WixとPHP脆弱性の関係とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）が、ホームページ作成サービス「Wix」で作ったサイトに関係するのか、という話です。結論から言うと、2026年10月22日16時00分時点で、この脆弱性についてWixの公式な発表は見つかりませんでした。一方で、Wixの公式ヘルプには「サイトに、PHPコードを追加することはできません」と書かれていて、Wixの利用者が自分でPHPのバージョンを選んだり更新したりする場所はありません。そのため、Wixの管理画面の中で利用者がPHPについて作業することはありません。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 公式の告知なし |
| 管理画面・ログイン | 入れる（ログイン画面が通常どおり開くことを確認。ログインはしていません） |
| サイト・サービスの表示 | 通常どおり（Wixシステムステータスは「All Systems Operational」、10月21日・22日とも障害の報告なし） |
| 確認した公式ページ | Wixシステムステータス、Wixヘルプセンター |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
ただし、「Wixを使っているから何もしなくていい」とまでは言い切れません。お問い合わせフォームや予約システムを別のサーバーから埋め込んでいる、ブログだけWordPressで運営している、といった形で、Wixの外にPHPで動く仕組みを置いているケースがあるからです。この記事では、2026年10月22日16時00分時点のWixシステムステータスとWixヘルプセンターの内容をもとに、Wixでサイトを運営している方が確認しておくことを整理します。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、10月21日の国内の動きは10月21日に何が起きたかのまとめ記事にまとめています。状況は変わることがあるため、最新の情報は必ずWixの公式情報でご確認ください。
Wixの公式発表はあるか（10月22日16時00分時点）
2026年10月22日16時00分時点で、WixがこのPHPの脆弱性について出した公式のお知らせは見つかりませんでした。「影響あり」という発表も、「影響なし」という発表も、どちらも確認できていません。調べた範囲と結果は次のとおりです。
調べた公式の情報と結果
| 確認した場所 | 10月22日16時00分時点の内容 |
|---|---|
| Wixシステムステータス（status.wix.com） | 「All Systems Operational（すべて正常）」。10月8日〜22日の記録はすべて「No incidents reported（障害の報告なし）」。PHPや脆弱性への言及なし |
| Wixヘルプセンター（日本語） | 今回の脆弱性についての記事は見つからず。PHPについては「サイトに、PHPコードを追加することはできません」という以前からの記事がある |
| Wixのセキュリティページ（wix.com/security） | 24時間体制の監視や自動の脆弱性スキャンなど、日ごろの取り組みの説明のみ。10月の告知やPHPへの言及なし |
「発表がない」をどう受け止めるか
国内では、BASEのように「利用しているPHPに重大な脆弱性がある」と明記してサービスを止めた会社もありました。Wixではそうした停止や告知は出ていません。ただ、発表がないことは「影響がないと公式に確認された」こととは違います。SNSには「Wixのサイトは影響を受けない」という個人の投稿も見られますが、Wixの公式発表ではないため、社内やお客様への説明の根拠には使わない方が無難です。はっきりした答えが必要な場合は、後半で紹介する問い合わせ窓口で直接確かめます。
WixのサイトとPHPの関係
今回の脆弱性はPHPというプログラム言語そのものの弱点で、PHPで動いているサイトやシステムが関係します。Wixのサイトでは、利用者がPHPを使う場面がそもそも用意されていません。
Wixのサイトに、PHPのプログラムは置けない
Wixヘルプセンターの「リクエスト：Wix で『PHP プログラミング言語』を使用したい」には、Wixが対応しているのはHTMLのコードを埋め込むことだけで、PHPのコードはサイトに追加できないと書かれています。レンタルサーバーのように「PHPのバージョンを選ぶ画面」もありません。つまり、WordPressをレンタルサーバーで運営している方のように、管理画面でPHPのバージョンを確かめて切り替える作業は、Wixの利用者にはありません。
独自のプログラムを書く機能（Velo）はJavaScriptで動く
Wixには、サイトに独自の動きを付けるためのプログラム機能「Velo（ヴェロ）」があります。「Velo by Wix について」では、Veloのサーバー側の仕組みは「Node.js に基づいた」ものだと説明されています。Node.jsはJavaScriptというPHPとは別の言語を動かす仕組みです。Veloで機能を作り込んでいるサイトでも、書いているのはPHPではありません。
Wixの裏側のサーバーはWixが管理している
Wixのサイトが置かれているサーバーの更新や監視は、利用者ではなくWixが行います。「Wix セキュリティ対策の概要」によると、Wixは24時間365日の監視体制を持ち、公開している仕組みを定期的に自動でスキャンして弱点や設定ミスを確かめています。一方で、Wixの社内のシステムのどこかでPHPが使われているかどうかは、公式には説明されていません。ここは利用者からは確かめようがないので、Wixの発表を待つ部分です。
10月21〜22日のWixの稼働状況
修正版が公開された10月21日の夜から22日の朝にかけて、国内では50を超える組織が予防のためにサービスを止めました。Wixについては、公式のステータスページを見る限り、この期間に止まったり不具合が出たりした記録はありません。
メンテナンスや停止の告知は出ていない
Wixシステムステータスは、10月22日16時00分時点で「All Systems Operational」と表示され、10月21日・22日ともに「No incidents reported」でした。予定されたメンテナンスの掲示もありません。ステータスページには「少数の利用者だけに影響する問題は表示されないことがある」という注記があるので、自分のサイトの表示や編集画面に気になる動きがあれば、自分の目でも確かめます。
10月1日の不具合は別の話
ステータスページの履歴には、2026年10月1日に「Some Users Are Experiencing Issues With Multiple Services（一部の利用者で複数のサービスに問題）」という記録があります。日本時間の14時17分に調査を始め、14時42分に解決済みとなった短い不具合です。原因の説明はなく、不正アクセスや情報漏えいの発表でもありません。今回のPHPの脆弱性とは時期も内容も別のものです。2026年10月22日16時00分時点で、Wixについて10月中の不正アクセスなどの公式発表は見つかりませんでした。
Wixの外にPHPの仕組みがないか確かめる
Wixのサイトの運営者がいちばん確認しておきたいのは、Wixの外に置いているものです。制作の現場では、ホームページ本体はWixでも、フォームや予約、ブログだけ別のサーバーで動かしている例がよくあります。その部分がPHPで動いていれば、今回の脆弱性の対象になりえます。
ステップ1｜HTML埋め込みで表示している外部の仕組みを洗い出す
エディタで各ページを開き、「埋め込みHTML」などで外部のフォーム、予約カレンダー、カート、求人一覧を表示していないかを見ます。埋め込みのコードに、自社や別会社のサーバーのURLが書かれていれば、その仕組みはWixの外で動いています。提供元が決まったサービス会社なら、その会社のお知らせを確認します。自社用に作ってもらったものなら、作った制作会社にPHPを使っているかを聞きます。
ステップ2｜ブログや採用ページを別のサーバーで運営していないか確かめる
「blog.会社名.jp」のように、ブログや採用ページだけWordPressで作って、レンタルサーバーに置いているケースがあります。WordPressはPHPで動くため、こちらは今回の脆弱性の対象です。そのサーバーの管理画面でPHPのバージョンが修正版（8.5.12／8.4.27／8.3.36／8.2.35）以上になっているか確かめ、サーバー会社の告知に沿って対応します。レンタルサーバー側の確認の流れは、まとめ記事やエックスサーバーの管理画面停止の記事も参考にしてください。
ステップ3｜メールやドメインを契約している会社の告知を見る
サイトはWixでも、会社のメールアドレスはレンタルサーバーのメール機能を使っている、という形もよくあります。その場合、メールを契約しているサーバー会社が10月21〜22日にメンテナンスをしていないか、管理画面の停止がないかを、その会社の公式のお知らせで確かめます。Wixの側で何かが起きたわけではなくても、契約しているほかの会社の対応で業務に影響が出ることがあるためです。
ステップ4｜サイトに入れているアプリの提供元を確かめる
Wixのサイトには、Wix以外の会社が作ったアプリ（サードパーティ製アプリ）を追加できます。こうしたアプリの中には、提供元の会社のサーバーで動いているものもあります。サイトのダッシュボードの「アプリを管理」で入っているアプリを一覧にし、使っていないものがあれば整理します。予約や決済など大事なアプリについては、提供元のお知らせを確認しておくと安心です。
| 置いている場所 | PHPとの関係 | 確認先 |
|---|---|---|
| Wixのサイト本体（エディタで作ったページ） | 利用者がPHPを使う仕組みはない | Wixの公式発表（現時点でなし） |
| Veloで書いた独自の機能 | Node.js（JavaScript）で動く | Wixの公式発表 |
| 埋め込みHTMLで表示する外部のフォーム・予約など | 提供元のサーバーしだい | 提供元の会社、または作った制作会社 |
| 別サーバーのWordPress（ブログ・採用ページなど） | PHPで動くので対象 | レンタルサーバー会社の告知と管理画面 |
| サードパーティ製アプリ | 提供元のサーバーしだい | アプリ提供元のお知らせ |
Wixの管理画面で見直しておくこと
PHPの件とは別に、大きな脆弱性のニュースが出たあとは、偽のお知らせメールやログイン情報を狙う動きが増えやすくなります。ここでは、Wixヘルプセンターにあるメニュー名に沿って、アカウントの守りを見直す手順をまとめます。どれも10分ほどでできる作業です。
2段階認証を有効にする
2段階認証は、パスワードに加えて、スマートフォンやメールに届く確認コードでログインを確かめる仕組みです。「Wix アカウントで2段階認証を使用する」によると、Wixアカウントの「アカウント設定」を開き、「2段階認証」の欄で使いたい方法の横にある「有効」をクリックし、画面の案内に沿って進めます。方法は「Wix アプリ」「携帯電話（SMS）」「認証アプリ」「メール」から選べます。Wixの説明でも、2段階認証の設定は利用者側でできる守りとして挙げられています。
「役割・権限」で共同管理者を見直す
スタッフや制作会社をサイトに招待している場合は、誰がどの権限を持っているかを確認します。「役割・権限：概要」のとおり、サイトのダッシュボードで「設定」を開き、「基本設定」の下にある「役割・権限」を選ぶと一覧が出ます。退職した人や、契約が終わった外部の人が残っていれば外します。日々の更新だけをお願いしている人には「管理者（共同所有者）」ではなく、「コンテンツライター」など必要な範囲の役割に絞ると安心です。
使っていないAPIキーを削除する
APIキーは、外部のシステムがWixのデータを読み書きするための合い鍵のようなものです。在庫管理や会員管理を外部と連携していると、作られていることがあります。「Wix API キーを管理する」によると、アカウント設定の「API キー」のページで一覧を確認でき、不要なキーは横の「その他のアクション」から「削除」を選び、メールに届く6桁のコードで本人確認をして削除します。削除したキーは元に戻せず、そのキーを使っている連携は止まるので、何に使っているか分からないキーは、連携を設定した人に確かめてから削除します。
使っていないアプリを整理する
先ほどの「アプリを管理」で、試しに入れたまま使っていないアプリがあれば削除します。「アプリを削除する」の手順では、アプリの横の「その他のアクション」から「削除」を選び、理由を選んで「アプリを削除する」をクリックします。アプリを削除しても、そのアプリの有料プランは自動では解約されない、と書かれているので、有料のアプリは先に解約の手続きをします。
お客様の情報やカード情報について
ネットショップや予約をWixで運営している方にとっては、お客様の情報が気になるところです。2026年10月22日16時00分時点で、Wixからお客様の情報やカード情報に影響が出たという発表はありません。ここでは、Wixが日ごろの取り組みとして公表している内容だけを紹介します。
Wixが公表している、決済まわりの守り
「Wix セキュリティ対策の概要」によると、Wixは「PCI レベル 1 の加盟店およびサービスプロバイダ」です。PCI DSSはカード情報を扱う会社向けの国際的な安全基準で、レベル1はその中で最も厳しい区分です。あわせて、通信はHTTPS（TLS 1.2以上）で守られ、保存されているデータは暗号化されていると説明されています。これは今回の件に限った説明ではなく、日ごろの体制の説明です。
外部の決済サービスをつないでいる場合
Wixのショップには、Wix以外の決済サービスをつなぐこともできます。その場合、カード情報を扱うのは接続している決済サービスの会社です。念のため、その会社のお知らせや管理画面の連絡も確認しておきます。
お客様や社内から聞かれたときの伝え方
ニュースを見たお客様から「御社のサイトは大丈夫ですか」と聞かれることがあるかもしれません。分かっている事実だけを、短く落ち着いて伝えるのが基本です。
伝える内容の例
たとえば次のように伝えられます。「当社のホームページはWixというサービスで運営しています。Wixでは利用者がPHPを使う仕組みがなく、10月21日から22日にかけてWixのサービスが止まったという発表もありません。Wixから新しい発表があれば、あらためてお知らせします。」外部のフォームや予約システムを使っている場合は、その部分の確認が済んでから、確認した結果も添えて伝えます。
言わない方がよいこと
「Wixは絶対に安全です」「影響はまったくありません」と言い切るのは避けます。Wixが公式に「影響なし」と発表したわけではないためです。SNSのうわさやまとめ記事を根拠にするのもやめておきます。あとで状況が変わったときに、訂正が必要になってしまいます。
よくある勘違いと注意点
「PHPを更新してください」というメールのリンクを開く
Wixの利用者がPHPを更新する作業はありません。Wixを名乗って「PHPの脆弱性対応のため、ログインして設定を更新してください」といったメールが届いた場合は、偽物を疑います。ログインは、メールのリンクではなく、ブックマークやWixの公式サイトから行います。
Wixだけ見て、外部の仕組みを見落とす
前半で触れたとおり、気をつけたいのはWixの外に置いている部分です。サイトを作った制作会社が別のサーバーに何かを置いていることもあるので、分からなければ「Wix以外のサーバーで動いているものはありますか」と聞いてみるのが早道です。
Wixに問い合わせる目安
ふだんどおりサイトが表示され、編集もできているなら、急いで問い合わせる必要はありません。次のような場合は、Wixのカスタマーケアに相談します。日本語での受付方法と時間は、ヘルプセンターの「Wix カスタマーケアへのお問い合わせ」で確認できます。
取引先から書面での回答を求められている
取引先のセキュリティ確認などで「利用しているサービスが今回の脆弱性の影響を受けるか」を文書で求められた場合は、Wixに直接問い合わせて回答をもらうのが確実です。この記事の内容は、公式に公表されている情報の整理であり、Wixの回答の代わりにはなりません。
見覚えのないログインや設定の変更がある
知らない共同管理者が増えている、作った覚えのないAPIキーがある、ログインの確認コードが身に覚えなく届く、といった場合は、パスワードを変えて2段階認証を有効にしたうえで、Wixに相談します。何も消さずに、気づいた日時と内容をメモしておくと、やり取りがスムーズです。
よくある質問
Q. WixのサイトはPHPの脆弱性の影響を受けますか？
A. 2026年10月22日16時00分時点で、Wixの公式発表はありません。Wixの公式ヘルプでは、利用者がサイトにPHPのコードを追加することはできないとされているため、利用者がPHPについて作業することはありません。Wix社内のシステムについては公式な説明がないので、発表を待ちます。
Q. Wixは10月21〜22日にメンテナンスで止まりましたか？
A. Wixシステムステータスには、10月21日・22日ともに障害の報告はなく、メンテナンスの掲示もありませんでした（10月22日16時00分時点）。
Q. 自分で何か設定を変える必要はありますか？
A. PHPについての設定はありません。この機会に、2段階認証の有効化、「役割・権限」での共同管理者の見直し、使っていないAPIキーやアプリの整理をしておくと安心です。
Q. お客様のカード情報は大丈夫ですか？
A. 10月22日16時00分時点で、Wixからカード情報やお客様の情報に影響があったという発表はありません。Wixは日ごろの体制として、PCI DSSのレベル1に対応していると公表しています。外部の決済サービスをつないでいる場合は、その会社のお知らせも確認します。
Q. Veloで独自の機能を作っています。関係ありますか？
A. Veloのサーバー側の仕組みはNode.js（JavaScript）をもとにしていると公式ヘルプで説明されていて、PHPではありません。ただし、Veloから外部のサーバーにデータを送っている場合は、送り先のサーバーがPHPで動いていないかを確かめます。
Q. 最新の情報はどこで確認すればよいですか？
A. 稼働状況はWixシステムステータス、手順や仕様はWixヘルプセンターで確認します。脆弱性そのものの情報はPHP公式やIPAが一次情報です。ホームページ作成サービスの選び方そのものを見直したい方は、ホームページ作成サービスの比較記事も参考にしてください。
参考にした公式ページ
- Wixシステムステータス（2026年10月22日16時00分確認）
- Wixシステムステータス「Some Users Are Experiencing Issues With Multiple Services」（2026年10月1日）
- Wixヘルプセンター「リクエスト：Wix で『PHP プログラミング言語』を使用したい」
- Wixヘルプセンター「Velo by Wix について」
- Wixヘルプセンター「Wix セキュリティ対策の概要」
- Wix「Security」ページ
- Wixヘルプセンター「Wix アカウントで2段階認証を使用する」
- Wixヘルプセンター「役割・権限：概要」
- Wixヘルプセンター「Wix API キーを管理する」
- Wixヘルプセンター「アプリを削除する」
- Wixヘルプセンター「Wix カスタマーケアへのお問い合わせ」
- PHP公式 セキュリティアドバイザリ（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
