2026年10月21日、プログラミング言語「PHP」に、深刻度の高い2件の脆弱性が発見され、修正版が公開されました。
今回の脆弱性は、条件によっては外部から不正なプログラムを実行される可能性がある、非常に危険なものです。
WordPressを利用しているホームページも影響を受ける可能性があり、WordPress公式サイトからも注意喚起が行われています。
「WordPressを最新にしているから大丈夫」
「セキュリティ対策のプラグインを入れているから安心」
そう思っている方もいるかもしれません。
しかし、今回の問題はWordPress本体ではなく、その土台となるPHPに存在する脆弱性です。
この記事では、今回の脆弱性の概要と、WordPress利用者が確認しておきたいポイントをわかりやすく解説します。
※2026年10月22日時点の情報です。
1. PHPに重大な脆弱性が発見
2026年10月21日、PHPの開発チームは、2件の重大なセキュリティ上の問題を修正したことを発表しました。
今回報告された脆弱性は以下の2件です。
- CVE-2026-109618
- CVE-2026-109619
深刻度を示すCVSS v4.0の評価は、いずれも9.2（10点満点）です。
特に問題となっているのが、認証されていない第三者によって、遠隔から不正なコードを実行される可能性があることです。
これは「リモートコード実行（RCE）」と呼ばれるもので、悪用された場合、サーバー上で不正な処理を実行されるおそれがあります。
ただし、PHPを使用しているすべてのサイトが、必ず同じ条件で攻撃を受けるわけではありません。
実際の影響は、PHPのバージョンやサーバー環境などによって異なります。
2. そもそもPHPとは？
PHPとは、Webサイトを動かすために使用されるプログラミング言語の一つです。
WordPressもPHPを利用して動いています。
例えば、ホームページにアクセスした際に、記事やページの内容を表示したり、問い合わせフォームの処理を行ったりするために使われています。
イメージとしては、次のような関係です。
- WordPress： ホームページを管理する仕組み
- PHP： WordPressを動かすためのプログラム
- サーバー： ホームページのデータやプログラムを動かす場所
つまり、WordPress本体を最新の状態にしていても、PHPに脆弱性が残っていれば、セキュリティ上の問題が発生する可能性があります。
今回の脆弱性はWordPressだけの問題ではなく、PHPを利用するさまざまなWebサイトに関係しています。
3. どのPHPバージョンが対象？
今回の問題に対応するため、PHP公式から修正版が公開されています。
| PHPの系統 | 修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
これらの修正版より古いバージョンには、今回の脆弱性が残っている可能性があります。
また、PHP 8.1以前のバージョンは、PHP公式のセキュリティサポートが終了しています。
そのため、PHP 8.1以前を利用している場合は、対応するサポート対象バージョンへの移行を検討する必要があります。
なお、レンタルサーバーによっては、独自に修正パッチを適用している場合があります。
表示されているPHPのバージョン番号だけで判断せず、利用しているサーバー会社の案内も確認しましょう。
4. WordPress利用者が今すぐ確認したいこと
① PHPのバージョンを確認する
WordPressの管理画面から、現在利用しているPHPのバージョンを確認できます。
確認方法は以下のとおりです。
- WordPressの管理画面にログイン
- 「ツール」をクリック
- 「サイトヘルス」を選択
- 「情報」タブを開く
- 「サーバー」を開く
- 「PHPバージョン」を確認
また、エックスサーバーやロリポップなどのレンタルサーバーでは、サーバーの管理画面からも確認できる場合があります。
② レンタルサーバーの対応状況を確認する
今回の脆弱性はPHP自体の問題であるため、レンタルサーバー側の対応も重要です。
サーバー会社によっては、セキュリティパッチの適用や、PHPの更新を順次進めている場合があります。
まずは利用しているサーバー会社の公式サイトやお知らせを確認しましょう。
なお、サーバー会社による対策が行われていても、必ずしもすべての環境で対応が完了しているとは限りません。
今回のPHPの脆弱性を受け、各レンタルサーバーの管理画面でアクセスしづらい状況が見られています。
現在、一部のサーバーではページの表示に時間がかかったり、正常に開けなかったりする状況です。
PHPの確認・更新を行う際は、各サーバー会社の公式情報を確認し、慎重に対応しましょう。
③ バックアップを取得する
PHPのバージョンを変更する前には、必ずバックアップを取得しておきましょう。
PHPを更新すると、古いテーマやプラグインが正常に動作しなくなる可能性があります。
万が一に備えて、データベースやWordPressのファイルを復元できる状態にしておくことが重要です。
④ PHPを更新する
修正版が利用できる場合は、速やかに更新を進めましょう。
ただし、PHPのバージョン変更によってホームページに不具合が発生する可能性もあります。
更新後は、ページの表示だけでなく、問い合わせフォームや予約機能なども正常に動作しているか確認してください。
また、サーバー会社がPHP自体に修正パッチを適用している場合は、案内に従って対応しましょう。
重要なのは、単にバージョン番号を変更することではなく、今回の脆弱性への対策が適用された環境にすることです。
5. PHPを更新できない場合はどうする？
古いWordPressテーマやプラグインを使用している場合、PHPのバージョンを変更するとサイトが正常に動かなくなることがあります。
そのため、すぐに更新できないケースも考えられます。
しかし、脆弱性がある状態のまま放置することはおすすめできません。
まずはサーバー会社に対応状況を確認し、必要に応じて制作会社や保守担当者に相談しましょう。
状況によっては、一時的なアクセス制限やサイトの公開停止なども検討する必要があります。
ただし、こうした対策だけで今回の脆弱性を完全に解消できるわけではありません。
最終的には、修正済みのPHP環境へ移行することが重要です。
6. 今回の件から考えるホームページ運用保守の重要性
今回の脆弱性で改めて感じるのは、ホームページのセキュリティ対策は、WordPressの更新だけでは完結しないということです。
WordPressのサイトには、さまざまな仕組みが関係しています。
- WordPress本体
- テーマ
- プラグイン
- PHP
- レンタルサーバー
- データベース
これらのどこかに問題が発生すると、ホームページ全体に影響する可能性があります。
また、今回のように緊急性の高い脆弱性が発見された場合、サーバー会社の対応状況を確認したり、更新の準備を進めたりする必要があります。
普段は問題なく表示されているホームページでも、見えない部分でセキュリティ上のリスクを抱えていることがあります。
だからこそ、ホームページは制作して終わりではなく、公開後の継続的な管理が重要です。
セキュリティリスクをゼロにすることはできない
もちろん、日頃から適切に管理していても、すべてのセキュリティリスクを防げるわけではありません。
今回のように、新たな脆弱性が発見されることもあります。
大切なのは、最新の情報を把握し、必要な対策を速やかに行える体制を整えておくことです。
7. まとめ｜WordPressだけでなくPHPの管理も忘れずに
2026年10月21日、PHPに2件の重大な脆弱性が報告され、修正版が公開されました。
今回の問題はWordPress本体の脆弱性ではありませんが、WordPressを利用しているホームページにも影響する可能性があります。
WordPress利用者は、まず次の点を確認しましょう。
- 現在のPHPバージョン
- レンタルサーバーの対応状況
- バックアップの有無
- PHP更新後の動作確認
特に、長期間ホームページの更新や管理を行っていない場合は、この機会に運用状況を見直してみてはいかがでしょうか。
ホームページは、作ることだけでなく、安全に使い続けるための管理も大切です。
WordPressの更新・運用保守でお困りの方へ
「PHPのバージョンを確認したいけど、方法がわからない」
「古いWordPressを使っていて、更新するのが不安」
「ホームページのセキュリティ管理を任せたい」
そんな方は、お気軽にご相談ください。
G-worksでは、WordPressの更新やバックアップ、運用保守など、ホームページ公開後のサポートを行っています。
