PHPの重大な脆弱性（2026年10月）
WordPressのホームページで確かめること
2026年10月21日、WordPressを動かしているサーバー側のプログラム「PHP」に、重大な脆弱性（弱いところ）が見つかったと公表されました。ホームページを持っているお店がまず確かめることは、「契約しているサーバー会社のお知らせ」「自分のサイトのPHPのバージョン」「書き換えられていないか」の3つです。そのうえで、WordPressを使い続けるかぎり、こうした対応はこれからも続きます。手入れのいらない作りに切り替えるという選択肢もあわせてまとめました。
※この記事は、2026年10月28日時点で公表されている情報をもとにしています。最新の情報は、記事の最後に載せた公式の発表で確かめてください。
何が起きたのか
PHPの開発元は、2026年10月21日に2件の脆弱性（CVE-2026-109618・CVE-2026-109619）を公表し、修正したバージョン（PHP 8.5.12・8.4.27・8.3.36・8.2.35）を出しました。日本でセキュリティの注意を呼びかけている JPCERT/CC も、注意喚起を出しています。
- 悪用されると、サーバーの中で勝手にプログラムを動かされるおそれがある
- 悪用できると主張するプログラムが多数公開され、悪用を試みる通信の報告も相次いでいる（JPCERT/CC）
- 直すのはサーバーのPHPなので、WordPressを更新しても直らない
自分のサーバーは、誰が直すのか
やることは、サーバーの契約のしかたで変わります。
| サーバーの種類 | PHPを直すのは | お店がやること |
|---|---|---|
| レンタルサーバー | サーバー会社 | 契約しているサーバー会社のお知らせで、対応が済んでいるかを確かめる |
| VPS・自分で管理しているサーバー | 自分（または管理を頼んでいる会社） | 修正したバージョンへ更新する。難しければ、管理を頼んでいる会社に確かめる |
| 制作会社にサーバーごと任せている | 任せている会社 | 対応が済んでいるかを、任せている会社に確かめる |
たとえばエックスサーバーは、レンタルサーバーのPHPについて、8.2〜8.5は修正したバージョンに更新し、5.1〜8.1にはバージョンを変えずに修正を当て、10月26日の朝までに対応を終えたと案内しています。今回の対策としてPHPのバージョンを急いで変える必要はない、とも案内しています。一方で、VPSは利用者が自分で確かめて更新する必要があります。対応のしかたや時期はサーバー会社ごとに違うので、かならず契約先のお知らせを確かめてください。
自分のサイトのPHPのバージョンを確かめる
- WordPressの管理画面で「ツール」→「サイトヘルス」を開く
- 「情報」のタブを開き、「サーバー」の欄を広げる
- 「PHP バージョン」に書かれた数字を見る
サーバーの管理画面でも確かめられます。エックスサーバーなら、サーバーパネルの「PHP Ver.切替」でドメインごとのバージョンが分かります。
今回は直っていても、気をつけたいバージョン
PHPには、開発元が修正を出してくれる期間（サポート期間）があります。
| PHPのバージョン | 開発元のサポート | 気をつけること |
|---|---|---|
| 8.1以前 | 終了（8.1は2025年12月31日まで） | 今後の問題は、サーバー会社が独自に直すかどうかしだい |
| 8.2 | 2026年12月31日まで | あと2か月ほどで、開発元の修正が出なくなる |
| 8.3〜8.5 | 8.3は2027年12月31日まで（8.4・8.5はその先まで） | 修正したバージョンになっているかを確かめる |
今回のように、サーバー会社が古いバージョンにも修正を当ててくれることはありますが、これから先も同じように対応されるとは限りません。古いバージョンを使っている場合は、新しいバージョンへ切り替えることを考えておきましょう。
ただし、PHPを切り替えると、古いプラグインやテーマが合わずに、表示が崩れたり真っ白になったりすることがあります。切り替える前には、バックアップを取っておきます。真っ白になったときの確かめ方は、WordPressのホームページが真っ白で表示されないときににまとめています。
書き換えられていないかも確かめる
JPCERT/CC は、痕跡が見つからなくても攻撃を受けていないとは言い切れない、としています。修正が当たったあとも、次のようなサインがないかを確かめておきましょう。
- 見覚えのないページや記事がある
- スマホや検索結果から開くと、別のサイトへ飛ぶ
- 知らない管理者のユーザーがいる
- サーバー会社から、不正なファイルや迷惑メールの送信の知らせが届いた
くわしい見分け方はWordPressを更新しないとどうなる？の「改ざんのサイン」にまとめています。当てはまるものがあれば、ファイルを消したりする前に、N GUARDのような復旧の専門のサービスに相談してください。
WordPressを使い続けると、必要になる手入れ
今回のようなことは、一度きりではありません。WordPressのホームページは、ふだんから次のような手入れが必要です。
| 手入れするもの | どんなとき | 手入れをしないと |
|---|---|---|
| WordPress本体 | 新しいバージョンが出たとき | 見つかった弱いところが残る |
| プラグイン・テーマ | それぞれに更新が出たとき（数が多いほど回数が増える） | 弱いところが残る。開発が止まったものは、自分で入れ替える必要がある |
| PHP | サポートが終わる前、今回のような公表があったとき | 修正が出なくなる。切り替えるとプラグインが合わないこともある |
| バックアップ | 更新の前と、定期的に | 崩れたときに元に戻せない |
手入れを続けるか、手入れのいらない作りにするか
自分で記事を書きたい、予約やネットショップなどの機能を足していきたい、という場合は、WordPressが合っています。その場合は手入れを続けるか、保守を任せます。一方で、お店の情報を見やすく載せたいだけなら、WordPressでなくてもかまいません。
| くらべること | WordPressを自分で手入れ | WordPressの保守を任せる | ミセノカオで作り直す |
|---|---|---|---|
| 費用 | 0円（自分の時間がかかる） | 保守の会社による（N GUARD なら月額3,000円から） | まとまった制作費はかからず、月々5,000円から。制作・サーバー・ドメイン・公開後の更新まで込み |
| 今回のような公表があったとき | 自分で調べて対応する | 任せている会社が対応する | サーバーの管理もお任せ |
| 更新の手間 | 本体・プラグイン・テーマ・PHPを自分で | 任せられる | WordPressやプラグインを使わないので、更新が必要なソフトがほとんどない |
| 向いているお店 | 自分で手入れができる | 自分で記事を書きたい・機能を増やしたい | 更新は任せたい・安心して置いておきたい |
ミセノカオは、WordPressではなくHTMLで作ります。管理画面やプラグインがないので、更新漏れを狙われる入り口が少ない作りです。今のホームページの作り直しも新しく作るのと同じプランの料金で、今の文章や写真をもとにすることも、今お使いのドメインをそのまま使うこともできます。
この記事で参考にした情報
- PHP 公式の発表（2026年10月21日・23日）
- PHP 公式：サポートしているバージョン
- JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起
- エックスサーバー：PHPの脆弱性に関する安全対策について
よくある質問
レンタルサーバーなら、何もしなくていいですか？
サーバー会社がPHPに修正を当てていれば、今回の件のためにPHPのバージョンを変える必要がない場合もあります（エックスサーバーはそう案内しています）。ただし対応のしかたや時期は会社ごとに違うので、契約しているサーバー会社のお知らせを確かめてください。VPSなど自分で管理しているサーバーは、自分で更新が必要です。
WordPressを更新すれば直りますか？
今回の問題はサーバーのPHPにあるので、WordPressの更新では直りません。ただし、WordPress本体やプラグインの更新は、ふだんから続けておくことが大切です。
WordPressから作り直すとき、今の文章や写真は使えますか？
ミセノカオでは、今のホームページの文章や写真をもとに作り直すことができます。今お使いのドメインもそのまま使えます。料金は新しく作るのと同じプランの料金です。
