PHPの重大な脆弱性（2026年10月）｜WordPressのサイトを持つ会社が、いま確かめること
2026年10月21日、PHPに深刻度9.2の脆弱性2件の修正版が公開されました。首相もSNSで対応を呼びかけた今回の件について、何が起きたのか、自社のサイトが対象かどうかの見分け方、レンタルサーバーで確かめる手順を、専門用語をできるだけ使わずに整理します。
2026年10月21日の夜、ホームページなどに広く使われているプログラミング言語「PHP」に、重大な脆弱性が2件見つかったという発表がありました。
首相がSNSで「今夜のうちに対応の準備を」と呼びかけたこともあり、ニュースでご覧になった方も多いと思います。
この記事では、ホームページを持つ会社の方に向けて、次の3つを整理します。
- 何が起きたのか
- 自社のサイトが対象かどうかの見分け方
- レンタルサーバーを使っている場合に、確かめること
※2026年10月22日時点の情報です。状況は変わる可能性があるため、最新の情報は文末の公式発表をご確認ください。
何が起きたのか
PHPの開発チームが、深刻度の高い脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを、日本時間の10月21日23時に公開しました。
深刻度は、国際的な指標で10段階中の 9.2。最も高い区分です。悪用されると、外部からサーバー上で勝手にプログラムを動かされるおそれがあります。
今回、特に注意が呼びかけられている理由は2つあります。
- 修正版が出る前に、技術的な情報の一部が漏れていたこと
- PHPが、世界のWebサイトの多くで使われていること
IPA（情報処理推進機構）は、発表の時点では悪用された攻撃は確認していないとしたうえで、修正版をすぐに当てられるよう準備を求めています。
修正されたバージョン
| 系統 | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 以降 |
| PHP 8.4 | 8.4.27 以降 |
| PHP 8.3 | 8.3.36 以降 |
| PHP 8.2 | 8.2.35 以降 |
注意が必要なのは、表にない古いバージョンです。
- PHP 8.1以前は、正式な修正の対象外です。7.4・8.0・8.1向けに最低限の修正は公開されていますが、使えるかどうかはサーバーや製品によります。
- PHP 8.2も、2026年12月31日でサポートが終わります。 今回は修正されていますが、次はありません。
自社のサイトが対象かどうか
まず、自社のサイトがPHPを使っているかを確かめます。
WordPressで作ったサイトは、PHPを使っています。 会社のホームページやブログ、採用サイトでWordPressを使っている例はとても多いので、ここに当てはまる会社が大半だと思います。
わからない場合は、制作会社か管理担当者に、次の2つだけ聞いてください。
- うちのサイトは、PHPを使っていますか
- 使っているなら、バージョンはいくつですか
この2つがわかれば、次に何をするかが決まります。
反対に、PHPを使わない作り方のサイトもあります。あらかじめ用意したページをそのまま配る「静的サイト」と呼ばれる作り方で、この場合は今回の脆弱性の影響を受けません。
レンタルサーバーで確かめること
多くの会社は、レンタルサーバー（共用サーバー）でサイトを公開しています。この場合、PHP本体を直すのはサーバー会社です。
ただし、安心しきるのは早いです。どのバージョンのPHPを使うかは、利用者が管理画面で選んでいることが多いからです。古いバージョンを選んだままにしていると、修正が届かないことがあります。
確かめる順番は次のとおりです。
1. サーバー会社のお知らせを読む
主要なレンタルサーバー各社は、今回の件でお知らせや緊急メンテナンスを出しています。自社が契約しているサーバー会社の公式サイトで、利用者側に操作が必要かどうかを確認してください。
2. 管理画面でPHPのバージョンを見る
サーバーの管理画面には、たいてい「PHPのバージョン」を選ぶ項目があります。
- 8.2以上なら、サーバー会社の修正が済めば対応完了です。
- 8.1以下なら、切り替えを検討してください。おすすめは 8.3か8.4 です。
3. 切り替える前に、バックアップを取る
PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。切り替える前に、必ずバックアップを取ってください。
切り替えたら、トップページ・お問い合わせフォーム・管理画面へのログインが正常に動くかを確かめます。
4. WordPress本体・テーマ・プラグインも更新する
PHPを新しくしたら、WordPress本体、テーマ、プラグインも最新にします。今回の件とは別に、古いプラグインはそれ自体が狙われやすいからです。
使っていないサイトは、止める
意外と見落とされるのが、使っていないサイトです。
- 昔のキャンペーンページ
- 制作途中の試験用サイト
- リニューアル前の旧サイト
こうしたサイトは、誰も更新を見ていないまま、古いPHPで動き続けていることがあります。
首相の呼びかけでも、すぐに修正を当てられない場合は、サイトを一時的に止めることが有効な手段の一つとされていました。使っていないサイトは、この機会に止めるか、パスワードをかけて外から見えないようにするのが確実です。
サーバーを自社で管理している場合
VPSや自社のサーバーでPHPを動かしている場合は、サーバー会社は直してくれません。自分たちで、上の表のバージョンに更新する必要があります。
PHPの開発チームは、設定の変更で影響を減らす方法も公開しています。ただし、それは一部の攻撃の道を塞ぐだけで、根本的な対策は更新だけだとしています。設定の変更は、更新までの時間稼ぎと考えてください。
また、Webサイト以外にも、社内のシステムや機器の中でPHPが使われていることがあります。IPAは、製品に組み込まれたPHPについても、提供元の情報を確認するよう呼びかけています。
まとめ
今日やることは、次の4つです。
- 自社のサイトが PHPを使っているか を確かめる（WordPressなら使っている）
- 契約している サーバー会社のお知らせ を読む
- 管理画面で PHPのバージョン を見て、8.1以下なら8.3か8.4へ（バックアップを取ってから）
- 使っていないサイト は、止めるか見えないようにする
ホームページは、作って終わりではありません。こうした知らせが出たときに「うちは大丈夫か」をすぐ答えられることも、サイトを持つことの一部だと考えています。
自社のサイトがどうなっているかわからない、確かめ方がわからないという方は、お問い合わせからご相談ください。
参考（公式の発表）
よくある質問
Q 自社のホームページがPHPを使っているか、どう確かめればいいですか？
WordPressで作ったサイトは、PHPを使っています。わからない場合は、制作会社か管理担当者に「PHPを使っていますか、バージョンはいくつですか」と聞くのが確実です。レンタルサーバーを契約している場合は、サーバーの管理画面でPHPのバージョンを確認できます。
Q レンタルサーバーなら、サーバー会社が直してくれるのですか？
PHP本体の修正は、多くの場合サーバー会社が行います。ただし、どのバージョンのPHPを使うかは、利用者が管理画面で選んでいることが多く、古いバージョンを選んだままだと修正が届かないことがあります。サーバー会社のお知らせと、自社のPHPのバージョンの両方を確認してください。
Q PHP 8.1以前を使っている場合はどうなりますか？
PHPの開発チームは、8.1以前を正式な修正の対象にしていません。7.4・8.0・8.1向けに最低限の修正は公開されていますが、提供されるかどうかはサーバー会社や製品によって異なります。バックアップを取ったうえで、8.3か8.4への切り替えを検討してください。
Q すぐに対応できない場合はどうすればいいですか？
使っていない古いサイトや試験用のサイトは、一時的に止めるか、パスワードをかけて外から見えないようにするのが有効です。設定の変更で影響を減らす方法も公開されていますが、PHPの開発チーム自身が、根本的な対策は更新だけだとしています。