※この記事は2026年10月27日時点の情報です。
2026年10月21日、PHPの公式サイトが重大な脆弱性2件と修正版を公表しました。WordPressで作ったホームページの多くは、PHPの上で動いています。WordPressの更新だけでは解消しない理由と、事業者が確認すること、サーバー会社の案内の見方を整理しました。
私は北海道東川町でWeb制作をしていて、IT/Webの仕事に関わって17年になります。WordPressの構築や保守、サーバー移転も担当してきました。脆弱性の内容は、PHP公式の発表をもとに説明します。
この記事で確認すること
1. 10月21日に公表されたこと
PHPは、WordPressを動かしているプログラム言語です。サーバーの上でPHPが動き、その上でWordPressが動く、という関係になっています。
PHPの公式サイト（php.net）は10月20日に、翌21日14時（協定世界時。日本時間では同日23時）に重大なセキュリティリリースを出すと予告しました。21日に公開された修正版は、PHP 8.5.12／8.4.27／8.3.36／8.2.35 です。
修正された脆弱性は2件です。
- CVE-2026-109618：メモリの上限に達したときの処理を突かれ、外部からプログラムを実行される（遠隔コード実行）おそれ
- CVE-2026-109619：致命的なエラーのあとに残った状態を突かれ、同じく遠隔コード実行のおそれ
深刻度はどちらもCVSS v4.0で9.2です。公式は、Webのリクエストを処理するすべてのPHPが対象で、完全な回避策はなく、更新が唯一の安全な選択だという趣旨を書いています。
PHP Foundationのブログによると、公開前に情報が流出し、検証用のコードが出回りました（流出時の「10.0」という深刻度は誤り）。リリース時点で公式は実用的な攻撃コードを確認していないとしていますが、流出したコードが出回っているため、早めの更新が勧められています。
2. WordPressを更新しても、この問題は直らない
いちばん誤解されやすいのがここです。今回の問題はPHP本体にあります。WordPress本体やプラグインを最新にしても、サーバーで動いているPHPが古いままなら解消しません。直すには、PHPを修正版にする必要があります。
レンタルサーバーを使っている場合、PHP本体の入れ替えはサーバー会社の作業です。一方で、共用のレンタルサーバーでは、サイトをどの系列（8.2、8.3など）で動かすかを、多くの場合は利用者側が管理画面で選びます。つまり「サーバー会社が直すところ」と「自分たちで選んでいるところ」の両方があります。
公式は、mod_php（ApacheというWebサーバーにPHPを組み込んで動かす方式）がもっともリスクが高いとしています。どの方式で動いているかは利用者からは見えにくいので、ここはサーバー会社の案内を確かめる部分です。
なお10月23日には別の脆弱性（CVE-2026-115560）の参考情報も出ています。特定の設定のときだけ影響するもので、次の定期リリースで修正される予定とされています。
3. 事業者がまず確認すること
確認は3つです。
- いまのPHPのバージョン：WordPressの管理画面「ツール → サイトヘルス → 情報 → サーバー」で、8.3.36 のように細かい番号まで見られます。今回の修正版は 8.5.12／8.4.27／8.3.36／8.2.35 です。これより小さい番号なら、サーバー会社の案内で対応状況を確かめてください。サーバー会社が独自に修正を当てて番号が変わらないこともあるので、番号だけで判断せず、案内とあわせて見ます。分からなければ、制作会社か保守の担当者に聞いてください
- 契約しているサーバー会社のお知らせ：今回の件への対応を出しているかを見ます
- 誰が見ているか：保守を頼んでいるなら担当者に連絡済みか。頼んでいないなら、社内の誰が確認するか
私はエックスサーバーを使っています。エックスサーバーは10月21日に「【重要】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について」と、「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」を出しています。何が適用されたのかは、公式のお知らせ本文で確かめてください。ほかのサーバー会社を使っている場合も、まず公式のお知らせ一覧を開くところからです。
4. PHP 8.1以前が残っているとき
修正版が出たのは8.2〜8.5の系列です。公式によると、8.1以前はPHPプロジェクトとしての更新提供が終わっていて、今回はソースから組み立てる人向けに最小限の修正が公開されただけです。OSの配布元やサーバー会社が独自に修正を当てている場合もあるので、事業者に確かめるか、サポート中の系列へ移るように、という趣旨が書かれています。
サイトヘルスに「サイトが PHP の非常に古いバージョンで動作しています」と出る場合は、このような古い系列で動いている状態です（この表示が出ないからといって、今回の修正が済んでいるとは限りません）。小規模事業者のサイトで現実的なのは、移るほうです。ただし移る先にも期限があります。PHP 8.2のセキュリティサポートは2026年12月31日で終わります。 いま上げるなら、WordPress公式が推奨している「PHP バージョン 8.3 以上」を目安にすると、年明けにもう一度上げる手間を避けられます。
系列を上げるときに気をつけたいのは、古いテーマやプラグインが新しいPHPで動かなくなることがある点です。表示が崩れる、管理画面に入れない、といった形で出ます。そのため、次の順番がセットになります。
- 更新前にバックアップを取る
- WordPress本体・テーマ・プラグインを更新する
- PHPの系列を切り替える
- 表示とお問い合わせフォームなどの動作を確かめる
契約中のサーバーで新しい系列が選べない場合は、サーバーの移転も選択肢になります。段取りはWordPressのサーバー移転で、事前に確認しておくことにまとめています。
5. 便乗した偽の案内メールに注意
こうした緊急のメンテナンスに便乗して、サーバー会社を名乗る偽の案内メールやSMSが届くことがあります。
「至急対応が必要」「アカウントを停止します」といった文面ほど、一度手を止めてください。メールの中のリンクからはログインせず、ブックマークか検索からサーバー会社の公式サイトを開き、お知らせ一覧に同じ内容が出ているかを確かめます。パスワードやカード情報をメールで求める連絡には応じないでください。迷ったら、制作会社や保守の担当者に転送して聞くのが確実です。
6. PHPの切り替えと、WordPressの更新・動作確認を受けます
自分たちで確認するのが難しい場合は、次の作業をお受けしています。
- PHPのバージョンと、サーバー会社の対応状況の確認
- 更新前のバックアップ
- WordPress本体・テーマ・プラグインの更新
- PHP系列の切り替え（8.2以前から、8.3以上を目安にサポートの続く系列へ）
- 更新後の表示・お問い合わせフォームなどの動作確認
作業量は、いまのPHPの系列、プラグインの数や古さ、テーマの作りで変わります。そのため、サイトの状態を確認してからお見積りします。
継続して任せたい場合は、保守契約のご相談もお受けしています。内容と料金は、サイトの状態を確認してからご案内します。PHPの切り替えのような作業は、保守とは別にお見積りします。どこまで社内で持つかはWordPressサイトの保守を、自分たちでやるか、外に出すかで整理しています。
なお、作業のあとに「これで安全です」とはお約束できません。PHP本体の修正はサーバー会社の作業に左右されるためです。お受けするのは、状況を確かめ、PHPとWordPressをサポートの続く状態にそろえ、サイトが動くことを確認するところまでです。
ご相談の際は、サイトのURL、契約しているサーバー会社、分かればPHPのバージョンを書き添えてください。ホームページ制作のお問い合わせ
出典：PHP公式サイト（https://www.php.net/ 2026年10月20日・21日・23日のニュース）、PHPのサポート期限（https://www.php.net/supported-versions.php）、PHP Foundationのブログ（2026年10月21日 https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ ）、WordPressの推奨環境（https://ja.wordpress.org/about/requirements/）。
確認日：2026年10月27日。状況は変わる可能性があります。最新の情報は、PHP公式サイトと契約しているサーバー会社のお知らせでご確認ください。