2026.10.23

PHPの重大な脆弱性について｜WordPressのホームページをお持ちの方へ

2026年10月、ホームページの動作に広く使われている「PHP（ピーエイチピー）」に、重大な脆弱性（セキュリティ上の弱点）が公表され、修正版が公開されました。

WordPressで作られたホームページもPHPを使用しているため、利用環境の確認が必要です。ただし、今回の発表だけで、ご自身のホームページに被害が起きているということではありません。サーバー会社によっては、すでに対策が適用されている場合もあります。

この記事では、ホームページをお持ちの会社やお店の方に向けて、確認するポイントと対応の進め方をまとめました。

今回、何が起きたのか

今回公表されたのは、「CVE-2026-109618」「CVE-2026-109619」という2件の脆弱性です。悪用されると、外部の第三者がサーバー上で不正なプログラムを実行するおそれがあります。

問題が見つかったのは、WordPress本体やプラグインではなく、その土台として動くPHPです。そのため、WordPressを最新版にするだけでは、今回の問題への対処は完了しません。 PHP側に修正が適用されているかを確認する必要があります。

レンタルサーバーをお使いの場合は、サーバー会社の公式サイトで、今回の脆弱性に関するお知らせをご確認ください。

会社や利用環境によって、サーバー側で修正が適用される場合と、利用者がPHPのバージョンを切り替える必要がある場合があります。

制作会社や保守担当者に管理を依頼している場合は、「今回のPHPの脆弱性への対応が済んでいるか」を確認するとスムーズです。

PHP開発元が公開した、今回の脆弱性に対応する修正版は次のとおりです。

※2026年10月23日時点の情報です。これ以降の更新については、PHP開発元やサーバー会社の最新案内をご確認ください。

なお、提供元によっては、表示されるバージョン番号を変えずに、必要な修正だけを適用する場合があります。バージョン番号だけで判断せず、サーバー会社の対応状況とあわせて確認してください。

WordPressの管理画面で、次の順に進むと、使用中のPHPのバージョンを確認できます。

「ツール」→「サイトヘルス」→「情報」→「サーバー」→「PHP バージョン」

項目が見つからない場合や管理画面に入れない場合は、制作会社や保守担当者、サーバー会社にご確認ください。

PHPのバージョンを変更すると、古いテーマやプラグインとの組み合わせによって、表示や機能に不具合が出ることがあります。ご自身で変更する場合は、サーバー会社の案内に従い、次の点を確認して進めてください。

お問い合わせフォームは、表示されるかだけでなく、テスト送信と受信まで確認しておくと安心です。

不具合が出た場合も、脆弱性が残るバージョンに戻して使い続けることは避け、制作会社やサーバー会社にご相談ください。復旧方法や、修正済みの環境で動かすための対応を確認しましょう。

PHP 8.1以前は、PHP開発元による通常のサポートが終了しています。一部の提供元では独自の修正が提供される場合もありますが、対応状況の確認が必要です。

まずはサーバー会社に今回の対策状況を確認し、あわせてサポートが続いているバージョンへの移行をご検討ください。

古いホームページでは、PHPの変更に伴い、テーマやプラグインの調整が必要になることがあります。すぐに作り直す必要があるとは限りませんので、現在の構成を確認したうえで、対応方法を判断することが大切です。

また、PHP 8.2系のセキュリティサポートも、2026年12月31日で終了する予定です。今回8.2系の修正版で対応した場合も、今後の運用に向けて、サポートが続くバージョンへの移行を計画しておくことをおすすめします。

「どのサーバーを使っているかわからない」「管理画面の場所がわからない」「制作会社と連絡がつかない」など、ご自身では確認が難しい場合もあると思います。

ツムグルでは、他社で制作されたホームページについても、対応のご相談を承っています。調査や更新作業が必要な場合は、内容と費用を事前にご案内いたします。

お困りの際は、お問い合わせからご連絡ください。