WordPressでホームページを運営している方は、サーバーのPHPが修正済みか、早めに確認しましょう。2026年10月21日、PHP公式が、認証なしのリモートコード実行につながる重大な脆弱性2件への更新を呼びかけました。
「WordPressは更新しているから大丈夫」とは限りません。今回は、WordPressを動かすPHP側の問題です。この記事では、企業のWeb担当者が確認したい情報と、対応の進め方を整理します。
PHPのバージョンや管理先がわからない場合は、IMAKONOへお問い合わせください。サイトURLと現在の状況をお知らせいただければ、確認・対応の進め方をご案内します。
2026年10月に公表されたPHPの脆弱性とWordPressへの影響
PHPは、WordPressなどをサーバー上で動かすプログラミング言語です。脆弱性とは、ソフトウェアの安全性を損なう不具合を指します。今回の問題は、条件がそろうと外部から不正なコードを実行されるおそれがあるものです。
- CVE-2026-109618：メモリ不足時の処理に関する問題
- CVE-2026-109619：リクエスト間に残る内部状態に関する問題
どちらも公式アドバイザリーで重大度「Critical」、CVSS v4.0の評価値は9.2とされています。
特にApacheのmod_phpでは、アプリケーションの処理が始まる前に攻撃が成立するケースが示されています。WordPressのログイン制限だけで対応済みとは判断できません。
技術情報は、PHP公式のCVE-2026-109618のアドバイザリーとCVE-2026-109619のアドバイザリーで公開されています。
WordPressのPHPバージョンと修正状況を確認する方法
- PHPのバージョンと修正の適用状況：サーバー管理画面や管理会社に確認する
- サーバー会社の対応案内：今回の脆弱性に対する更新・修正が提供されているか確認する
- 更新作業の担当者：自社・制作会社・保守会社の誰が対応するか決める
WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」を開き、PHPのバージョンを確認しましょう。管理画面に入れない場合は、レンタルサーバーの管理画面か保守会社で確認します。
この画面で確認できるのは実行環境の情報です。サイトヘルスに警告がないことだけで、今回の脆弱性に対応済みとは判断しないでください。表示されたバージョンを下の表と照合し、サーバー会社の修正案内も確認しましょう。画面の見方はWordPress公式のサイトヘルス解説でも確認できます。
確認するときは、「PHP 8を使っています」だけで終わらせず、8.3.36のような末尾まで含めた番号を確認しましょう。
複数のサイトやサブドメインを運営している場合は、それぞれの環境を確認します。
サーバー会社が独自に修正を取り込んでいる場合は、表示上のバージョン番号だけで判断できないこともあります。最終的には、今回の2件への修正が適用されているかを管理会社に確認してください。
PHPの修正済みバージョン一覧｜古いPHPを使っている場合は？
2026年10月21日に公表された修正リリースは次のとおりです。作業時には、利用する系列の最新のセキュリティ更新も確認しましょう。
| PHPの系列 | 今回の修正リリース |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
PHP 8.1以前はPHPプロジェクトの通常の更新対象外です。
今回、7.4・8.0・8.1向けの最小限のソース修正も提供されていますが、一般の利用者が管理画面で選ぶだけで適用できるとは限りません。古い環境は、管理会社と修正状況やサポート対象バージョンへの移行を相談しましょう。
出典：PHP公式のセキュリティ告知（2026年10月21日）。
PHPの脆弱性への対処法｜更新の手順と注意点
対応の確認を急ぎつつ、更新前のバックアップと更新後の動作確認をセットで進めましょう。古いテーマやプラグインは、新しいPHPと互換性がない場合があります。
- ファイルとデータベースのバックアップを確保し、復元方法を確認する
- サーバー会社の修正状況と、利用可能なPHPのバージョンを確認する
- 可能であれば検証環境で、テーマ・プラグインとの互換性を確認する
- 更新後にトップページ、主要ページ、管理画面、フォームや購入機能を確認する
PHPを更新できても、お問い合わせフォームが動かなければ機会損失につながります。
見た目だけでなく、フォームの送信・通知メール・予約や決済の完了まで確認しましょう。
すぐに更新できない場合も、設定変更だけで安全になったと判断せず、管理会社に暫定対応と更新予定を確認してください。
PHPの脆弱性対応でよくある質問
WordPress本体の更新だけでは、PHP側の修正は適用されません。本体・テーマ・プラグインと、サーバー側のPHPを分けて確認しましょう。
レンタルサーバーだから自動で対応済みとも限りません。サーバー会社が更新する部分と、契約者が切り替える部分はサービスによって異なります。案内を読み、不明なら対象ドメインを伝えて問い合わせましょう。
見た目に異常がなくても、修正状況の確認は必要です。
反対に、PHPの更新は侵入済みのファイルを取り除く作業ではありません。身に覚えのないページや不審な転送がある場合は、更新とは別に、ログやファイルの調査を管理会社へ相談してください。
まとめ｜PHPの修正状況を確認し、必要な更新を進めましょう
まずは、サーバー会社の案内とPHPの修正状況を確認しましょう。自社で判断が難しい場合は、管理先に相談し、必要な更新と動作確認を進めることが大切です。
IMAKONOでは、WordPressサイトやホームページの管理に関するご相談を受け付けています。「どの会社に確認すればよいかわからない」「更新後の不具合が心配」といった段階でも、お問い合わせください。
確認・対応の内容や費用については、お問い合わせください。サイトの状況を伺い、必要な対応範囲と進め方をご案内します。
お問い合わせには、サイトURL・サーバー会社名・困っていることを、わかる範囲でご記入ください。初回のフォームには、管理画面やサーバーのパスワードを記載する必要はありません。
※本記事は2026年10月22日時点の公開情報をもとに作成しています。対応時には、PHP公式およびご利用のサーバー会社の最新案内をご確認ください。
