2026年10月21日（日本時間23時ごろ）、PHPの開発チームから、重大な脆弱性2件を修正した緊急のセキュリティアップデートが公開されました。PHP公式は、すべての利用者に対して直ちに更新するよう強く呼びかけています。
WordPressで作られたホームページは、ほぼすべてPHPの上で動いています。この記事では、専門知識がなくても自社サイトの状況を確認できるよう、「何が起きているのか」「何をすればいいのか」に絞ってまとめました。
この記事の要点
- 何が起きた？ Webサイトを動かすプログラム言語「PHP」に、重大な脆弱性が2件見つかり、修正版が公開されました
- 誰が対象？ WordPressなど、PHPで動くサイトを自社サーバーやレンタルサーバーで運用している方
- 何をする？ PHPを修正版（または8.3以降の最新版）に更新する。サーバー会社の対応を確認し、自社で対応できない場合は制作会社や保守会社へ早めに相談を
何が起きているのか
PHPは、Webサイトの裏側（サーバー側）で動くプログラム言語です。世界のWebサイトの約7割がPHPで作られていると言われており、WordPressもPHPで動いています。
今回見つかったのは、WordPressのプラグインやテーマではなく、このPHP本体の脆弱性です。悪用されると、外部からサーバー上で不正なプログラムを動かされる（リモートコード実行）おそれがある、重大なものとされています。PHP公式は「完全な回避策はなく、更新することが唯一の安全な対策」としています。
公開された修正版
| PHPのバージョン | 修正版 |
|---|---|
| PHP 8.5系 | 8.5.12 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.2系 | 8.2.35 |
| PHP 8.1以前 | 修正版の提供なし（公式サポート終了） |
修正された脆弱性：CVE-2026-109618、CVE-2026-109619
PHP 8.2をお使いの方へ
PHP 8.2は2026年12月31日で公式サポートが終了します。今回8.2.35に更新しても、年内にもう一度切り替えが必要になります。このタイミングでPHP 8.3以降へ切り替えておくと、二度手間を防げます。
修正版が出たあとは「スピード勝負」
PHPは誰でも中身（ソースコード）を見られる仕組みのため、修正版が公開されると「どこに穴があったのか」が、攻撃する側にも同時に知られることになります。つまり、更新しないまま放置しているサイトから狙われていきます。「そのうちやろう」ではなく、できるだけ早く対応することが大切です。
あなたのサイトは対象？
| サイトの運用方法 | 対応 |
|---|---|
| レンタルサーバーや自社サーバーでWordPressを運用している | 対象です。サーバー会社の対応状況を確認し、必要に応じてPHPの更新・切り替えを行ってください |
| 制作会社・保守会社にサイト管理を任せている | 保守契約にPHPの更新が含まれているか、担当者に確認してください |
| ホームページ作成サービスやメール配信サービスなど、クラウドサービスを利用していて、PHPやサーバーを自分で触る権限がない | 基本的にはサービス提供会社が対応します。提供会社からのお知らせを確認しておけば十分です |
「プラグインを入れていないから安全」ではありません
WordPressの脆弱性というと、プラグインやテーマの更新をイメージされる方が多いと思います。しかし今回はその土台にあるPHP本体の問題のため、
- プラグインをほとんど使っていない
- オリジナルテーマで作っている
- WordPress本体は最新にしている
といったサイトでも、PHPが古いままであれば影響を受ける可能性があります。PHPで動いているサイトは、基本的にすべて確認の対象と考えてください。
また、今回の件に限らず、PHPやWordPressを長く更新していないサイトは、過去に見つかった脆弱性も残ったままの状態です。こうしたサイトは攻撃者にとって「入りやすい家」であり、真っ先に狙われます。
放置するとどんな被害が起こりうるか
データの削除・改ざん
サイトのデータを丸ごと消される、ページを書き換えられる、不審な広告やリンクを埋め込まれる、といった被害が考えられます。見た目は普段どおりで、検索から来た人やスマートフォンの閲覧者だけを別のサイトへ飛ばすような、気づきにくい手口もあります。
情報漏えい
お問い合わせフォームの送信内容や会員情報など、データベースに保存されている情報が抜き取られるおそれがあります。「うちには大した情報はない」と思っていても、氏名・メールアドレス・電話番号などは不正に売買される対象になります。
犯罪の「踏み台」にされる
乗っ取られたサーバーが、スパムメールの送信や詐欺ページの設置、他のサイトへの攻撃の中継に使われることがあります。鍵をかけずに放置した空き家が、知らないうちに悪いことの拠点にされてしまうようなものです。
この場合、自社は被害者であるにもかかわらず、攻撃元として調査の対象になったり、管理が不十分だったとして取引先や第三者から責任を問われたりする可能性もあります。サーバー会社から利用停止される、自社ドメインのメールが届きにくくなる、といった二次被害にもつながります。
検索順位・集客への影響
Googleに危険なサイトと判定されると、検索結果やブラウザに警告が表示され、アクセスが大きく落ち込みます。不正なページを大量に作られてインデックスされると、復旧後も順位の回復に時間がかかります。
サイト運営者がやること
1. 自社サイトのPHPバージョンを確認する
WordPressの管理画面から「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」と進むと、使用中のPHPバージョンが確認できます。サーバー会社の管理画面（コントロールパネル）でも確認・変更できることが多いです。表示されたバージョンが、上の表の修正版以上になっているかを確認してください。
2. サーバー会社のお知らせを確認する
レンタルサーバーの場合、PHPの更新はサーバー会社側で行われることがほとんどです。ただし、対応のタイミングや、利用者側での設定変更・バージョン切り替えが必要かどうかは会社によって異なります。ご利用中のサーバー会社のお知らせやメールを必ず確認してください。
3. サポートが終了したPHPを使っている場合は切り替える
PHP 8.1以前はすでに公式サポートが終了しており、今回の修正版は提供されません。該当する場合は、サーバーの管理画面からPHP 8.3以降への切り替えを検討してください。なお、古いテーマやプラグインは新しいPHPで動かないことがあるため、切り替え前にバックアップを取り、表示確認を行うことをおすすめします。
4. あわせてWordPress本体も最新版に
今回の件とは別に、WordPress本体についても10月に更新が出ています。PHPのバージョンを確認するタイミングで、WordPress本体・テーマ・プラグインが最新になっているかも見ておくと効率的です。
5. 自社で対応できない場合は、すぐに専門家へ相談する
社内にサーバーやWordPressに詳しい担当者がいない場合は、無理に自分で作業せず、制作会社・保守会社・サーバー会社へ早めに問い合わせてください。修正版の公開直後は問い合わせが集中することも予想されるため、相談は早いほど安心です。
更新後に確認しておきたいチェックリスト
修正版の公開前に不正アクセスを受けていた場合、PHPを更新しても「裏口」が残っていることがあります。更新後に、次の点を確認しておくと安心です。
- 管理画面の「ユーザー」一覧に、覚えのない管理者アカウントがないか
- 「プラグイン」一覧に、入れた覚えのないものがないか
- サイトを表示したとき、見覚えのない広告やページへの転送がないか（スマートフォンからも確認）
- Googleで「site:自社ドメイン」と検索し、見覚えのないページが表示されないか
- Google Search Consoleに「セキュリティの問題」の通知が来ていないか
ひとつでも気になる点があれば、自己判断で削除などを行う前に、制作会社やサーバー会社へご相談ください。
レンタルサーバー各社の対応状況について
10月22日2時時点で、各社の公式発表や報道から確認できた内容をまとめました。現時点では、「すべてのサーバーでPHPの更新が完了した」と公式に発表している会社は確認できていません。
| サーバー会社 | 確認できた対応（10月22日2時時点） |
|---|---|
| エックスサーバー | 10月21日16時から、予防措置として公式サイト・アカウント管理画面などを一時停止。お客様のサイト表示やメールは稼働を継続。再開は22日未明の見込み |
| さくらインターネット | 10月21日23時から、レンタルサーバー・マネージドサーバーなどでPHPのバージョンアップ作業を実施すると告知 |
| ロリポップ！ | 予防措置として、ユーザー専用ページ・FTP・APIなどを順次停止。安全な運用に支障がある場合は、予告なくサイトを停止・制限する場合があると案内 |
| お名前.com レンタルサーバー | 10月21日19時から22日10時まで緊急メンテナンスを告知（PHPの更新かどうかは明記なし） |
| ConoHa WING | 公式発表を確認中 |
| カゴヤ・ジャパン | 影響を調査中と告知 |
サーバー会社がPHPを自動で切り替える場合があります
今回の対応として、古いPHPの提供を予告なく終了し、新しいバージョンへ切り替えると案内している会社もあります。PHP 8.1以前で動いている古いサイトは、切り替えによって表示崩れやエラーが起きる可能性があるため、サイトが正常に表示されているかもあわせて確認してください。
なお、海外のセキュリティ企業からは、すでに実際の悪用を観測したという報告も出ています。サーバー会社の発表を待つだけでなく、上で紹介した「サイトヘルス」で自社サイトのPHPが修正版（8.5.12／8.4.27／8.3.36／8.2.35）以上になっているかを直接確認するのが確実です。
各社の最新情報は、ご利用中のサーバー会社の公式サイト・管理画面のお知らせ・登録メールアドレス宛ての案内もあわせてご確認ください。この表は、各社の発表があり次第更新します。
確認・更新作業のご相談はXROSS Designへ
「自社サイトのPHPバージョンがわからない」「サーバーの管理画面の操作に自信がない」「更新したら表示が崩れないか心配」といった方は、お気軽にご相談ください。XROSS Designでは、WordPressサイトのPHP・WordPress本体の更新、更新後の表示確認、不正アクセスの痕跡チェックまで対応しています。
他社で制作されたサイトについてもご相談いただけます。