PHPの脆弱性「php2shell」が見つかり、「念のためホームページを止めたほうがいいのでは」と考えている社長や担当者の方もいるはずです。php2shellへの対応は大事です。ただ、慌ててサイトを止め、「ページが見つかりません」の画面や真っ白な画面のまま何日も放っておくと、検索順位まで落としてしまうおそれがあります。
この記事では、WordPressのメンテナンスモードとは何かを確認したうえで、「そもそも止める必要があるか」「止めるなら503」「何日までなら止めてよいか」「制作会社に何を頼み、何を確かめるか」を説明します。設定のコードは載せません。ホームページに詳しくない方が、制作会社と話すときに使える内容にしています。
php2shellの内容や、自分のサイトに関係があるかの確かめ方は【緊急】PHPの脆弱性「php2shell」とは？WordPressサイトの確認方法と対策で説明しています。
WordPressのメンテナンスモードでphp2shellは防げる？
WordPressのメンテナンスモードでは、php2shellは防げません。メンテナンスモードとは、ホームページを一時的に閉じて「ただいまメンテナンス中です」といった画面を出しておく状態のことです。お客さまには案内の画面が出て、ログインしている担当者には普段どおりの画面が出る、という仕組みです。
WordPressのメンテナンス表示には、次の2つがあります。
- 更新中に自動で出る表示：WordPress本体やプラグインを更新しているあいだだけ、自動で「メンテナンス中」の表示になります
- 自分で設定するメンテナンスモード：プラグインなどを使い、決めた時間だけ案内の画面を出します
どちらも、サーバーの上でPHPというプログラムが動いたあとに、WordPressが画面を切り替えています。php2shellはPHPそのものの問題なので、WordPressがメンテナンス画面を出す前の段階で狙われます。メンテナンスモードにしても安全にはなりません。
php2shellの対応で、サイトを止める必要はある？
サイトを止めずに済むことも多いため、まず止める必要があるかを確かめます。共用のレンタルサーバーでPHP 8.2〜8.5を使っている場合は、サーバー会社が直したPHPに入れ替えてくれるので、サイト側で止める作業はいらないことがあります。たとえばさくらインターネットは、サポートが終わったバージョンも含めて対策することをお知らせしています。
| 今の状況 | 止める必要 | 主な対応 |
|---|---|---|
| 共用レンタルサーバーで、PHP 8.2〜8.5 | 止めずに済むことが多い | サーバー会社のお知らせを確認する |
| PHP 8.1以下 | 作業の進め方による | PHPのバージョンを上げる作業が必要 |
| バージョンが分からない | 判断できない | まずバージョンを確かめる・制作会社に聞く |
PHP 8.1以下の場合は、バージョンを上げる作業が必要です。進め方はWordPressのPHPバージョンアップの記事で説明しています。PHPのバージョンは、サーバーの管理画面で見られます。
サイトを止めるなら、なぜ「503」にする必要がある？
検索エンジンに「一時的に休んでいるだけ」と伝えられるのが503だからです。ホームページは、ページを見に来た人や検索エンジンに対して、画面と一緒に「HTTPステータスコード」という3けたの番号を返しています。番号によって、検索エンジンの受け取り方が変わります。
| 番号 | 意味 | サイトを止めるときに使ってよいか |
|---|---|---|
| 503 | 今は一時的に使えない | 使ってよい |
| 404 | ページがない | 使わない |
| 500 | サーバーのエラー | 使わない |
Googleのジョン・ミュラー氏は2026年10月21日、Blueskyで「PHPのサイトを止めて『予定外の更新』に対応するなら、タイムアウトや404・500にせず、HTTP 503を使ってほしい」という趣旨の発信をしています（訳は意訳です。出典：Search Engine Roundtable「Google Advice On Taking Sites Down When Fixing PHP2Shell」2026年10月21日）。
Google検索セントラルの「ウェブサイトを一時停止または無効化する」でも、緊急でサイトを止めるときは、ページの代わりに503を返す案内ページを出すように書かれています。あわせて、次のこともしないように書かれています。
- 403・404・410を返す
- 「noindex」という設定で、検索に載らないようにする
- robots.txt（検索エンジンのロボットに向けた案内のファイル）そのものに503を返す。サイト全体の読み込みが止まってしまいます
robots.txtでは、ロボットがサイトを読み込めるようにしたままにしておきます。サーバーを止めただけで画面が出なかったり、真っ白な画面になったりする状態は、503とは限りません。止めるときは、どの番号が返っているかを制作会社に確かめてもらいます。
サイトを止めてよいのは何日まで？
止めるのは1〜2日までにし、2〜3日を超えないようにします。そもそもGoogleは、サイト全体を止めること自体をおすすめしておらず、止めるのは「非常に短い期間（長くても 2～3 日）のみに適用できる最終手段」としています。Google検索セントラルには、1〜2日間緊急にサイトを止める必要があるときは503を返し、2〜3日を超えないようにすることが書かれています。それより長く止めると、正しく503を返していても検索に大きな影響が出るおそれがあります。
止めるなら503を返し、長くても2〜3日を超えないようにすることが、検索順位を守るいちばんの基本です。
古いPHPからの切り替えで直す所が多いなど、時間がかかりそうな作業では、本番のサイトを止めたまま作業しません。ホームページを複製して確かめてから切り替えるほうが安全です。ツクリコでは、次の順番で進めています。
- サイトを複製し、ツクリコの手元で試す
- テスト環境で表示や動きを確かめる
- お客さまに見てもらい、OKをもらう
- 元に戻せることと、バックアップから戻す手順を用意する
- 本番に反映する
- 主なページを作業の前後で見比べ、全ページを自動で巡回してエラーがないかを見る
- 管理画面に入れるか、お問い合わせフォームが送れて通知が届くかを確かめる
制作会社には何を頼み、何を確かめればいい？
まずサイトの情報を伝えて「止める必要があるか」を確かめてもらい、止める場合は「503で、いつまで止めるか」を決めてもらいます。制作会社や保守会社に連絡するときは、次の情報を用意しておくと話が早く進みます。
- ホームページのURL
- サーバー会社の名前
- サーバーの管理画面のログインURLとログインID
- 分かれば、PHPとWordPressのバージョン
パスワードは、チャットやメールの本文に貼らないでください。必要になったときに、別の安全な方法で伝えます。
止めると決まったら、次のことを確かめます。
| タイミング | 確かめること |
|---|---|
| 止める前 | 本当に止める必要があるか／バックアップはあるか／お問い合わせや予約のページが止まって困らないか |
| 止めている間 | 503が返っているか／robots.txtが読めるままか／再開の予定をメンテナンス画面に書いたか |
| 再開の目安 | 1〜2日で終わるか。長くなりそうなら、複製で作業する方法に切り替えるか |
| 再開したあと | 主なページが正しく出るか／管理画面に入れるか／お問い合わせフォームの通知が届くか |
「メンテナンス中」から戻らないときは？
WordPressやプラグインの更新が途中で止まると、「.maintenance」というファイルが残り、メンテナンスの表示から戻らなくなることがあります。慌ててほかのファイルを消したり、プラグインを入れ直したりすると、かえって状況が悪くなることがあります。ブラウザに古い画面が残っているだけのこともあるので、まず別のブラウザやスマートフォンで見てみます。それでも戻らない場合は、いつから・何をしたあとに表示が出たかを添えて、制作会社に連絡してください。
ツクリコはphp2shellの発表後にどう対応した？
ツクリコは、php2shellが発表された10月21日のうちに、お客さまへ緊急の案内を送りました。案内では、サーバーの管理画面でPHPのバージョンを見て、表示されている数字（スクリーンショットでもかまいません）を知らせてもらうようお願いしています。
PHPのバージョンを変えると、表示や機能に不具合が出ることがあります。そのため、ご自身でバージョンを変えるのはいったん控えていただき、まず今の状態を知らせてもらうようにしています。確かめ方が分からない方には、URL・サーバー会社の名前・管理画面のログインURL・ログインIDを教えていただければ、ツクリコで確認します。確認したあとに、更新が必要かどうかと、必要な対応をご案内します。
ツクリコが管理しているホームページは、バックアップを毎日取り、サーバーとは別の社内の環境にも保存しています。PHPのバージョン確認は、ツクリコで作っていないホームページも無料で受け付けています。相談は全国どこからでもオンラインでできます。
WordPressやPHPを使わないサイトに変えることもできる？
サイトを止めるか、いつ更新するかを毎回判断するのは、大きな負担です。ツクリコでは、WordPressのホームページを、見た目とページのアドレスはそのままで、WordPressやPHPを使わないサイトに作り替える「ちゃんとホームページ」を始めました。中で動いているものがなくなるので、それらを更新する作業もいらなくなります。
社内で記事を毎日のように更新したい場合など、WordPressが合うこともあります。合うかどうかも含めてお答えしますので、まずは今のホームページのURLを送るだけの無料チェックからご相談ください。ツクリコで作っていないホームページも対象です。
まとめ
php2shellへの対応は大事です。ただ、慌ててサイトを止め、404や真っ白な画面のまま何日も放っておくと、検索順位まで落としてしまうおそれがあります。まず止める必要があるかを確かめ、止めるなら503で短くします。時間がかかる作業は、本番を止めずに進めます。自分で判断できないときは、制作会社に相談してください。
- WordPressのメンテナンスモードでは、PHPの問題であるphp2shellは防げない
- 共用レンタルサーバーでPHP 8.2〜8.5なら、止めずに済むことが多い。8.1以下はバージョンを上げる作業が必要
- 止めるなら503を返す。404・500・真っ白な画面・noindexにはしない
- robots.txtは読めるままにし、robots.txtには503を返さない
- 止めるのは1〜2日まで。2〜3日を超えないようにする
- 時間がかかる作業は、複製で確かめてから本番に反映する
- 制作会社には、URL・サーバー会社・ログインURLとID・バージョンを伝える。パスワードはチャットに貼らない
PHPのバージョン確認や、サイトを止めるべきかどうかの相談は、お問い合わせから無料で受け付けています。更新や保守を毎月まとめて任せたい方は、月額ホームページの料金もご覧ください。
