2026年10月21日、PHPに深刻な弱点（脆弱性）が見つかったと発表され、直した版が配られました。
PHPは、WordPressで作ったホームページを、サーバーの上で動かしている仕組みです。今回の弱点は、ログインしていない外の人に、サーバーの上で勝手にプログラムを動かされるおそれがあるものです。
すでに悪用も確認されています。ただ、借りているサーバーによっては、サーバー会社がもう直してくれています。ご自身のサイトが当てはまるかの確かめ方と、制作会社や保守の会社への聞き方を書いておきます。
何が起きたのか
PHPを作っている団体は、10月21日に修正した版を出し、すべての利用者にすぐ更新するよう呼びかけました。分かっていることは次のとおりです（2026年10月29日に確認）。
- 名前：CVE-2026-109618とCVE-2026-109619の2件（あわせて「PHP2Shell」と呼ばれています）
- 深刻さ：どちらも10点満点で9.2（いちばん重い「緊急」の区分）
- 起こりうること：ログインなしで、外からサーバーの上のプログラムを動かされる
- 直った版：PHP 8.2.35、8.3.36、8.4.27、8.5.12（これより前の版が対象）
- 悪用：10月26日、アメリカの政府機関（CISA）が「実際に悪用された弱点」の一覧に加えた
日本では、IPA（情報処理推進機構）が10月22日に注意を呼びかけています。10月27日の時点で、国内の被害の事例は把握していない、とされています。
WordPressの更新では直りません
ここがいちばん大事なところです。
今回の弱点は、WordPressやプラグインではなく、その下で動いているPHPそのものにあります。管理画面でWordPress本体やプラグインを最新にしていても、それだけでは直りません。
直すには、サーバーに入っているPHPを入れ替える必要があります。誰がそれをするのかは、どんな形でサーバーを借りているかで変わります。
1. サイトがどこのサーバーで動いているかを確かめる
まず、ホームページを置いているサーバーの会社と、契約の種類を確かめます。サーバー会社からの請求書や契約のメール、制作会社から受け取った資料に書かれていることが多いです。
よくある「レンタルサーバー」なら
エックスサーバーやさくらのレンタルサーバーのように、1台のサーバーを何社かで分けて使う形の契約です。この形なら、PHPの入れ替えはサーバー会社の仕事です。
今回も、多くのサーバー会社が対応を発表しています。たとえばエックスサーバーは、10月26日までに対象のサーバーの対応を終え、利用者がPHPの版を変える必要はないとしています。さくらインターネットも、選べるすべての版で対応を終え、利用者側で急いでやることはないとしています。
ただし、同じ会社でもプランや版によって扱いが違うことがあります。KDDIグループのCPIのように、古いプランの一部を今回の修正の対象外とし、利用者側での対策を求めている例もあります。契約しているサーバー会社のお知らせを、一度開いて確かめておくと安心です。
VPSやクラウド、自社のサーバーなら
サーバーの中身を自分たちで管理する契約です。この場合、サーバー会社はPHPを入れ替えてくれません。エックスサーバーも、VPSは利用者が自分で管理するものなので修正は行っていない、と書いています。
制作会社や保守の会社がサーバーを管理しているなら、その会社が更新を済ませたかを確かめる必要があります。
2. PHPの版を見てみる
WordPressの管理画面に入れるなら、今のPHPの版も見ておきます。
- 管理画面の左のメニューから「ツール」を開き、「サイトヘルス」を選ぶ
- 画面の上にある「情報」のタブを選ぶ
- 「サーバー」の項目を開き、「PHPバージョン」の行を見る
8.2.35、8.3.36、8.4.27、8.5.12か、それより新しい数字なら、直った版です。
それより前の数字でも、すぐに危ないとは限りません。サーバー会社が、版の数字を変えずに修正だけを当てていることがあるためです。さくらインターネットは、8.1以前の版は修正を当てても数字が変わらないと書いています。CPIも、管理画面の表示が古い数字のままのことがあると案内しています。数字だけで決めず、サーバー会社のお知らせとあわせて見るのが確実です。
3. 見覚えのないものが増えていないかを見る
CPIは、対策とあわせて、公開しているフォルダに見覚えのないPHPのファイルがないか、WordPressなどの管理画面に知らない管理者が増えていないかを確かめるよう呼びかけています。
管理画面の「ユーザー」を開き、知らない名前の管理者がいないかを見るのは、ご自身でもできます。
もし見つけても、すぐには消さずに、画面を保存してから制作会社や保守の会社、サーバー会社に相談するのがおすすめです。先に消してしまうと、何が起きたのかを後から追えなくなります。
4. 制作会社・保守の会社に聞くこと
制作会社や保守の会社にお願いしているなら、聞くことは次の3つで足ります。
- サイトはどこのサーバーの、どの契約で動いているか
- 10月に出たPHPの脆弱性（CVE-2026-109618とCVE-2026-109619）の対応は済んでいるか
- 済んでいるなら、いつ、どこが対応したか（サーバー会社か、保守の会社か）
CVEの番号を添えておくと、相手もすぐに何の話か分かります。返事を聞いてから、どうするかを決めても遅くはありません。
PHP 8.2を使っているなら、年末にもう一度
今回は、8.2にも直った版が出ました。ただ、PHP 8.2に修正が配られるのは2026年12月31日までです。来年以降にまた弱点が見つかっても、8.2には直した版が出なくなります。
8.1以前の版には、すでに公式の修正が出ていません。今回は、サーバー会社が独自に修正を当てている例があります。
WordPressの公式サイトは、PHP 8.3以上を勧めています。今回の確認で8.2以前の数字が出てきたら、この機会に版を上げる段取りもあわせて相談しておくと安心です。版を上げると表示が崩れることがあるので、バックアップを取ってから進めます。
やらないほうがいいこと
1つは、WordPressとプラグインを更新したから安心、と考えることです。今回の弱点は、その下のPHPにあります。
もう1つは、慌てて自分でPHPの版を切り替えることです。レンタルサーバーなら、多くの場合サーバー会社がすでに直しています。版を変えると、テーマやプラグインが合わずに画面が崩れることもあります。まずはサーバー会社のお知らせを確かめてからにしましょう。
このサイトでお手伝いできること
どこのサーバーで動いているか分からない、お知らせを読んでも自分の契約が当てはまるか分からない、という段階でも、お問い合わせからお気軽にご相談いただけますと幸いです。
続けて見てほしい場合は、保守を月5,500円（税込）からお受けしています。サーバーの管理やバックアップ、WordPressの更新など、プランの中身はホームページの保守・運用に書いています。古いサーバーごと移したほうが早い場合の費用と流れは、サーバー移行・引っ越しにまとめています。