PHPに重大な脆弱性「PHP2Shell」　ホームページの改修費は経費？資産？

PHPの重大な脆弱性に修正版が緊急公開

PHP（Hypertext Preprocessor、ピー・エイチ・ピー）は、Webサイトを動かすためのプログラミング言語です。中小企業のホームページで広く使われているWordPressも、PHPの上で動いています。

2026年10月21日、そのPHPに見つかった2件の重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」への修正版が公開されました。この2件は「PHP2Shell」と呼ばれています。

深刻度はいずれもCVSS v4.0で10点満点中9.2。認証を受けていない外部の第三者に、サーバー上でプログラムを実行されるおそれがあります。

PHP公式は、Webからのリクエストを処理する幅広いPHP環境を対象として、速やかな更新を呼びかけています。特に、Apacheの「mod_php」を使う環境ではリスクが高いとされています。

当初は10月22日の公表が予定されていましたが、事前の情報漏えいを受け、21日に前倒しで公開されました。攻撃の試みも報告されており、早急な確認が必要です。

使用しているPHP	対応の目安
8.5	8.5.12以降の修正版へ更新
8.4	8.4.27以降の修正版へ更新
8.3	8.3.36以降の修正版へ更新
8.2	8.2.35以降の修正版へ更新。ただし、公式のセキュリティサポートは2026年12月31日まで
8.1以前	通常の公式サポートは終了。提供元の修正状況を確認し、サポート中のバージョンへの移行を検討

※上記は2026年10月23日時点の情報です。OSの配布元やサーバー事業者が修正を取り込んでいる場合、表示上のバージョン番号が古くても対策済みのことがあります。

注意したいのは、WordPressを更新するだけでは、この問題は解決しない点です。今回の問題はWordPressの土台であるPHPにあるため、サーバー側での対応が必要になります。

レンタルサーバーを利用している場合は、自己判断で設定を変更する前に、サーバー会社の公式案内を確認しましょう。

参考：PHP公式のセキュリティ情報／The Hacker Newsの報道

古いPHPのサイトは移行・改修の検討が必要

PHP 8.1以前は通常の公式サポートが終了しています。

ただし、古いバージョンでも、OSの配布元や長期サポート事業者が修正を提供している場合があります。また、今回の問題では、PHPセキュリティチームがPHP 7.4・8.0・8.1向けの最小限のソース修正も公開しています。

そのため、「古いバージョンだから今回の対策が一切できない」というわけではありません。まずは、サーバー会社や管理会社に修正の適用状況を確認することが大切です。

一方で、**今回の対策ができていても、古いPHPを使い続けてよいとは限りません。**今後も安全に運用するため、サポート中のバージョンへの移行を進めましょう。

PHP 8.2も2026年末で公式サポートが終了するため、これから移行する場合は、テーマやプラグインとの互換性、残りのサポート期間を踏まえて、8.3以降から適切なバージョンを選ぶ必要があります。

PHPを新しくすると、古いテーマやプラグインが動かなくなることがあります。移行前の動作確認に加え、必要に応じてプログラムの修正やテーマ・プラグインの交換、サイトの再構築を検討します。

対応を先送りすると、次のようなリスクがあります。

• 改ざん・情報漏えい：サーバーへの不正侵入などにより、サイトの改ざんや個人情報の流出につながるおそれがあります。

• 表示や機能の不具合：サーバー会社による古いPHPの提供終了や環境変更によって、サイトが正常に動かなくなる場合があります。

• 緊急対応の負担：トラブル発生後は、原因調査や復旧、関係者への連絡など、通常の更新以上の負担が生じることがあります。

ホームページは会社の「顔」であり、営業や問い合わせの窓口でもあります。更新費用は、事業と信用を守るための支出として考えたいところです。

参考：PHP公式「Supported Versions」

税務①：PHPの更新費用は「修繕費」か「資本的支出」か

ここからは、法人が費用を負担する場合の税務上の取扱いを見ていきます。

ソフトウエアを修正した費用は、作業の実態によって扱いが分かれます。

法人税基本通達7－8－6の2では、機能上の障害の除去や現状の効用の維持に当たる修正は修繕費、新たな機能の追加や機能向上に当たる修正は資本的支出とされています。

作業の内容	税務上の考え方
PHPの修正版適用やバージョン移行に伴う、従来の機能を維持するための動作確認・最小限の修正	原則として修繕費等として費用処理
既存プログラムの不具合や表示崩れの解消	現状の効用の維持等に当たる場合は修繕費
予約・会員管理・決済などの新機能の追加	原則として資本的支出、または新たなソフトウエアの取得
サイト全体の作り直しや大幅な仕様変更	単なる修繕とは限らず、制作内容に応じて判断

国税庁の質疑応答でも、外部環境の変化に対応し、従来と同じ機能を保つための最小限のプログラム修正は、修繕費に当たるとされています。

これは周波数移行に伴うPOSレジシステムの事例であり、今回のPHP対応について直接判断したものではありません。ただし、同じ通達の考え方に照らせば、従来のサイト機能を維持するための必要最小限の対応は、修繕費等として費用処理できると考えられます。

なお、サーバー会社への作業委託料や保守サービスの料金など、契約内容によっては「支払手数料」「保守料」等で処理する場合もあります。勘定科目の名称だけでなく、支出の実態を確認することが大切です。

制作会社には、次のように作業内容と金額を分けてもらいましょう。

• PHPの更新・動作確認

• 互換性を保つための修正

• 新機能の追加

• デザインやページ構成の変更

見積書の記載だけで税務上の扱いが決まるわけではありませんが、実際の作業内容を説明する重要な資料になります。

参考：国税庁「資本的支出と修繕費」／国税庁「周波数移行に伴うソフトウェア修正費用の取扱い」

税務②：作り直す場合は「広告宣伝費」か「ソフトウエア」か

古いPHPへの対応をきっかけに、ホームページを作り直すケースもあります。その場合は、広告宣伝のための制作部分と、システム構築のためのプログラム制作部分を確認します。

制作の内容	一般的な考え方
会社案内・事業紹介などの広告宣伝が中心で、頻繁な更新を前提とし、制作費の効果が1年以上に及ばないもの	原則として広告宣伝費
ネットショップ、予約・会員管理などのシステムを構築するためのプログラム制作費	原則としてソフトウエアとして資産計上
広告宣伝部分とシステム構築部分が混在するもの	作業内容や金額を合理的に区分して判断

**予約機能や検索機能があるという理由だけで、サイト全体の制作費が必ずソフトウエアになるわけではありません。**どのようなプログラムを制作し、どの部分に費用がかかっているかを確認する必要があります。

広告宣伝部分とプログラム部分が一式で請求されている場合も、見積書や作業明細、制作会社への確認などにより、合理的に区分できないか検討します。合理的な区分ができない場合には、全体をソフトウエアとして処理する必要が生じることがあります。

また、会社案内が中心でも、内容を更新せず長期間使い続ける場合などは、全額を当期の広告宣伝費にできるとは限りません。

ソフトウエアとして資産計上する場合、通常の自社利用ソフトウエアの法定耐用年数は5年です。

広告宣伝費として処理する場合も、単純に支払った時点で経費になるわけではなく、原則として制作・納品等が完了し、債務が確定した事業年度に計上します。

参考：国税庁 No.5461「ソフトウエアの取得価額と耐用年数」

税務③：新たなソフトウエアは「40万円未満の特例」を使えることも

新たに取得・製作したソフトウエアについては、中小企業者等の「少額減価償却資産の特例」を適用できる場合があります。

令和8年度税制改正により、2026年4月1日以後に取得等をした資産は、取得価額40万円未満まで対象が広がりました。

主な要件は次のとおりです。

項目	主な要件・内容
対象法人	青色申告を行う一定の中小企業者等。原則として資本金1億円以下、常時使用する従業員400人以下などの要件あり
取得価額	1資産当たり40万円未満
年間限度額	事業年度当たり合計300万円。1年未満の事業年度は月数に応じて調整
適用期限	2029年3月31日までに取得等をし、事業の用に供すること
手続き	事業供用年度での損金経理、確定申告書への明細書添付など

大企業による出資関係などによって対象外になる場合もあるため、資本金と従業員数だけで判断しないようにしましょう。

既存ソフトウエアの改良は、原則として対象外

ここで注意したいのが、資本的支出との関係です。

既存ソフトウエアの改良・機能強化に当たる資本的支出は、40万円未満であっても、原則としてこの特例の対象になりません。

例外として、機能的独立性の高い新機能を追加するなど、実質的に新たな資産を取得したと認められる場合には、適用できることがあります。

たとえば、新たに取得・製作した予約管理ソフトウエアの取得価額が35万円であれば、他の要件も満たすことで、事業に使用し始めた年度に全額を損金算入できる可能性があります。

一方、既存システムの予約機能を35万円で改良した場合は、金額だけで適用を判断できません。

なお、取得価額には導入に必要な設定費用等も含まれます。税抜経理・税込経理の違いも金額判定に影響します。また、一つのソフトウエアを請求書上だけ分割しても、別々の資産になるわけではありません。

クラウドサービスの月額利用料は、通常、資産の取得ではなくサービス利用の対価なので、この特例による処理ではなく、契約内容に応じて費用計上します。

参考：国税庁 No.5408「中小企業者等の少額減価償却資産の取得価額の損金算入の特例」／国税庁「少額減価償却資産の取得等とされない資本的支出」

いますぐ確認したい4つのこと

1．PHPのバージョンと対策状況を確認する

PHPのバージョンは、レンタルサーバーの管理画面やWordPressの「サイトヘルス」などで確認できます。

ただし、表示上のバージョン番号だけでは、対策済みか判断できない場合があります。サーバー会社や管理会社に、今回の2件のCVEへの対応状況を確認しましょう。

必要なプロセスの再起動なども含め、修正の適用が完了しているか確認することが大切です。

2．見積もりで作業内容と金額を分けてもらう

「PHP更新・動作確認」「互換性維持のための修正」「機能追加」「サイト再構築」を区分してもらいましょう。

その区分は、費用処理と資産計上を判断する資料になります。ただし、緊急のセキュリティ対応を税務判断のために遅らせることは避けてください。

3．費用を計上する年度を確認する

修繕費は、原則として作業が完了し、債務が確定した事業年度に計上します。

少額減価償却資産の特例は、事業の用に供した事業年度に適用します。購入や支払だけを決算までに済ませても、それだけで当期の経費にできるわけではありません。

4．見積書・請求書・作業報告書を保管する

何のために、どのような作業を行ったのかを説明できる書類を残しましょう。

特に、従来の機能を維持するための修正なのか、新たな機能を追加したのかが分かる資料は、税務上の判断に役立ちます。

まとめ

今回のPHP2Shellへの対応では、まずサーバー会社や制作会社に対策状況を確認し、必要な更新を速やかに進めることが大切です。

費用の税務処理は、従来の機能を維持するための対応なのか、新たな機能の追加やサイトの再構築なのかによって変わります。また、40万円未満の少額資産の特例も、既存ソフトウエアへの資本的支出にそのまま使える制度ではありません。

実際の作業内容を確認し、見積書や作業報告書で説明できるようにしておくことが、適切な税務処理につながります。

西盛税理士事務所では、ホームページ改修やソフトウエア導入にかかる費用の処理についてもご相談を承っています。改修の見積書を受け取った際は、お問い合わせフォームからお気軽にご相談ください。

※本記事は2026年10月23日時点の情報に基づき、主に法人税の取扱いを説明しています。個別の税務処理は、契約内容、作業の実態、適用要件等により異なります。