PHPの脆弱性でWixのサイトは大丈夫？影響の有無と確認すべきことを解説【2026年10月22日時点】

本記事は 2026年10月22日夜（日本時間）時点 の情報です。PHPの修正版は日本時間10月21日23時に公開済みですが、各社の対応状況や悪用の状況は変わり続けています。新しい情報が出次第、更新します。

2026年10月21日夜、PHPの重大な脆弱性への対応で、国内のネットショップ作成サービスやゲーム、銀行サイトなどが相次いで緊急メンテナンスに入りました。「うちのホームページはWixで作っているけれど、大丈夫なのか」と不安になった方も多いと思います。

この記事では、PHP公式やセキュリティ企業、Wix側の情報をもとに、Wixのサイトは今回のPHPの脆弱性の影響を受けるのか、Wixを使っている人は何を確認すればよいのか を整理します。

先に結論

• 通常のWixサイトは、今回のPHPの脆弱性の影響を受けないと考えられます。 WixはPHPで動くサービスではなく、利用者がPHPを追加することもできない仕組みだからです
• Wixの技術責任者とされるAviran Mordo氏も、X（旧Twitter）で「Wixで動いているサイトは安全で、この脆弱性の影響を受けない」という趣旨の投稿をしています（後述のとおり、会社としての正式な声明ではなく、個人の投稿です）
• Wixを使っているだけの方が、PHPの更新などの作業をする必要はありません
• ただし、Wixサイトの「周辺」にPHPで動くものがあれば、そこは影響を受けます。 具体的には、外部の連携サービスやフォーム、独自ドメインのメールサーバー、同じ会社が運用するWordPressなどです

何が起きたのか（おさらい）

PHP開発チームは、2026年10月21日（協定世界時14:00、日本時間23時）に、緊急のセキュリティ修正版を公開しました。PHP公式によると、概要は次のとおりです。

項目	内容
脆弱性	2件。いずれもCVSS v4.0で9.2（深刻度「緊急」）
CVE-2026-109618	メモリ不足の処理が途中で中断された際に、内部データが不完全な状態のまま後処理に使われるおそれがある問題
CVE-2026-109619	解放済みのメモリに対応する内部状態が残り、別のリクエストの処理で使われるおそれがある問題
影響する環境	Webリクエストを処理するPHP環境すべて（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど）。特にmod_phpのリスクが最も高いとされる
修正版	PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
古いバージョン	PHP 8.1以前には通常の更新は提供されないが、7.4・8.0・8.1向けに最小限のバックポート（修正の移植版）が公開されている

PHPの脆弱性でWordPressはどうなる？php2shellの影響と今すぐやることを解説【2026年10月21日時点】

PHP公式は、更新が唯一の完全な対策で、設定変更などの暫定策は「完全な対策ではない」としています。

悪用の状況については、報道によると、公開前からCloudflareが初期の攻撃試行を確認し、watchTowrも公開後に「悪用の試み」を観測したと伝えられています。また、公開後に攻撃コード（エクスプロイト）が2件オンラインに出たという報道もあります。

重要なのは、脆弱性が PHP本体 にあることです。PHPで動いているサイトは、アプリケーション（WordPressなど）を最新にしても防げず、PHP本体の更新が必要になります。

WixはPHPで動いている？

結論から言うと、Wixの利用者側から見れば、PHPは「使えない」「使う必要がない」仕組みです。根拠を順に整理します。

根拠1：Wix公式のサポートページで「PHPは追加できない」と明記

Wixのサポートページには、「It is not possible to add PHP code to your Wix site.（WixサイトにPHPコードを追加することはできません）」と明記されています。日本語のサポートページでも、PHPの利用はできず、機能リクエスト（要望の受付）の扱いになっています。

代替手段として案内されているのは、HTMLの埋め込みと、JavaScriptでサイトを拡張する「Velo by Wix」です。

根拠2：サーバー側のコードはNode.js（JavaScript）

Wixでサーバー側のコードを書ける機能「Velo」は、公式の説明で、Node.jsをベースにしたサーバー側の実行環境 で、言語はJavaScriptとされています。開発したコードはWixのクラウドで動き、サーバーの設定や保守はWix側が担当します。

根拠3：Wix自身のエンジニアリング情報にPHPが出てこない

Wixのエンジニアリング責任者であるAviran Mordo氏のスライド（Wixを1億ユーザー規模に拡大した経緯を説明した資料、2017年前後のもの）では、サーバー側は Java と Scala、フロント側は JavaScript（React、Node.js）が中心で、PHPの記載はありません。また、Wixのバックエンドエンジニアの求人情報でも、言語は Scala と Node.js（JavaScript）が中心で、PHPの記載はありません。

ここで注意してほしいのは、「資料や求人に書かれていない」ことは、「Wixの内部にPHPが一切ない」ことの証明にはならない、という点です。スライドは数年前の資料でもあります。ただ、上の根拠1・2のとおり、利用者のサイトがPHPで動く仕組みではないこと、そして次の根拠4があるため、実務上は「影響を受けない」と考えてよいと判断しています。

根拠4：Wixの技術責任者の発言

Wixの技術責任者とされるAviran Mordo氏は、PHPの脆弱性が話題になっていた時期に、X上で次の趣旨の投稿をしています。

If your website is running on Wix, you are safe and not effected by this vulnerability. （Wixでサイトが動いているなら、安全で、この脆弱性の影響を受けません）

国内でも、Wix制作会社のブログなどが、この発言を紹介しています。

ただし、次の点には注意してください。

• 私は、この投稿を直接開いて確認できていません（検索結果に表示された本文をもとにしています）
• 会社としての正式な発表ではなく、役職者の個人の投稿 です
• 調べた範囲では、Wixの公式ブログや公式のお知らせ、ステータスページに、PHPの脆弱性についての声明は見つかりませんでした

ある制作会社の記事も、Wix社の公式声明は確認できていないと書いています。「公式が断言した」わけではなく、「技術構成と責任者の発言の両面から、影響なしと判断できる」というのが、現時点で正確な言い方です。

国内で止まったサービスとの違い

10月21日夜には、報道によると、次のようなサービスがメンテナンスに入りました。

• ネットショップ作成サービス：BASE、makeshop、カラーミーショップなど
• レンタルサーバー：さくらインターネットの一部サービスなど
• その他：niconico、pixiv、DMM.com、人気ゲーム、保育園向けSaaS、一部の銀行のネットバンキングなど

これらは、PHPの脆弱性への対応として、修正版の公開前後に予防的にサービスを止めたとされています。自社のサーバーでPHPを動かしているサービスは、修正版を適用するまでの間、リスクを避ける判断をしたということです。

一方、Wixのサイトは、こうした停止の対象になっていません。調べた範囲では、Wixが今回のPHPの件でメンテナンスや停止を告知した形跡は見つかりませんでした。

Wixユーザーが気をつけたい「周辺」の4つ

Wixのサイト本体は影響を受けなくても、サイトの周りでPHPが動いていることはあります。次の4つを確認してください。

1. 独自ドメインのメール（外部のメールサーバー）

Wixで作ったサイトで、独自ドメインのメール（info@自社ドメイン など）を、Wix以外のサービス（レンタルサーバーなど）で使っている 方は多いと思います。Wixの公式ヘルプによると、外部で契約したメールをWixのドメインに接続する場合、メールサーバーは別事業者のままで、Wixは送受信のためのDNSの設定（MXレコードなど）を追加するだけです。

つまり、メールのサーバーは、Wixではなくレンタルサーバー会社などのものです。 そのサーバーがPHPで動くウェブメールなどを提供している場合、影響を受けている可能性があります。契約中のレンタルサーバー会社のお知らせを確認してください。

2. 外部のフォーム・予約システム・決済サービスなどの連携

Wixの標準機能で完結せず、外部のサービスをHTMLで埋め込んでいる（iframeや埋め込みコードなど）、あるいは リンクで外部のサービスへ移動させている 場合があります。たとえば、外部の予約システム、問い合わせフォーム、会員管理、決済サービスです。

こうした外部サービスのサーバーがPHPで動いていれば、そちらは影響を受ける可能性があります。Wixのサイトが安全でも、その先のサービスで情報が漏れる可能性は残ります。個人情報が入力されるものは、提供元のお知らせを確認してください。

3. Wix App Marketのアプリや、Veloから呼び出す外部サーバー

WixのアプリにはWix内で完結するものがありますが、外部のサーバーと連携するものもあります。また、Veloでは、外部のAPIを呼び出したり、外部のデータベースを接続したりできます。外部のサーバーが、PHPで動いている可能性はあります。

アプリの権限は、Wixの管理画面から確認できます。使っていないアプリは削除し、残すアプリは提供元のお知らせを確認してください。

4. 同じ会社が運用するWordPressなど

「コーポレートサイトはWixで作っているが、ブログやお知らせだけWordPressを別のサーバーに置いている」というケースもあります。この場合、WordPress側は今回の脆弱性の影響を直接受けます。 前の記事「PHPの脆弱性でWordPressはどうなる？」を参考に、サーバー会社の対応状況や、PHPの更新状況を確認してください。

自分のサイトがWixかどうか分からないとき

制作会社に依頼して作ってもらい、何で作られているのか分からない、という方もいると思います。次の方法で、見当をつけられます。

• Wixにログインして、管理画面（ダッシュボード）に自分のサイトが表示されるか
• サイトのアドレスが「◯◯.wixsite.com」になっていないか（独自ドメインに切り替えていると、見た目では分かりません）
• 制作会社や、サイトの管理者に確認する

サイトの表示ソースに「Wix.com Website Builder」といった記載があるサイトもあります（Wixで作られたサイトの一部で確認できました）。ただし、この方法が常に使えるとは限らないため、確実なのは、制作した人への確認です。

Wixユーザーのチェックリスト

PHPの件で、Wixを使っている方が確認しておくとよい項目をまとめます。

1. サイトがWixで動いていることを確認する（上記の方法で確認）
2. 独自ドメインのメールがどこのサーバーか確認する。 そのサーバー会社のお知らせを確認する
3. 外部のフォーム、予約、決済、会員管理サービスの有無を確認する。 あれば、提供元のお知らせを確認する
4. 導入しているアプリを棚卸しする。 使っていないものは削除し、残すものは権限を確認する
5. 同じ会社が運用するWordPressなどがないか確認する。 あればPHPの更新状況を確認する
6. Wixアカウントの2段階認証を有効にする。 強力で使い回しのないパスワードを設定する

3〜5は、PHPの件に限らず、日常的な備えとしても役立ちます。

「Wixは絶対に安全」ではない

最後に、誤解のないように書いておきます。今回のPHPの脆弱性の影響を受けないことと、Wixが「何があっても安全」であることは、別の話です。

• Wix自体にも、過去には、別の種類の脆弱性（クロスサイトスクリプティングなど）が報告され、修正された例があります（検索で確認できた報道の見出しレベルで、詳細は確認していません）
• サイトの乗っ取りで最も多いのは、サービスの欠陥より、管理画面のアカウントの乗っ取り です。パスワードの使い回しや、フィッシングメールには注意してください
• Wixに限らず、アプリや外部連携を増やすほど、攻撃を受ける入口は増えます

PHPの件をきっかけに、アカウントとアプリを見直しておくと安心です。

よくある質問

Wixを使っていれば、PHPの更新は一切不要ですか？

Wixのサイト本体については、利用者がPHPを更新する必要はありません。WixにはPHPを追加する仕組みがなく、サーバーの管理もWixが行います。ただし、メールサーバー、外部の連携サービス、同じ会社のWordPressなど、Wixの外にあるPHPのシステム は、それぞれ確認が必要です。

Wixから、PHPの脆弱性についてのお知らせは出ていますか？

調べた範囲では、Wixの公式ブログやお知らせ、ステータスページに、今回のPHPの脆弱性についての声明は見つかりませんでした。Wixの技術責任者とされる人物のX上の投稿はあります。最新の情報は、Wixの公式のお知らせとステータスページで確認してください。

Wixで作ったサイトは、パスワードを変更したほうがいいですか？

PHPの脆弱性を理由に、変更する必要性は低いと考えられます。ただし、パスワードの使い回しをしていないか、2段階認証が有効かの見直しは、この機会にしておくと安心です。

WordPressはPHPだから危険で、Wixなら安全ですか？

「PHPだから危険」というわけではありません。今回のようなPHP本体の脆弱性は、PHPで動くサイトが 修正版に更新するまで の問題です。WordPressでも、マネージドなホスティングを使っていれば、ホスティング会社が更新します。実際、WordPress.comを運営するAutomatticは、自社のホスティングは保護済みで、利用者の対応は不要としていると報じられています。

一方で、レンタルサーバーなどに自分でWordPressを入れている場合は、サーバー会社や自分が更新する必要があります。サーバーの管理を誰がやるか が、安心できるかどうかの分かれ目です。Wixは、その管理をすべてWix側が行う仕組みです。

Wixなら、今後も同じような脆弱性の心配は要らないですか？

PHPの脆弱性については、WixがPHPを使っていない限り、心配は少ないと言えます。ただし、他の言語や基盤ソフトウェア（Node.jsやJavaなど）に、別の重大な脆弱性が出る可能性はあります。そのときは、Wix側が対応する仕組みです。

今回のPHPの件で、WordPressからWixへの移行を検討すべきですか？

今回の件だけを理由に、急いで移行する必要はありません。移行にはコストと手間がかかり、検索順位やURLにも影響します。自分のWordPressのPHPが修正版に更新されていて、更新の仕組みが整っているなら、そのまま運用してかまいません。今後の運用の負担を減らしたい、という理由があるときに、検討する価値はあります。

まとめ

• 通常のWixサイトは、PHPで動かない仕組みのため、今回のPHPの脆弱性の影響を受けないと考えられる。WixサポートでもPHPコードは追加できないと明記され、サーバー側のコードはNode.jsとされている
• Wixの技術責任者とされる人物のX投稿もあるが、会社としての正式な声明は、調べた範囲では確認できなかった
• Wixを使っているだけの方は、PHPの更新作業は不要
• 確認が必要なのは、Wixの「周辺」。独自ドメインのメールサーバー、外部の連携サービス、アプリ、同じ会社のWordPress にPHPが使われていないか
• この機会に、Wixアカウントの2段階認証 と、アプリの権限の見直しもしておくと安心

更新履歴

• 2026年10月22日：初版公開