに配信し、ページ単位で流入とコンバージョンを比べることができます。WordPressでLPを作る場合の手順と比較したい場合はWordPressでLPを作る方法｜テーマ選びとサーバー設定も参考にしてください。
＼LPの制作から検証まで、ひとつの画面で／
- ・10日間、有料プランの機能を無料でお試しいただけます
- ・LP制作からA/Bテスト、効果測定までワンストップ
6. PHPで動くサイトのLP運用についてよくある質問（FAQ）
Q. 自分のLPがPHPで動いているかは、どうすれば確認できますか？
WordPressなら管理画面の「ツール」>「サイトヘルス」>「情報」>「サーバー」でPHPのバージョンが表示されます。WordPress以外の場合、URLの拡張子が「.php」でなくてもPHPで動いていることがあるので見た目では判断できません。EC-CUBEのようなECパッケージ、LaravelやSymfonyで作られたシステム、制作会社が作った独自のCMSはいずれもPHPです。制作を外部に依頼している場合は、依頼先に直接確認するのが確実です。
Q. WordPressを使うのをやめたほうがいいということですか？
そうではありません。WordPress.orgも「今回の脆弱性はWordPressに固有のものではありません」と明記しているとおり、問題はPHPという基盤の側にあり、PHPで動くものはすべて対象です。判断すべきなのはCMSの選択ではなく、広告の遷移先を本体サイトと同じ基盤に置いておくかどうかです。本体サイトはWordPressのまま、広告のLPだけ別の基盤に置くという分け方もできます。
Q. 制作会社に任せていて自分では何も操作できません。何をすればよいですか？
確認と段取りの2つです。確認するのは、PHPが更新済みか、更新作業でサイトが止まる時間帯、停止の対象に広告の遷移先が含まれるか、営業時間外の連絡先の4つです。とくに3つ目を具体的なURL単位で聞いてください。制作会社は「サイト」の単位で話すので、どのキャンペーンを止めればいいかは自分から確認しないと分かりません。なお、広告のLPだけをSquad beyondのような外部の基盤に移しておけば、本体サイトの作業予定を待たずに自分で差し替えられるようになります。
Q. 広告の遷移先を本体サイトの外に出すと、管理が二重になりませんか？
管理する場所は増えますが、止める判断を自社で持てるようになります。本体サイトが緊急メンテナンスに入っても、広告の遷移先が別の基盤にあれば配信を続けられるので、学習のリセットも審査への影響も避けられます。Squad beyondで作成・配信するLPはPHPを使っていないため、PHPの更新作業そのものが発生しません。LPの差し替えも本体サイトの作業予定とは無関係に行えます。
Q. 緊急メンテナンスの連絡が来たとき、広告側でまず何をすればよいですか？
最初に確認するのは、止まる対象に広告の遷移先が含まれるかどうかです。含まれないなら配信はそのままで構いません。含まれる場合は、停止の開始時刻までに対象のキャンペーンを止めます。このとき媒体をまたいで配信しているものや、別担当・代理店に任せている分が止め忘れの発生源になるので、どの順番で誰が止めるかを決めてから動いてください。連絡が来てから一覧を作り始めるのでは間に合わないため、停止リストは平時に用意しておくものです。
Q. LPの台帳には、どの項目を入れておけばよいですか？
URL、公開日、制作元、動いている基盤、管理している部署の5列があれば足ります。項目を増やすほど更新されなくなるので、緊急時に必要な最小限に絞るのが続けるコツです。運用のしかたは、新しいLPを公開するたびに1行足すだけで構いません。棚卸しを一度やってしまえば、そのあとの負荷はほとんど増えません。Squad beyondで作成・配信するLPは管理画面に一覧で並ぶため、この台帳に書き出す対象は本体サイト側と外部に置いたページだけで済みます。
7. まとめ
PHPで動くサイトに広告の遷移先を置いていると、基盤側の緊急対応のたびに巻き込まれます。対応が分かれるのは技術力の差ではなく、LPがどこで動いているかを把握できているかどうかです。
まず棚卸しをしてください。本体サイトの配下、別ドメインの専用サーバー、LP作成ツールの3つに分けて、それぞれが基盤の更新で落ちるかどうかを確認します。現役のキャンペーンから数えると、止めたまま残っているLPやサンクスページが漏れます。
制作会社に任せている場合は、PHPが更新済みか、停止する時間帯、停止の対象に広告の遷移先が含まれるか、営業時間外の連絡先の4つを確認してください。制作会社は「サイト」の単位で話すので、URL単位で聞かないと噛み合いません。
平時に用意できるのは、LPの台帳、停止リスト、委託先との取り決めの3つです。緊急時に新しく作れるものはないので、落ち着いているうちに1枚ずつ作っておいてください。
＼LPの制作から検証まで、ひとつの画面で／
- ・10日間、有料プランの機能を無料でお試しいただけます
- ・LP制作からA/Bテスト、効果測定までワンストップ
Squad beyondサービス紹介資料はこちらからダウンロード
