PHPの脆弱性（2026年10月）WordPressで確かめること・しなくていいこと

こんにちは、株式会社ソライルの波多野です。

10月21日に、PHPの重大な脆弱性（セキュリティ上の弱点）が公表されました。
保守をお任せいただいているお客様からも、「うちのサイトは大丈夫ですか」というお問い合わせをいただいています。

先に結論を書きます。
WordPressのサイトをお持ちの方がまずすることは、サイトのPHPの版を見ることと、ご契約のサーバー会社のお知らせを読むことの2つです。
あわせて、念のため管理者の一覧も見ておいてください。
共用のレンタルサーバーでは、PHPを直すのはサーバー会社の仕事で、サイトの持ち主がプログラムに手を入れる話ではありません。

この記事では、発表された内容、管理画面での確かめ方、慌ててしなくていいことをまとめます。

何が発表されたのか

PHPは、WordPressを動かしているサーバー側のプログラムです。WordPressのサイトは、どれもPHPの上で動いています。

日本時間の10月21日夜、PHPの開発チームが2件の脆弱性と、直した版を公表しました。

• 内容：ログインしていない第三者が、外からサーバー上でプログラムを動かせるおそれがある
• 対象：Webサイトを表示するために動いているPHP全般（サーバーの設定の種類による限定はなし）
• 直した版：8.5.12、8.4.27、8.3.36、8.2.35
• 深刻度：10点満点で9.2点（PHPの開発チームによる評価）

開発チームは、すべての利用者にすぐ更新するよう呼びかけています。
識別番号は、CVE-2026-109618とCVE-2026-109619です。

今回の問題はPHPそのものにあり、WordPressの版とは関係がありません。
WordPressを最新にしても、PHPが古いままなら直りません。反対に、サーバーのPHPが直った版になれば、WordPressの側で何もしなくても解消します。

まず確かめること

サイトのPHPの版を見る

WordPressの管理画面にログインし、左のメニューの「ツール」→「サイトヘルス」を開きます。
画面の上の「情報」タブを押し、「サーバー」の欄を開くと、「PHP バージョン」が表示されます。

見方は次のとおりです。

• 8.5.12以上、8.4.27以上、8.3.36以上、8.2.35以上のどれかなら、直った版です
• 同じ8.3でも、8.3.33のように末尾の数字が小さいときは、まだ直る前の版です
• 8.1、8.0、7.4などと出たときは、版の番号だけでは判断できません（「PHPが8.1以前だったとき」の見出しで書きます）

保守でお預かりしているサイトでも、10月上旬には8.3.33だったものが、22日には8.3.36に変わっていました。サーバー会社の側で更新されたためです。

ご契約のサーバー会社のお知らせを読む

共用のレンタルサーバーでは、PHPの更新はサーバー会社が行います。
ご契約のサーバー会社の公式サイトで、今回の件のお知らせを読んでください。進み具合も、利用者にお願いすることも、サーバー会社によって違います。

例として、エックスサーバーは公式サイトで次のように案内しています（10月22日6時45分時点）。

• 10月21日16時から、公式サイト・管理画面・Webメールなどを予防的に止めている。不正アクセスがあったためではない
• サイトの表示や、メールソフトでの送受信は通常どおり
• PHP 8.2〜8.5は、対象のすべてのサーバーに修正を当て終えた
• それより古い版は、一部で準備が整い、確認が済んだものから順に修正を当てている。残りの版も対応中
• 管理画面の再開後、利用状況によっては利用者にも追加の対策をお願いする場合があり、そのときは改めて案内する

エックスサーバーでPHP 8.2以降を使っているサイトなら、サーバー会社の側で修正は済んでいます。サイトヘルスで、8.3.36のような直った版の番号が出ているかを見ておけば十分です。

管理者に見覚えのない人がいないか見る

念のため、管理画面の「ユーザー」→「ユーザー一覧」を開き、上にある「管理者」の絞り込みを押してください。
並んでいるのが見覚えのある人だけなら、確認は終わりです。

知らない名前やメールアドレスの管理者がいたときは、消す前に、制作会社や保守の担当者に相談してください。消してしまうと、どこから入られたのかを調べる手がかりもなくなるからです。

PHPが8.1以前だったとき

PHP 8.1以前の版は、開発チームのサポートがすでに終わっていて、今回も公式の修正版は出ていません。
開発チームは、PHPを自分で組み立てる人向けに、7.4・8.0・8.1用の最小限の修正だけを公開しています。サーバー会社が独自に修正を当てる場合もあり、エックスサーバーも、古い版に順に修正を当てていると案内しています。

ただ、8.1以前には公式の「直った版の番号」がありません。サイトヘルスの番号を見ても、修正済みかどうかは分からないのです。

確実なのは、PHPを8.3以上に切り替えることです。WordPressの公式も、PHP 8.3以上を勧めています。
8.2も2026年12月31日でセキュリティ修正が終わるため、8.2のサイトも、年内に8.3以上へ上げる相談を始めておくとよいと思います。

切り替えは、多くのレンタルサーバーで管理画面から選ぶだけでできます。
ただし、古いテーマやプラグインが新しいPHPで動かず、画面が真っ白になったり、表示が崩れたりすることがあります。保守でお預かりしているサイトにも、テーマの古い書き方を直してからでないと切り替えられないものがありました。

切り替える前にバックアップを取り、切り替えたあとはトップページ、お問い合わせフォーム、管理画面を開いて確かめてください。
サーバー会社の管理画面が止まっている間は、切り替えもできません。再開を待ってから進めれば大丈夫です。

しなくていいこと

セキュリティのプラグインを慌てて入れる

今回の問題は、サーバーのPHPにあります。
PHPの発表では、WordPressのようなプログラムが動き出す前の段階で、攻撃が始まる例も示されています。WordPressの中に入れるプラグインでは、その段階は守れません。
今回のために、新しくプラグインを入れる必要はありません。

WordPressやプラグインを、急いで一度に更新する

WordPressとプラグインの更新は大切ですが、今回の問題とは別の話です。
いつもどおり、バックアップを取ってから更新し、表示を確かめる順番で進めれば十分です。急いで一度に更新すると、表示が崩れたときに原因が分かりにくくなります。

PHPの設定を自分で書き換える

PHPの発表には、すぐに更新できない場合に被害を減らす設定も載っています。
ただ、サーバーの管理者向けの内容で、開発チーム自身が「これで安全になるわけではない」と書いています。利用者が置ける設定ファイル（.user.ini）での設定は当てにしないように、とも書かれています。
共用のレンタルサーバーなら、サーバー会社が行う作業です。

メールのリンクから管理画面に入る

「緊急の対応が必要です」といったメールが届いても、メールのリンクからはログインしないでください。サーバー会社のお知らせは、ブックマークや検索から公式サイトを開いて読みます。
管理画面を止めているサーバー会社の名前で「ログインしてください」と促すメールが来たときは、なおさら公式サイトで確かめてください。

自分で確かめるのが難しいときは

保守でお預かりしているサイトでは、10月22日から順に、次のことを確かめています。

• サイトヘルスで、PHPが直った版になっているか
• 管理者などのユーザーが、前の月の記録から増えていないか
• トップページに、見覚えのない外部のプログラムが読み込まれていないか
• 表示と管理画面が、普段どおりか

PHP 8.3で動いているサイトは、サーバー会社の側で直った版になっていました。8.1以前で動いているサイトは、8.3へ切り替える準備を進めています。

「PHPの版の見方が分からない」「8.1と出たけれど、どうすればいいか分からない」という段階で構いません。
「こんなサイトなのですが、見てもらえますか」くらいの気持ちで、お問い合わせからご相談ください。初回のご相談は無料で、全国オンラインで対応しています。

PHPの版の確認から切り替えまでをお任せいただく場合のご案内は「PHPの脆弱性への対応」のページに、保守サービスの内容は「ホームページ保守」のページにまとめています。
WordPress本体とプラグインの今月の更新は「【2026年10月】WordPressの脆弱性とアップデートのまとめ」でご案内しています。

よくある質問

Q. WordPressを最新にすれば、今回の脆弱性は直りますか？

A. 直りません。
今回の問題は、サーバーのPHPにあります。PHPが直った版（8.5.12、8.4.27、8.3.36、8.2.35）になれば、WordPressの側で何もしなくても解消します。

Q. PHPの版が8.1と出ています。どうすればよいですか？

A. 8.1以前には公式の修正版がなく、番号では修正済みかどうか分かりません。
ご契約のサーバー会社のお知らせを読んだうえで、8.3以上への切り替えを考えてください。切り替える前にバックアップを取り、切り替えたあとに表示とお問い合わせフォームを確かめます。

Q. 今回のために、セキュリティのプラグインを入れたほうがよいですか？

A. 入れる必要はありません。
PHPの発表では、WordPressが動き出す前の段階で攻撃が始まる例も示されていて、WordPressの中に入れるプラグインでは防げません。サーバーのPHPを直った版にすることが対策になります。