PHPに重大な脆弱性2件、今夜23時に修正版｜レンタルサーバー各社の対応とVPS・PHP 7系のサイトがやること

PHPの開発チームは、重大な脆弱性2件（CVSS 9.2）を修正する版を日本時間10月21日23時に公開する予定です。WordPressもPHPで動いているため、プラグインを更新しても今回の問題は防げません。レンタルサーバーは事業者が更新しますが、VPSは利用者が自分で更新する必要があり、PHP 7系には公式の修正版が出ない可能性が高い状況です。

PHPのセキュリティチームは2026年10月20日、重大な脆弱性2件を修正するセキュリティリリースを10月21日14時（UTC）、日本時間の同日23時に公開すると予告しました。2件ともCVSS v4.0で9.2の「緊急」レベルです。影響を受けるバージョンと修正版の番号は、公開と同時に発表されます。この記事では10月21日18時時点の情報をもとに、サーバーの種類ごとに誰が何をすればよいかを整理します。

何が起きているのですか？

公式の告知に書かれているのは、公開日時、件数、深刻度と、すべてのPHP利用者に公開後すぐ更新できるよう準備を求める呼びかけです。詳細が外部に漏れた場合や悪用が確認された場合は、予定より早く公開する可能性があるとしています。

欧州連合のCERT-EUは2件にCVE-2026-109618とCVE-2026-109619の番号が付いたと伝えており、IPA（情報処理推進機構）も10月21日に事前準備を呼びかける注意喚起を出しました。報道によると、外部から任意のコードを実行される（リモートコード実行）種類の脆弱性とみられています。

詳細の一部は10月20日、予定より早く外部に漏れました。攻撃ツールは「PHP2Shell」と呼ばれ、セキュリティ企業のwatchTowrが1件を再現したと報じられています。10月21日時点で実際の悪用は報告されていませんが、セキュリティ企業のSansecは修正版の公開から15分以内に大規模な攻撃が始まると予想しています。

WordPressのサイトも関係ありますか？

関係あります。WordPressはPHPで動くため、PHPのサーバーに置いたサイトはすべて確認の対象です。米W3Techsの調査では、サーバー側の言語が分かるWebサイトの約7割がPHPを使っています。

今回の問題は、WordPress本体やプラグインではなく、サーバーにあるPHPそのものにあります。管理画面でWordPressやプラグインを最新にしても、この脆弱性は直りません。サーバー上のPHPを修正版に入れ替える必要があります。

自分のサイトのPHPのバージョンは、WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと確認できます。

レンタルサーバー各社はどう対応していますか？

共用のレンタルサーバーでは、PHP本体の更新は原則としてサーバー会社が行います。10月21日18時時点で確認できた各社の状況は次のとおりです。

KAGOYA：公式に告知。レンタルサーバーでPHP 8.2〜8.5を使う契約者を対象に、修正版の公開を確認したうえで順次アップデートする予定。マネージド専用サーバーや旧共用サーバーなどは、影響の有無と方針を調査中
さくらインターネット：レンタルサーバ・マネージドサーバで10月21日13時〜22日8時頃、VPSで同日15時〜22日18時頃の緊急メンテナンスを告知。告知に理由やPHPへの言及はない
エックスサーバー：報道によると、10月21日16時に公式Xで、予防措置としてアカウント管理画面などの提供を一時停止したと告知。不正アクセスが原因ではないとし、Webサイトとメールはそのまま使える。再開は22日早朝の見込み。PHPの修正の適用についての告知は確認できていない
ConoHa WING、ロリポップ！：各社のお知らせページに、今回の脆弱性についての告知は見当たらない

告知がないからといって、対応していないとは限りません。ただし、サーバー会社が更新するのは、各社がサポートしているPHPのバージョンに限られる可能性があります。管理画面でPHP 7.4などの古いバージョンを選んでいるサイトは更新の対象から外れるおそれがあるため、後半の「PHP 7系から移せないサイト」もあわせて確認してください。

VPSや専用サーバーは誰が更新するのですか？

VPS、クラウドサーバー、自分で管理する専用サーバーは、利用者が自分で更新します。事業者がメンテナンスをする場合も、対象は事業者側の設備で、仮想サーバーの中に入れたPHPは自動では更新されないのが一般的です。

php -v でバージョンを確かめ、PHPをどこから入れたか（OS標準のパッケージ、Ondřej SuryのPPA、Remiリポジトリ、自分でビルドなど）を確認する
修正版が出たら、入手元が更新を出すのを待ち、aptやdnfなどで更新する。OS標準のパッケージは、PHPの番号を変えずに修正だけを取り込む（バックポート）ことがあるため、ディストリビューションのセキュリティ情報でCVE番号を確認する
PHP-FPMとWebサーバー（ApacheやNginx）を再起動する。再起動しないと古いPHPが動き続ける
トップページ、問い合わせフォーム、管理画面へのログインを確認する

修正版を当てるまでの暫定策として、PHPの設定 session.upload_progress.enabled を0（オフ）にする方法が複数のセキュリティ企業から紹介されています。PHP-FPMでは、各プールの設定に php_admin_flag[session.upload_progress.enabled] = off を書いて再読み込みします。ただし、GMO Flatt Securityは、この設定はあくまで緩和策で、攻撃は依然として可能とみられるとしています。根本の対策はPHPの更新です。

PHP 7系から移せないサイトはどうすればよいですか？

PHPが公式にサポートしているのは8.2以降で、7.4は2022年11月、8.0は2023年11月、8.1は2025年12月にサポートが終わっています。影響範囲は公開時に発表されますが、Sansecは8.1以前には公式の修正が提供されないとみています。一方でCERT-EUはPHP 5以降のすべてが影響を受ける懸念を示しており、7系のまま放置すると、修正されない脆弱性を抱え続けることになります。

古いテーマや独自のプラグインがPHP 8で動かないなど、すぐに移せない事情があるサイトは、次の順で検討してください。

移行の試験を今日始める：ステージング（テスト用の複製）を作り、WordPress本体・テーマ・プラグインを更新してからPHP 8.3以上に切り替え、表示とフォームを確かめる。共用サーバーの多くは管理画面からドメインごとにPHPのバージョンを切り替えられ、問題があれば元に戻せる。PHP 8.2も2026年12月31日でサポートが終わるため、移すなら8.3以上が目安
延長サポートやバックポートを確認する：OSのディストリビューションや有償の延長サポートが、古い系列に修正を当てるかを提供元に確認する
移行までの間は攻撃を受ける入口を減らす：session.upload_progressの無効化、WAFの有効化、管理画面へのIP制限、使っていない旧ページや試験環境の停止、バックアップの確保
それでも守れない場合は公開を止める：CERT-EUは、すぐに修正を適用できない場合、インターネットに公開しているアプリケーションを外部から切り離すことも検討するよう求めている。WordPressなら一時的にメンテナンス画面に切り替える、静的なページに置き換えるといった方法がある

中小企業は今日何をすべきか

今夜23時まで：自社サイトのPHPのバージョンをサイトヘルスで確認し、サーバーが共用レンタルサーバーかVPSかを把握する。あわせてバックアップを取る
修正版の公開後：共用サーバーは事業者のお知らせを確認し、PHPのバージョン設定が8.2以上（できれば8.3以上）になっているかを確かめる。VPSは入手元の更新を当て、PHP-FPMを再起動する
7系のサイト：制作会社や保守担当に、PHP 8.3以上への移行の見積もりと日程を今日のうちに相談する。判断がつかない場合は、無料のWordPress安全診断（https://wp-mamoru.com/diagnosis/）でサイトの状態を確認する

よくある質問

共用レンタルサーバーなら何もしなくてよいですか？

多くの場合、PHP本体の更新はサーバー会社が行います。ただし、管理画面で古いPHPを選んでいると更新の対象から外れるおそれがあるため、サーバー会社のお知らせとPHPのバージョン設定を確認してください。

WordPressとプラグインを最新にすれば防げますか？

防げません。今回の脆弱性はサーバー上のPHP本体にあるため、PHPを修正版に更新する必要があります。WordPress側の更新は、それとは別に続けてください。

PHPのバージョンはどこで確認できますか？

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開くと、PHPのバージョンが表示されます。サーバー会社の管理画面でも確認できます。

出典

執筆：WP守る編集部　最終更新日：2026-10-21（10月21日18時時点の情報）

続報：PHP2Shellの修正版公開から一夜｜攻撃の観測、首相の呼びかけ、レンタルサーバー各社の対応（2026年10月22日）