2026年10月21日、PHP開発元が重大な脆弱性2件（CVE-2026-109618／109619）を修正したPHP 8.5.12・8.4.27・8.3.36・8.2.35を公開しました。認証不要で遠隔コード実行につながる恐れがあり、WordPressサイトも対象です。今日は管理画面「サイトヘルス」でPHPバージョンを確認してください。
2026年10月21日（日本時間同日夜）、PHP開発元のThe PHP Groupが、深刻度「緊急」の脆弱性2件（CVE-2026-109618／CVE-2026-109619）を修正したPHP 8.5.12・8.4.27・8.3.36・8.2.35を公開しました。認証なしのリクエストだけで遠隔からコードを実行される恐れがあり、WordPress.orgも「ただちにPHPを更新するように」とサイト所有者へ呼びかけています。プラグインの話ではなく、WordPressが動く土台そのものの問題のため、自社サイトも例外ではありません。
何が起きたのですか？
PHPは、WordPressが動作するために必須のプログラミング言語です。2026年10月21日、このPHPにcritical（緊急）と評価された脆弱性が2件公表され、同時に修正版のPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35がリリースされました。該当のCVE番号はCVE-2026-109618とCVE-2026-109619です。
公表された情報によると、Webリクエストを処理しているPHPはいずれの構成でも影響を受ける可能性があり、mod_php（Apacheに組み込む方式）では認証なしのリクエストだけで攻撃が成立しうると説明されています。PHP-FPM、php-cgi、LiteSpeed、FrankenPHPなども対象として挙げられています。セキュリティ各社からは、すでに攻撃の試行が観測されているとの報告も出ています。
つまり、WordPressやプラグインを最新にしていても、サーバー側のPHPが古いままなら危険が残るという性質の問題です。
自分のサイトは影響を受けますか？
WordPressは100%PHPで動いているため、PHPを使っていないWordPressサイトは存在しません。その意味では、全サイトが「確認対象」です。ただし、実際に危険な状態かどうかは、契約しているサーバー会社がPHPを更新済みかどうかで決まります。
国内の主要レンタルサーバーでは、PHP本体の更新はサーバー会社が行います。多くの事業者は緊急リリース後すぐに適用作業を進めるとみられますが、適用のタイミングは各社で異なります。VPSや自社サーバーで運用している場合は、自社（または制作会社）で更新する責任があります。ここが最も危険な状態になりやすい層です。
また、PHP 8.1以前など、すでにサポートが終了しているバージョンを使い続けている場合は、修正版が提供されない可能性があります。この機会にPHP 8.2以上へ移行する計画を立ててください。
管理画面でPHPバージョンをどう確認しますか？
WordPressの管理画面から数分で確認できます。手順は次のとおりです。
- 管理画面にログインし、左メニューの「ツール」→「サイトヘルス」を開く
- 上部の「情報」タブをクリックする
- 「サーバー」の項目を開き、「PHPバージョン」の数字を確認する
表示された数字を、下の表と照らし合わせてください。
| 表示されているPHP | 判断 |
|---|---|
| 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以上 | 修正適用済み。問題なし |
| 8.5.x / 8.4.x / 8.3.x / 8.2.x だが上記より古い | サーバー会社の更新待ち。状況を確認 |
| 8.1 以下 | サポート終了の可能性。移行を早急に検討 |
数字が古い場合でも、自分で無理にサーバーの設定を変更する必要はありません。まずサーバー会社の障害・お知らせページを見て、PHP更新に関する案内が出ているかを確認してください。
更新までの間、何で身を守れますか？
サーバー会社の更新を待つ間は、WAF（Web Application Firewall）が時間を稼いでくれる可能性があります。エックスサーバー、さくらのレンタルサーバ、ConoHa WINGなど国内主要サーバーはWAF機能を標準で備えており、管理パネルからオン・オフを切り替えられます。WAFを「無効」にしたまま放置していないかを今日確認してください。過去にプラグインの誤作動対策で一時的に切り、そのままになっているケースは珍しくありません。
あわせて、バックアップが直近1週間以内に取得できているかも確認しておきましょう。万一改ざんされた場合、侵入前の状態に戻せるかどうかが復旧時間を大きく左右します。バックアップはサーバーと別の場所（外部ストレージなど）にも保管されている状態が理想です。
中小企業は今日何をすべきか
- サイトヘルスでPHPバージョンを確認する：管理画面「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」。8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以上なら対応済みです。
- サーバー会社のお知らせページを見る：契約中のレンタルサーバーの障害・メンテナンス情報で、PHP緊急更新の案内が出ているかを確認します。VPS・自社サーバーの場合は制作会社や管理担当にすぐ連絡してください。
- WAFの有効化とバックアップを確認する：サーバー管理画面でWAFが「有効」か、直近のバックアップが1週間以内に取得されているかを点検します。
よくある質問
レンタルサーバーを使っている場合、自分でPHPを更新する必要はありますか？
PHP本体の更新はサーバー会社が行うため、利用者が作業する必要は通常ありません。ただし、管理画面でPHPのバージョンを「8.1」などに固定している場合は、サーバー会社が新しいPHPを用意しても古いまま動き続けます。サイトヘルスで数字を確認し、古ければサーバー会社の案内に沿って切り替えてください。
PHPのバージョンを上げるとサイトが壊れませんか？
PHP 8.2から8.3のような小さな更新（8.3.30→8.3.36など）では、不具合が出る可能性は低いとみられます。一方、PHP 7系から8系への大きな移行では、古いテーマやプラグインがエラーを起こすことがあります。その場合はバックアップを取ってから、ステージング環境で先に試すのが安全です。
すでに攻撃を受けていないか、どう確認すればよいですか？
管理画面「ユーザー」で身に覚えのない管理者アカウントがないか、「外観」→「テーマファイルエディター」や「プラグイン」で覚えのないファイル・プラグインが増えていないかを確認してください。あわせてGoogle Search Consoleの「セキュリティの問題」も見ておくと、改ざんの早期発見につながります。不安が残る場合は、無料のWordPress安全診断（https://wp-mamoru.com/diagnosis/）でご相談ください。
出典
- Critical PHP Security Release（WordPress News）
- PSA: PHP Security Updates Available for Two Critical Vulnerabilities, Update Now（Wordfence）
- Major security alert: PHP vulnerable to critical RCE, attacks ongoing（Patchstack）
- PHPの2件の深刻な脆弱性(CVE-2026-109618、CVE-2026-109619)についてまとめてみた（piyolog）
- 「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜）
