2026年10月21日にPHPの修正版が公開されました。サイトの応急対応は補助金を待たずに進め、その後のセキュリティ対策とサイトの作り直しに使える補助金を、締切順に整理します。
10/21
PHP修正版の公開日
8.1以前
通常の更新対象外（移行が必要）
10/30
セキュリティ対策推進枠 6次締切
12/15
持続化補助金 第20回 締切
30秒でわかる：PHPの脆弱性と補助金（2026年10月22日時点）
・PHPの深刻な脆弱性2件（CVE-2026-109618／CVE-2026-109619）について、10月21日に修正版が公開されました。JPCERT/CCは、修正版へのアップデートだけが対策だとしています。WordPressの本体やプラグインを更新しても、PHP本体の脆弱性は直りません。
・応急対応（PHPの更新、レンタルサーバーの告知確認、制作会社への連絡）は今すぐ行います。補助金の対象にはなりません。
・セキュリティ対策の継続費用：デジタル化・AI導入補助金 セキュリティ対策推進枠。IPAの「サイバーセキュリティお助け隊サービス」の利用料が最大2年分対象。補助率は中小企業1/2、小規模事業者2/3。補助額は5万〜150万円、6次締切は10月30日17:00です。
・サイトの作り直し：小規模事業者持続化補助金のウェブサイト関連費。第20回はウェブサイト関連費の補助金額の上限が30万円（税込）で、ウェブサイト関連費だけの申請はできません。販路開拓の取組と組み合わせて計画します。
・どちらも交付決定前の発注・契約は対象外です。
本記事は、PHPの脆弱性に関する公的機関・報道の情報と、デジタル化・AI導入補助金、小規模事業者持続化補助金、IPAの公表資料を基に作成しています。本文の［出典番号］は第8章の出典一覧に対応しています。脆弱性の影響範囲や対処方法は開発元・公的機関の発表で更新されるため、技術的な判断は必ず最新の公式情報で行ってください。
・扱うこと：応急対応の後に、セキュリティ対策とサイトの作り直しに使える補助金の選び方と締切。
・扱わないこと：PHPの更新手順や、脆弱性の技術的な内容。これらは第2章のリンク先（IPA・JPCERT/CC・各レンタルサーバー）で確認してください。
2026年10月21日、多くの企業や自治体のWebサイト、Webサービスが、PHPの脆弱性への対応のために停止やメンテナンスを告知しました。自社のホームページがPHPで動いているか、誰が更新を担当しているかを把握していなかった事業者も多いはずです。
この記事では、まず起きたことと補助金より先に行うことを整理し、次にセキュリティ対策の継続費用とサイトの作り直しに使える2つの補助金、選び方、申請の注意点を解説します。
本記事の内容 補助金より先に行うことは第2章、10月30日締切の制度は第3章をご覧ください。
1. 10月21日に何が起きたか
PHPは、WordPressをはじめ多くのWebサイトの動作に使われているプログラミング言語です。2026年10月20日、PHPの開発元が深刻度の高い脆弱性2件の修正版を出すと予告し、10月21日に修正版が公開されました。［出典1］［出典2］
| 項目 | 内容 |
|---|---|
| 脆弱性の識別番号 | CVE-2026-109618、CVE-2026-109619［出典2］ |
| 修正版 | PHP 8.5.12／8.4.27／8.3.36／8.2.35（2026年10月21日23時台［日本時間］に告知）［出典3］ |
| PHP 8.1以前 | PHPプロジェクトの通常の更新対象外。7.4・8.0・8.1向けには最小限のソースコードの修正が示されているが、開発元はサポート対象の版への更新を求めている［出典3］ |
| PHP 8.2 | 修正版は出ているが、セキュリティサポートは2026年12月31日まで［出典4］ |
| 対策 | JPCERT/CCは、修正版へのアップデートだけが対策であるとしている。WordPress本体やプラグインの更新では、PHP本体の脆弱性は修正されない［出典2］ |
| 公的機関の注意喚起 | IPA（10月22日公開）、JPCERT/CC（10月22日初版）、国家サイバー統括室が注意喚起を公表［出典2］［出典5］ |
セキュリティ研究者のブログ「piyolog」の集計では、修正版の予告を受けてサービスや自社サイトの停止を告知した組織が、10月22日の更新時点で211組織確認されています。レンタルサーバー各社も、管理画面の停止や緊急メンテナンスを行いました。［出典1］
公的機関から実際の悪用を観測したとの公表は、10月22日時点で確認できません。一方、Amazon Web Services（AWS）は、公表前の10月17日から悪用の試みを自社の観測網で検知したと報告しています。［出典6］
2. 補助金より先に行うこと
補助金の検討の前に、次の3点を確認してください。具体的な作業手順は、各リンク先の案内に従ってください。
① 自社サイトが動いているサーバーと、PHPの版を確認する
レンタルサーバーを利用している場合は、管理画面でPHPの版を確認でき、各社が今回の脆弱性への対応を告知しています。サーバー会社の告知を最初に確認してください。
② 制作会社・保守契約の範囲を確認する
サイトの制作会社に保守を任せている場合は、PHPの更新が保守契約に含まれているかを確認します。保守契約がない場合や、制作会社と連絡が取れない場合は、第4章のサイトの作り直しを検討する理由になります。
③ 公的機関の最新情報を確認する
影響範囲と対処方法は、開発元の発表を受けて更新されます。IPA（情報処理推進機構）とJPCERT/CCの注意喚起を確認してください。［出典2］［出典5］
3. セキュリティ対策の継続費用：デジタル化・AI導入補助金 セキュリティ対策推進枠
セキュリティ対策推進枠は、IPAの「サイバーセキュリティお助け隊サービス」のうち、補助金事務局に登録されたサービスの導入費用を補助する枠です。［出典7］お助け隊サービスは、相談窓口・異常の監視・緊急時の対応支援・簡易サイバー保険などを1つにまとめて提供するサービスで、2026年10月時点で45事業者の85サービスが登録されています。［出典9］
| 項目 | 内容 |
|---|---|
| 補助対象 | 事務局に登録されたお助け隊サービスの導入費用。サービス利用料は最大2年分［出典7］ |
| 補助率 | 1/2以内（小規模事業者は2/3以内）［出典7］ |
| 補助額 | 5万円〜150万円［出典7］ |
| 申請の進め方 | GビズIDプライムが必要。IT導入支援事業者が交付申請の作成に関わり、最終的な提出は申請者が行う［出典7］ |
| 6次の締切 | 2026年10月30日（金）17:00［出典8］ |
| 6次の交付決定・事業期間 | 交付決定 12月10日（予定）／事業実施期間・実績報告期限 2027年5月31日17:00（予定）［出典8］ |
| 7次 | 欄は設けられているが、日程は未公表［出典8］ |
※サービスの価格は、IPAの基準では1類サービスがネットワーク監視で月額1万円（税抜）、端末監視で1台あたり月額2,000円（税抜）とされていますが、2類サービスは価格要件を緩和した類型です。導入するサービスの価格は、IPAのサービス一覧で個別に確認してください。［出典9］
この枠で補助されるのは「サービスの利用料」です
対象は、事務局に登録されたお助け隊サービスの導入費用です。制作会社にPHPの更新やサイトの改修を発注した費用をこの枠で補助するという記載は、公募要領にありません。［出典7］この枠は、更新を済ませた後の監視・相談・初動対応の体制づくりに使う制度です。サイトそのものを作り直す場合は、第4章の持続化補助金を検討してください。
4. サイトの作り直し：小規模事業者持続化補助金のウェブサイト関連費
小規模事業者持続化補助金は、小規模事業者が販路開拓の取組に使う経費を補助する制度です。販路開拓を目的とするホームページの制作・改修費は「ウェブサイト関連費」として計上できます。［出典11］
| 項目 | 第20回（一般型・通常枠） |
|---|---|
| 申請受付 | 2026年11月5日（木）開始／12月15日（火）17:00締切［出典7］ |
| 事業支援計画書（様式4） | 商工会・商工会議所での発行受付は12月4日（金）まで［出典7］ |
| 補助上限・補助率 | 50万円／補助率2/3。インボイス特例（+50万円）と賃金引上げ特例（+150万円）を併用すると、補助上限は最大250万円［出典10］ |
| ウェブサイト関連費 | 補助金交付申請額の上限30万円（税込）。ウェブサイト関連費だけの申請は不可。賃金引上げ特例を使っても、この上限は上がらない［出典10］［出典11］ |
※ウェブサイト関連費の上限は、第19回までは「補助金交付申請額の1/4（最大50万円）」でした。第20回の公募要領（第8版）では「補助金交付申請額の上限は30万円（税込）」と書かれています。［出典10］［出典12］
「セキュリティ対策のため」だけでは計画になりません
持続化補助金は販路開拓の補助金です。サイトの作り直しは、新しい商品の案内ページ、問い合わせ導線、予約・注文機能など、売上を伸ばす取組の一部として計画に書きます。チラシや展示会出展など、ほかの販路開拓経費と組み合わせる必要があります。［出典11］
5. どちらの補助金を使うか
| やりたいこと | 申請先 | 締切 |
|---|---|---|
| 不正アクセスの監視、相談窓口、駆けつけ対応などを継続して受けたい | デジタル化・AI導入補助金 セキュリティ対策推進枠 | 6次：10月30日17:00 |
| 古い仕組みのサイトを、販路開拓を兼ねて作り直したい（小規模事業者） | 小規模事業者持続化補助金（ウェブサイト関連費） | 第20回：12月15日17:00 |
| 受発注や予約などの業務システムを入れ替え、作業時間を減らしたい | デジタル化・AI導入補助金 通常枠／中小企業省力化投資補助金 | 通常枠6次：10月30日17:00／省力化 第9回：12月下旬（予定） |
※1行目の具体的なサービス内容は、IPAのお助け隊サービス一覧で確認してください。［出典9］
10月30日・12月15日の締切に間に合うか確認しませんか
「セキュリティ対策推進枠と持続化補助金のどちらが合うか知りたい」「サイトの作り直しを販路開拓の計画にまとめたい」
当事務所は補助金サポート実績105社超・採択率73％（自社集計）。初回相談40分無料で対応しています。
6. 申請で失敗しやすい点
① 交付決定前に契約・発注する
どちらの補助金も、交付決定前に発注・契約した経費は対象外です。応急対応として発注した作業を、後から補助金の対象にすることはできません。
② GビズIDプライムが間に合わない
デジタル化・AI導入補助金と持続化補助金は電子申請で、GビズIDプライムが必要です。発行に日数がかかるため、10月30日の締切に間に合うかを先に確認してください。
③ IT導入支援事業者を通さずに申請しようとする
セキュリティ対策推進枠の対象は、事務局に登録されたサービスに限られ、交付申請の作成にはIT導入支援事業者が関わります。［出典7］まずお助け隊サービスの提供事業者に、補助金の対象として登録されているかを確認します。
④ 持続化補助金の様式4の期限を見落とす
持続化補助金は、商工会・商工会議所が発行する事業支援計画書（様式4）が必要です。第20回の発行受付は12月4日までで、申請締切の12月15日より早く締め切られます。［出典10］
7. 弊所の関連記事
8. よくあるご質問
Q. PHPの更新費用は補助金の対象になりますか？
応急対応として今行う更新作業は、対象になりません。この記事で紹介する補助金は、いずれも交付決定前に発注・契約した経費を対象にしないためです。PHPの更新は補助金を待たずに行ってください。
Q. WordPressを最新版にすれば対応は終わりですか？
終わりません。WordPress本体やプラグインの更新では、PHP本体の脆弱性は修正されません。サーバー側のPHPを修正版に更新する必要があります。
Q. セキュリティ対策推進枠では何が補助されますか？
IPAの「サイバーセキュリティお助け隊サービス」のうち、補助金事務局に登録されたサービスの導入費用です。サービス利用料は最大2年分が対象です。補助額は5万〜150万円、補助率は1/2以内（小規模事業者は2/3以内）です。制作会社に発注したPHPの更新作業やサイトの改修費を補助するという記載はありません。
Q. セキュリティ対策推進枠の締切はいつですか？
6次締切は2026年10月30日（金）17:00で、交付決定は12月10日の予定です。7次の欄は設けられていますが、日程は10月22日時点で公表されていません。
Q. ホームページの作り直しに持続化補助金は使えますか？
販路開拓の取組の一部としてであれば、ウェブサイト関連費として計上できます。第20回はウェブサイト関連費の補助金額の上限が30万円（税込）で、ウェブサイト関連費だけの申請はできません。申請受付は11月5日から12月15日17:00まで、様式4の発行受付は12月4日までです。
Q. 行政書士にセキュリティ対策の相談はできますか？
当事務所が支援するのは、補助金の制度選び、事業計画の作成、申請手続です。PHPの更新やサイトの技術的な対処は、ご利用のレンタルサーバー・制作会社・IT導入支援事業者にご相談ください。
9. 参考・出典
［出典1］piyolog「修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた」（2026年10月22日更新）
［出典2］JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日初版）
［出典3］The PHP Group「Security advisory」（php.net News Archive 2026）（2026年10月21日）
［出典4］php.net「Supported Versions」
［出典5］IPA「PHPの脆弱性対策について」（2026年10月22日公開）
［出典6］AWS Security Blog「Amazon threat intelligence identifies php2shell exploitation prior to public disclosure」
［出典7］デジタル化・AI導入補助金2026 公募要領（セキュリティ対策推進枠）（2-3 補助対象経費、補助率及び補助額）
［出典8］デジタル化・AI導入補助金2026 事業スケジュール（2026年10月22日確認）
［出典9］IPA「サイバーセキュリティお助け隊サービス」・監視種別サービス一覧・「サイバーセキュリティお助け隊サービス制度について」（2026年10月）
［出典10］小規模事業者持続化補助金〈一般型・通常枠〉第20回公募要領（第8版・2026年7月21日改版）（ウェブサイト関連費 P.15）・事務局サイト
［出典11］小規模事業者持続化補助金 第20回 よくあるご質問（Q3-4・Q3-19・Q3-20・Q3-24）
［出典12］小規模事業者持続化補助金 第19回 よくあるご質問（ウェブサイト関連費の旧ルール）
セキュリティ対策とサイトの作り直し、補助金で進めませんか
「お助け隊サービスを補助金で導入したい」「持続化補助金でホームページを作り直したい」「締切に間に合うか判断したい」
当事務所は補助金サポート実績105社超・採択率73％（自社集計）。初回相談40分無料で対応しています。
最新記事
友だち追加で、使える補助金が無料でわかる
LINEで質問に答えるだけ。補助金の無料診断と、よくあるご質問に自動でお答えします。
- 採択率73％（自社集計）・105社超の行政書士に直接、無料相談
- 24時間受付・オンライン（Zoom）相談OK・全国対応
- しつこい営業はしません。ブロックはいつでも可能です
