2026年10月21日、PHPに2件の重大な脆弱性が見つかったことが発表されました。
PHPはWordPressをはじめ、多くのWebサイトで使用されているプログラミング言語です。そのため、WordPressでブログや企業サイトを運営している方も、今回の脆弱性を無視することはできません。
「WordPressを使っているけれど、何か対策が必要なの？」
「PHP 8.5にしていれば安全？」
「エックスサーバーを使っている場合はどうすればいい？」
このような疑問を持つ方も多いのではないでしょうか。
結論からいうと、今回のPHPの脆弱性への対処法は、利用中のPHPバージョンとレンタルサーバーの対応状況を確認し、修正版が提供されたら速やかに適用することです。
ただし、2026年10月21日17時時点では、PHP公式から影響対象の詳細と修正版がまだ公表されていません。慌ててPHPのバージョンを変更するのではなく、正しい情報を確認する必要があります。
この記事では、PHPの脆弱性への具体的な対処法を中心に、WordPressへの影響、PHP 8.5の安全性、レンタルサーバーでの確認方法を初心者にも分かりやすく解説します。
※本記事は2026年10月21日17時時点の公表情報に基づいています。
PHPの脆弱性への対処法は？今すぐ確認したい5つのこと
今回のPHPの脆弱性について、Webサイト運営者が確認したいのは次の5つです。
- 現在使用しているPHPのバージョンを確認する
- 利用しているレンタルサーバーのセキュリティ情報を確認する
- WordPressとPHPの更新状況を確認する
- Webサイトのバックアップを取得する
- PHPの修正版が提供されたら速やかに適用する
重要なのは、単純にPHP 8.5へ変更すれば解決するという問題ではないことです。
今回の脆弱性はPHP 5以降の広い範囲に影響する可能性が指摘されており、PHP 8.5も影響対象から除外されていません。
また、WordPress本体を更新しても、サーバー上で動作しているPHPそのものが修正されるわけではありません。
まずは、自分のWebサイトがどのような環境で動作しているのかを把握しましょう。
2026年10月に発覚したPHPの脆弱性とは？
2026年10月20日、PHPの開発チームは、2件の重大な脆弱性を修正するセキュリティアップデートを公開する予定であると発表しました。
日本時間では2026年10月21日23時に修正版が公開される予定です。
今回発表された脆弱性の概要は以下のとおりです。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年10月20日（UTC） |
| 脆弱性の件数 | 2件 |
| CVE番号 | CVE-2026-109618、CVE-2026-109619 |
| 深刻度 | CVSS v4.0で9.2 |
| 危険度 | Critical（緊急） |
| 影響対象 | PHP 5以降の全バージョンに影響する可能性 |
| 修正版公開予定 | 2026年10月21日23時（日本時間） |
| 詳細な対象バージョン | 公式発表待ち |
CVSSとは、脆弱性の深刻度を数値で表す指標です。0から10までの評価があり、9.0以上は最も深刻な「Critical」に分類されます。
今回の2件はいずれも9.2と評価されており、非常に深刻な脆弱性として注意が呼びかけられています。
PHPの脆弱性を放置するとどうなる？
欧州連合のセキュリティ組織CERT-EUは、今回の脆弱性について、リモートから不正なコードを実行される可能性があると指摘しています。
仮にこのような攻撃が成立すると、環境や権限によっては次のような被害につながるおそれがあります。
- Webサイトの改ざん
- サーバー上の情報への不正アクセス
- 不正なプログラムの設置
- Webサイトやサービスの停止
- 個人情報などの漏えい
ただし、これらは想定されるリスクであり、今回の脆弱性によって実際にすべての被害が発生しているという意味ではありません。
IPA（情報処理推進機構）も、10月21日時点では対象の脆弱性を悪用した攻撃を確認していないと説明しています。
現時点で必要なのは、過度に不安になることではなく、修正版を速やかに適用できるように準備しておくことです。
PHP 8.5なら今回の脆弱性は関係ない？
PHP 8.5を利用していても、今回の脆弱性の影響を受けないとは断言できません。
PHP 8.5は2025年11月にリリースされた、現在も公式サポートを受けているバージョンです。
しかし、最新のメジャー・マイナーバージョンを利用していることと、すべての脆弱性が修正されていることは別の問題です。
今回の発表では、CERT-EUがPHP 5以降のすべてのバージョンに影響する可能性を指摘しています。
そのため、PHP 8.5を使用しているサイトについても、今後の公式発表を確認する必要があります。
PHP 8.5.11を使っていれば安全？
PHP 8.5.11は、2026年9月24日に公開されたPHP 8.5系のセキュリティリリースです。
ただし、今回の2件の脆弱性については、10月21日に新たな修正版が公開される予定となっています。
したがって、PHP 8.5.11を利用しているだけで、今回の脆弱性への対処が完了しているとは判断できません。
PHP 8.5.11に更新済みの方も、今後公開される修正版の情報を確認してください。
PHP 8.4やPHP 8.3でも対策は必要？
PHP 8.4やPHP 8.3についても同様です。
いずれも2026年10月時点で公式サポートが継続しているバージョンですが、今回の脆弱性の影響対象に含まれるかどうかは、正式な情報を待つ必要があります。
なお、現在使用しているPHPが8.4だからといって、すぐに8.5へ変更する必要があるとは限りません。
今後、PHP 8.4系の修正版が提供され、脆弱性が解消されるのであれば、8.4系のまま対応できる可能性があります。
重要なのはバージョン番号の新しさだけでなく、今回の脆弱性を修正したアップデートが適用されているかという点です。
WordPressもPHPの脆弱性の影響を受ける？
WordPressはPHPで開発されているため、今回の脆弱性がWordPressサイトに影響する可能性があります。
ただし、すべてのWordPressサイトが直ちに攻撃可能な状態であると確定したわけではありません。
実際のリスクは、使用しているPHPのバージョンやサーバー構成、脆弱性の成立条件などによって異なります。
WordPressを最新版にすれば解決する？
WordPress本体を最新版にするだけでは、今回のPHPの脆弱性が修正されるとは限りません。
なぜなら、WordPressとPHPは別のソフトウェアだからです。
WordPressはWebサイトを管理するためのCMSであり、PHPはそのWordPressをサーバー上で動かすためのプログラミング言語です。
WordPress本体の更新では、WordPress側の不具合や脆弱性などが修正されます。
一方、PHP本体の脆弱性は、原則としてPHPの修正版やサーバー提供元による対策が必要です。
そのため、WordPress本体やプラグインを最新にしている方も、別途PHPの更新状況を確認しましょう。
WordPressでPHPのバージョンを確認する方法
自分のWebサイトがどのPHPバージョンを使用しているのか分からない場合は、WordPressの管理画面から簡単に確認できます。
手順1：WordPressの管理画面にログイン
まず、普段利用しているWordPressの管理画面にログインします。
手順2：「サイトヘルス」を開く
管理画面の左側にあるメニューから、次の順番で進みます。
「ツール」→「サイトヘルス」
サイトヘルスは、WordPressやサーバーの設定状況などを確認できる機能です。
手順3：「情報」タブを選択
サイトヘルスの画面上部にある「情報」タブをクリックします。
ここでは、WordPressのバージョンやテーマ、プラグイン、サーバーに関する情報を確認できます。
手順4：「サーバー」を開く
「サーバー」という項目を開き、「PHPバージョン」を確認してください。
例えば、次のようなバージョンが表示されます。
- PHP 8.5.11
- PHP 8.4.26
- PHP 8.3.35
これが現在WordPressで使用しているPHPのバージョンです。
なお、サイトヘルスの情報は確認用であり、この画面からPHPを更新することはできません。
PHPのバージョン変更や更新は、利用しているレンタルサーバーの管理画面などから行います。
エックスサーバーでPHPの脆弱性に対処する方法
エックスサーバーを利用している方は、サーバーパネルからPHPの設定状況を確認できます。
手順1：サーバーパネルにログイン
エックスサーバーのサーバーパネルにログインしてください。
手順2：「PHP Ver.切替」を開く
サーバーパネルの「PHP Ver.切替」を選択します。
新しいサーバーパネルでは、対象ドメインの右側にある編集アイコンから設定を確認できます。
手順3：現在のPHPバージョンを確認
現在設定されているPHPのバージョンを確認します。
例えば「PHP 8.5.x」と表示されている場合は、PHP 8.5系が選択されています。
ただし、この表示だけで今回の脆弱性が修正されているかどうかまでは判断できません。
PHP 8.5.xと表示されていても、実際に提供されている修正レベルを確認することが重要です。
手順4：エックスサーバーのお知らせを確認
エックスサーバーでは、PHPのアップデートがサーバー側のメンテナンスによって適用される場合があります。
実際に、XServer for WordPressでは2026年10月19日にPHP 8.2～8.5のアップデートが実施され、PHP 8.5.11などが提供されました。
ただし、これは今回の10月21日に公開予定の修正とは別の更新です。
10月19日のアップデートが完了していることだけを理由に、今回の脆弱性への対処も完了したと考えないようにしましょう。
まずは契約しているサービスのお知らせやメンテナンス情報を確認し、今回の脆弱性に関する修正の提供状況を調べてください。
手順5：必要な場合のみPHPを変更する
サーバー側で自動的に修正版が適用されるのであれば、利用者がPHPのバージョンを切り替える必要がない場合もあります。
一方、利用者自身による切り替えが必要な場合は、公式案内に従って対応しましょう。
PHPのバージョンを変更すると、使用中のWordPressテーマやプラグインとの互換性によって、サイトが正常に表示されなくなることもあります。
変更前にはバックアップを取得し、作業後は表示や機能を確認することが重要です。
詳しい操作方法はエックスサーバー公式のPHPバージョン切り替えマニュアルを参照してください。
レンタルサーバーを利用している場合は自分でPHPを更新する必要がある？
レンタルサーバーを利用している場合、必ずしも自分でPHPを更新する必要があるとは限りません。
共用レンタルサーバーでは、PHPの修正版をサーバー運営会社が提供・適用することがあります。
ただし、対応方法は契約しているサービスによって異なります。
確認したいのは次の3点です。
- 今回のPHPの脆弱性が契約中のサーバーに影響するか
- サーバー側で修正版が自動適用されるか
- 利用者自身による設定変更が必要か
エックスサーバー、ConoHa WING、ロリポップ！、さくらのレンタルサーバなどを利用している場合は、それぞれの公式なお知らせを確認してください。
また、VPSや専用サーバーなどを利用している場合は、自分でPHPの更新作業を行う必要があることもあります。
特にサーバーの管理を自身で行っている場合は、PHPの更新だけでなく、OSや関連ソフトウェアの修正状況も確認しましょう。
PHPの修正版が公開されるまでにできるセキュリティ対策
今回の脆弱性については、2026年10月21日23時に修正版が公開される予定です。
それまでの間も、Webサイト運営者が準備できることがあります。
1. Webサイトのバックアップを取得する
まず、WordPressのバックアップを取得しましょう。
バックアップでは、WordPressのファイルだけでなく、データベースも保存することが重要です。
万が一、アップデート後にサイトが正常に動作しなくなった場合でも、復旧に役立ちます。
バックアップは、復元可能な状態で保管されていることも確認しておきましょう。
ただし、バックアップそのものが脆弱性への対策になるわけではありません。
あくまで障害や被害が発生した際の復旧に備えるための作業です。
2. WAFなどのセキュリティ設定を確認する
WAF（Web Application Firewall）は、Webサイトへの不正な通信を検知・遮断するための仕組みです。
レンタルサーバーによっては、管理画面からWAFを有効化できます。
また、Cloudflareなどのサービスを利用している場合は、利用可能なセキュリティルールやアクセス制限を確認することも有効です。
ただし、WAFで今回のPHPの脆弱性を確実に防げると判明しているわけではありません。
攻撃手法や適用するルールによって防御できる範囲は異なるため、WAFを有効化しただけでPHPの更新が不要になることはありません。
3. 不要なPHPプログラムや公開環境を確認する
使用していないWordPressのテストサイト、古いPHP製のプログラム、過去に作成した検証環境などが公開されていないか確認しましょう。
現在のWebサイトだけでなく、同じサーバー上でPHPを利用しているほかのサイトも確認対象になります。
不要な公開環境が残っている場合は、アクセス制限や安全な停止を検討してください。
4. アクセスログやサイトの異常を確認する
可能であれば、サーバーのアクセスログやエラーログも確認しましょう。
普段と異なる大量のアクセス、不審なファイルの作成、サイトの改ざんなどが確認された場合は注意が必要です。
ただし、アクセスログだけで今回の脆弱性の悪用を断定することはできません。
不審な状況が見つかった場合は、ログなどの証拠を保全し、サーバー管理者や専門家に相談してください。
5. 更新できない場合はアクセス制限を検討する
CERT-EUは、修正版をすぐに適用できない場合の対応として、インターネットに公開されているアプリケーションを外部ネットワークから隔離することも推奨しています。
個人情報や重要な業務データを扱うWebサイトでは、影響が確認された場合、必要に応じて一時的なアクセス制限やサービス停止も検討するべきです。
ただし、通常のWordPressメンテナンスモードは、PHPの脆弱性へのアクセスを遮断するセキュリティ対策とは限りません。
アクセスを制限する必要がある場合は、Webサーバーやネットワークの設定など、PHPに到達する前の段階で適切に制御することが重要です。
PHPの修正版が公開されたら何をすればいい？
修正版が公開された後は、次の順番で確認しましょう。
1. PHP公式サイトで修正版を確認する
まず、PHP公式サイトで今回の脆弱性について確認します。
公表された修正版のバージョンと、自分のサーバーで使用しているバージョンを比較してください。
2. レンタルサーバーの対応状況を確認する
利用中のサーバーで修正版が提供されているかを確認します。
自動的に更新されるのか、手動での設定変更が必要なのかも重要な確認項目です。
サーバー会社によっては独自にセキュリティ修正を適用することがあるため、PHP公式のバージョン番号だけでなく、提供元の案内も参考にしましょう。
3. 必要なアップデートを実施する
手動更新が必要な場合は、バックアップを取得し、テーマやプラグインの互換性も確認したうえで作業を進めます。
特にPHPのバージョンを大きく変更する場合は、事前にテスト環境で動作確認を行うことをおすすめします。
4. WordPressの動作を確認する
更新後はトップページだけでなく、以下のような機能も確認しましょう。
- 固定ページや投稿ページの表示
- お問い合わせフォームの送信
- WordPress管理画面へのログイン
- 予約システムや決済機能
- プラグインによる独自機能
- PHPエラーやサーバーのエラーログ
表示に問題がなくても、一部の機能だけが正常に動作しなくなる場合があります。
サイト全体を確認してから、更新作業の完了を判断してください。
PHPの脆弱性に関するよくある質問
Q. PHP 8.5を使っていれば対処は不要ですか？
いいえ。PHP 8.5は現在サポートされているバージョンですが、今回の脆弱性の影響を受けないとは確認されていません。
PHP公式から公開される詳細な対象バージョンと修正版を確認する必要があります。
Q. PHPのバージョンを変更すれば脆弱性は解消しますか？
必ずしも解消するとは限りません。
今回の脆弱性を修正したバージョンが適用されているかどうかが重要です。
別のバージョンに変更しただけでは、脆弱性が残る可能性があります。
Q. WordPressを最新版にしていれば安全ですか？
WordPressを最新版にしておくことは重要ですが、それだけでPHPの脆弱性が解消されるわけではありません。
WordPress本体とPHPは、それぞれ別に更新状況を確認する必要があります。
Q. エックスサーバーなら自動で対応してもらえますか？
エックスサーバーではPHPのアップデートがサーバー側で実施されることがあります。
ただし、今回の脆弱性について自動対応が完了しているかどうかは、契約中のサービスの公式情報を確認する必要があります。
Q. Cloudflareを使っていれば安心ですか？
CloudflareのWAFなどで一部の不正な通信を防御できる可能性はありますが、今回の脆弱性を完全に防げるとは限りません。
Cloudflareの利用有無にかかわらず、PHPの修正版が必要な場合は適用しましょう。
Q. PHPの脆弱性でWebサイトが乗っ取られる可能性はありますか？
脆弱性の内容によっては、攻撃者にサーバー上で不正な処理を実行される可能性があります。
今回の脆弱性についても、CERT-EUがリモートコード実行の可能性に言及しています。
ただし、具体的な成立条件はPHP公式による詳細な情報を確認する必要があります。
Q. PHP 8.6へアップデートした方がいいですか？
2026年10月21日時点のPHP 8.6は正式版ではなく、リリース候補版です。
実際のWebサイトで、今回の脆弱性対策だけを目的にPHP 8.6の開発・テスト版を導入することはおすすめしません。
正式に公開された修正版と、サーバー会社の案内を確認してください。
Q. 自分のサイトが攻撃されていないか調べる方法はありますか？
サーバーのアクセスログ、不審なファイル、WordPressのユーザーアカウント、サイトの表示状態などを確認する方法があります。
ただし、これだけで被害の有無を完全に判断できるわけではありません。
不正アクセスが疑われる場合は、サーバー管理会社やセキュリティの専門家に調査を依頼しましょう。
まとめ｜PHPの脆弱性はバージョン確認と修正版の適用が重要
2026年10月21日、PHPに2件の重大な脆弱性が存在することが明らかになりました。
今回の脆弱性は、WordPressをはじめとするPHPで動作するWebサイトにも影響する可能性があります。
最も重要なのは、PHP 8.5を使っているから安全だと判断せず、今回の脆弱性が修正されたバージョンを適用することです。
最後に、Webサイト運営者が確認したい内容を整理します。
| 確認項目 | 対処法 |
|---|---|
| PHPのバージョン | WordPressのサイトヘルスで確認 |
| PHP 8.5の安全性 | 今回の脆弱性の影響範囲を確認 |
| WordPressへの影響 | サーバーで使用するPHPの更新状況を確認 |
| エックスサーバー | サーバーパネルと公式のお知らせを確認 |
| 今すぐできる対策 | バックアップ取得、WAFや公開環境の確認 |
| 根本的な対策 | 修正版PHPの適用と動作確認 |
PHPの脆弱性は、WordPress管理画面だけでは対処できない場合があります。
利用しているレンタルサーバーの対応状況を確認し、必要な更新を行いましょう。
なお、今回の修正版は2026年10月21日23時（日本時間）に公開される予定です。対象バージョンや具体的な修正版については、公式発表があり次第、最新情報を確認してください。
