PHPに、認証なしでリモートコードを実行される可能性がある2件の重大な脆弱性が見つかり、修正版が公開された。
WordPressそのものの脆弱性ではないが、WordPressサイトもPHP上で動いているため対象になり得る。
まず自分のPHPバージョンとレンタルサーバー会社のお知らせを確認し、必要な更新が適用されているかを見ることが重要だ。
ただし、古いテーマやプラグインを使っている場合はPHP更新で不具合が出る可能性もある。慌ててボタンを押す前に、バックアップと互換性も確認しておきたい。
この記事のポイント
対象： WordPressなどPHPを使用するWebサイト
情報の確度： PHP・WordPress公式発表、報道
公式発表： PHPプロジェクトが重大な脆弱性2件を修正するセキュリティリリースを公開
主な出典： PHP、WordPress.org、9to5Mac
確認日： 2026年10月23日
読者に関係すること： WordPressサイトへの影響、PHPバージョンの確認方法、サイト運営者が今行うべき対策
いま何が起きている？PHP脆弱性でサイト停止
今回問題になっているのは、Web開発で広く使われているプログラミング言語「PHP」で見つかった2件の重大な脆弱性だ。
PHPプロジェクトは2026年10月21日、CVE-2026-109618とCVE-2026-109619を修正するセキュリティアップデートを公開した。
PHPプロジェクトは2026年10月21日、CVE-2026-109618とCVE-2026-109619を修正するセキュリティアップデートを公開した。
いずれも深刻度は高く、PHP公式は、攻撃者が認証なしでリモートコードを実行できる可能性があるとしている。
つまり悪用された場合、外部からサーバー上で不正な処理を実行される恐れがある。
つまり悪用された場合、外部からサーバー上で不正な処理を実行される恐れがある。
PHP公式は「完全な緩和策はなく、更新が唯一の安全な選択肢」と案内している。
9to5Macによると、この問題を受け、修正を適用できていない一部の企業や政府系Webサイトでは、安全確保のため一時的にサイトをオフラインにする対応も行われているという。
つまり今回の「サイトが見られない」は、サーバーが故障したとは限らない。
危険だから、あえて止めている場合もあるのである。
WordPressにも影響する？
ここは誤解しやすい。
今回見つかったのは、WordPressそのものの脆弱性ではない。
WordPress公式も、今回の脆弱性はWordPress固有のものではなく、PHPアプリケーションをホストするすべてのサーバーに影響する、と案内している。
WordPress公式も、今回の脆弱性はWordPress固有のものではなく、PHPアプリケーションをホストするすべてのサーバーに影響する、と案内している。
この問題を修正するためのWordPress本体アップデートも予定されていない。
ではWordPress利用者には関係ないのかというと、そうではない。
WordPressはPHPを使って動いている。
つまり、WordPressに穴が開いたわけではない。
WordPressが乗っている土台のPHPに問題が見つかった。という理解が近い。
家そのものに問題はなくても、基礎に問題があれば無関係ではないのである。
ではWordPress利用者には関係ないのかというと、そうではない。
WordPressはPHPを使って動いている。
つまり、WordPressに穴が開いたわけではない。
WordPressが乗っている土台のPHPに問題が見つかった。という理解が近い。
家そのものに問題はなくても、基礎に問題があれば無関係ではないのである。
WordPressでPHPバージョンを確認する方法
まず、自分のWordPressサイトがどのPHPバージョンで動いているのか確認したい。
WordPressの管理画面から、「ツール」→「サイトヘルス」→「情報」→「サーバー」と進む。
ここにPHPバージョンが表示される。
ここにPHPバージョンが表示される。
WordPress公式も、この方法でPHPバージョンを確認できると案内している。
レンタルサーバーを利用している場合は、XServerやConoHa WINGなど、それぞれのサーバー管理画面でもPHPバージョンを確認できる場合が多い。
まず見る。
ここが第一歩である。
セキュリティ問題では、焦って何かを変更する前に、今どうなっているのかを把握することが案外重要だ。
PHPは何バージョンなら安全？
今回の脆弱性に対応したPHPは、10月21日に公開されている。
主な修正版は次の通りだ。
⚫︎ PHP 8.2.35
⚫︎ PHP 8.3.36
⚫︎ PHP 8.4.27
⚫︎ PHP 8.5.12
⚫︎ PHP 8.3.36
⚫︎ PHP 8.4.27
⚫︎ PHP 8.5.12
PHP公式は各系列の利用者に、これらの修正版へアップデートするよう呼びかけている。
また、WordPress公式によると、PHP 8.2より前のバージョンはPHPプロジェクトからセキュリティ更新が提供されていない。
そのため、「8.1だから今回だけ修正すればいい」とはならない。
古いPHPを使い続けている場合は、この機会にサーバー会社や制作会社へ相談し、新しいサポート対象バージョンへ移行することも考えたい。
なおPHP 8.2も2026年12月31日にサポート終了予定である。
なおPHP 8.2も2026年12月31日にサポート終了予定である。
数字だけ見れば「8.2なら大丈夫」に見える。
だが、カレンダーを見ると、そろそろ次を考える時期なのである。
だが、カレンダーを見ると、そろそろ次を考える時期なのである。
PHPを自分で更新していい？
ここが一番注意したいところだ。
「危険なら、とりあえず最新版にすればいい」とは限らない。
「危険なら、とりあえず最新版にすればいい」とは限らない。
WordPressでは、使用しているテーマやプラグインが新しいPHPに対応していない場合、PHPバージョンを上げることで、
⚫︎ サイトが真っ白になる
⚫︎ 管理画面へ入れなくなる
⚫︎ プラグインが動かなくなる
⚫︎ 一部のページだけエラーになる
⚫︎ 管理画面へ入れなくなる
⚫︎ プラグインが動かなくなる
⚫︎ 一部のページだけエラーになる
といった不具合が発生する可能性がある。
ただし今回は、PHP公式が「更新が唯一の安全な選択肢」としている重大な脆弱性である。
ただし今回は、PHP公式が「更新が唯一の安全な選択肢」としている重大な脆弱性である。
したがって、更新しない方が安全なのではない。
安全に更新する手順を取る必要がある、という話だ。
安全に更新する手順を取る必要がある、という話だ。
レンタルサーバー利用者なら、まずサーバー会社のお知らせを確認したい。
サーバー側ですでにPHPの修正版適用やWAFによる対策を進めている場合もある。
WordPress公式も、ホスティング会社が対応を進めている可能性があるため、案内を確認するよう推奨している。
WordPress公式も、ホスティング会社が対応を進めている可能性があるため、案内を確認するよう推奨している。
自分でPHPバージョンを変更する場合は、最低でも事前バックアップを取ってから行いたい。
レンタルサーバー利用者がやること
レンタルサーバーでWordPressを運営している人なら、まず次の順番で確認すると分かりやすい。
1．サーバー会社の「重要なお知らせ」「障害・メンテナンス情報」を見る
今回のPHP脆弱性について案内が出ていないか確認する。
今回のPHP脆弱性について案内が出ていないか確認する。
2．現在のPHPバージョンを確認する
WordPressの「サイトヘルス」またはサーバー管理画面で確認する。
WordPressの「サイトヘルス」またはサーバー管理画面で確認する。
3．PHPの修正版が適用されているか確認する
8.2系なら8.2.35、8.3系なら8.3.36、8.4系なら8.4.27、8.5系なら8.5.12以降が今回の修正版となる。
8.2系なら8.2.35、8.3系なら8.3.36、8.4系なら8.4.27、8.5系なら8.5.12以降が今回の修正版となる。
4．自分で変更が必要かわからなければ、サーバー会社へ確認する
ここは遠慮するところではない。
ここは遠慮するところではない。
「現在使っているPHPは今回の脆弱性対策済みですか？」と問い合わせればよい。
Webの世界では、分からないまま設定を触るより、分かる人に一度聞く方が早いことも多いのである。
WordPress運営者が今やること
今回の問題を受け、WordPressサイト運営者が確認したいことをまとめる。
⚫︎ PHPバージョンを確認する
「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認。
⚫︎ レンタルサーバー会社のお知らせを見る
今回のPHP脆弱性への対応状況を確認する。
⚫︎ 必要なPHPセキュリティ更新が適用されているか確認する
PHP 8.2.35／8.3.36／8.4.27／8.5.12以降が目安。
⚫︎ バックアップを確認する
PHPやWordPress環境を変更する前に、復元できる状態を作る。
⚫︎ WordPress本体・テーマ・プラグインも最新状態を確認する
今回の脆弱性そのものとは別問題だが、古いソフトウェアを放置しないことは基本的なセキュリティ対策になる。
⚫︎ 見覚えのない管理者ユーザーや不審なファイルがないか確認する
すでに攻撃を受けた疑いがある場合は、自力で削除するだけではなく、サーバー会社やセキュリティに詳しい専門家へ相談した方が安全だ。
特に重要なのは、「WordPressを最新版にしたから大丈夫」ではない、ということ。
今回直すべきなのはPHP側である。
WordPress本体の更新ボタンを何度押しても、PHPは新しくならない。
そこは別の階層の話なのだ。
サイトが突然表示されない場合は？
自分のサイトが突然表示されなくなった場合も、今回のPHP問題とは限らない。
原因としては、
⚫︎ レンタルサーバーの障害
⚫︎ セキュリティ対応による一時停止
⚫︎ PHP更新後の互換性エラー
⚫︎ WordPressプラグインやテーマの不具合
⚫︎ ドメイン・SSLの問題
⚫︎ 攻撃や改ざん
など、さまざまな可能性がある。
まずはレンタルサーバー会社の障害・メンテナンス情報を確認する。
次に管理画面へログインできるか確認する。
ここで、焦ってプラグインを削除したりPHPバージョンを何度も変更したりするのは避けたい。
原因不明のまま設定を次々変更すると、元の問題と自分で作った問題の区別がつかなくなる。
Webサイトが見えない。
焦る。
設定画面を片っ端から触る。
これは人類が何度も繰り返してきた、あまり成功率の高くない手順である。
今回は「WordPressの脆弱性」ではない。でも無関係でもない
今回のPHP脆弱性は、WordPressそのものの問題ではない。
しかしWordPressはPHP上で動いているため、サイト運営者にとって他人事でもない。
しかしWordPressはPHP上で動いているため、サイト運営者にとって他人事でもない。
PHP公式は今回の2件を重大な脆弱性と位置づけ、修正版への更新を強く推奨している。
WordPress公式も、ホスティング会社からの案内を確認し、必要に応じてPHPをできるだけ早く更新するよう呼びかけている。
WordPress公式も、ホスティング会社からの案内を確認し、必要に応じてPHPをできるだけ早く更新するよう呼びかけている。
だから今やるべきことは、難しいセキュリティ技術を理解することではない。
まず、自分のPHPバージョンを確認する。
次に、サーバー会社の対応状況を見る。
そして必要なら、バックアップを取ったうえで、安全に更新する。
まず、自分のPHPバージョンを確認する。
次に、サーバー会社の対応状況を見る。
そして必要なら、バックアップを取ったうえで、安全に更新する。
これでいい。
セキュリティ対策というと大げさに聞こえる。
だが今回に限れば、最初の仕事は「ツール → サイトヘルス」を開くことなのである。
出典
出典：https://www.php.net/archive/2026.php
出典：https://ja.wordpress.org/2026/10/21/critical-php-security-release/
出典：https://9to5mac.com/2026/10/22/whats-going-on-with-the-web-the-php-issue-and-sites-going-offline/
更新履歴
2026年10月23日：初版公開
