PHP重大脆弱性でWordPressは危険？確認方法と対策【2026年10月】

最終更新：2026年10月21日（PHP公式サイトで修正版の公開を確認した時点の情報です）

WordPressでブログを運営していると「自分も何か対策しないといけないの？」と不安になりますよね。結論から言うと、WordPressはPHPという土台の上で動いているので、今回のPHPの重大脆弱性は他人事ではありません。ただし、慌てて何かを押す必要はありません。PHPのバージョンを確認し、契約サーバーの案内を調べ、必要ならバックアップを取ってから更新する。この順番で落ち着いて進めましょう。

PHPの重大脆弱性とは？2026年10月21日の発表内容

PHPとは何か、まず30秒で

PHPは、WordPressの記事表示やログインを裏側で動かしているプログラムの言語です。家にたとえると、WordPressは部屋の間取りや家具、PHPは家そのものを支える土台にあたります。レンタルサーバーを借りると、この土台はサーバー会社が用意してくれています。

私も最初は「プラグインを更新していれば大丈夫」と思っていました。でも今回のように土台そのものに問題が見つかると、家具をどれだけ整えても足りないのです。

重大脆弱性2件の概要とCVSS 9.2の意味

2026年10月21日、PHPの公式サイトで、重大な脆弱性2件を直した修正版が公開されました。番号はCVE-2026-109618とCVE-2026-109619で、PHP公式のページで確認できます。どちらもCVSS v4.0というものさしで9.2。CVSSは0から10までで深刻さを表す指標で、9.0以上は「緊急」の区分です。PHP公式は、認証なしで外部から遠隔でプログラムを実行される可能性がある問題として、すぐに更新するよう呼びかけています。

内容をやさしく言い換えると次のとおりです。

• CVE-2026-109618：メモリ不足の処理中にPHPが止まり、受け取ったデータが中途半端な状態のまま後片付けされて、おかしなデータを正しいものとして扱ってしまう問題
• CVE-2026-109619：1回のアクセスだけで使うはずの内部の情報が、メモリが解放されたあとも残り、次のアクセスで古い情報が使われてしまう問題

「php2shell」という呼び名も見かけますが、これはセキュリティ界隈での通称で、PHP公式が付けた名前ではありません。この記事では公式の番号で書きます。

公式が発表した事実と、まだ分からないこと

私がPHP公式のページと、IPA（情報処理推進機構）の事前の注意喚起を読んで確認できたのは、次のような点です。

項目	確認できた内容（2026年10月21日時点）
脆弱性の数	2件（CVE-2026-109618、CVE-2026-109619）
深刻度	どちらもCVSS v4.0で9.2（緊急）
修正版の公開	2026年10月21日に公開
修正されたバージョン	PHP 8.5.12／8.4.27／8.3.36／8.2.35
影響を受ける範囲	PHPをWebで動かす環境すべて（PHP-FPM、mod_phpなど）。特にmod_phpでは危険が大きいとされています
古いバージョン	8.1以前は公式のサポート対象外。7.4・8.0・8.1向けの最小限の修正が出ており、サーバー会社ごとに対応が異なります
実際の被害	公式ページを見た範囲では、被害の報告は見つかりませんでした
レンタルサーバー各社の対応	ConoHa WING・エックスサーバー・ロリポップ！・さくらの4社とも、公式の発表をまだ見つけられていません

IPAは、公開前の段階で「悪用された攻撃は確認していない」と案内していました。その後の悪用の状況は、私が調べた範囲では分かっていません。「すでに大量の被害が出ている」と断定している記事を見かけても、うのみにせず、PHP公式やIPAの情報を確認してください。

修正版のダウンロードはPHP公式のダウンロードページにあります。ただし、レンタルサーバーを使っている方が自分でダウンロードして入れ替えることはありません。更新はサーバー会社の仕事です。

自分のWordPressブログも危険なの？

WordPressとPHPの関係、更新の違い

WordPressの更新とPHPの更新は、別のものです。WordPress本体の更新は管理画面の「更新」から行えますが、PHPはサーバー側のプログラムなので、そこでは直せません。WordPressの自動更新をオンにしていても、PHPは自動では新しくなりません。「WordPress PHP 自動更新」と検索する方が多いのも、ここが分かりにくいからだと思います。

Windowsなどパソコン側のセキュリティ更新は、また別の話です。パソコンの緊急更新が気になる方は、こちらも読んでみてください。

→ 【Windows緊急更新】自分のPCは対象？CVE-2026-96951の対処法

プラグインを最新にしていれば、パスワードを強くしていれば安全？

残念ながら、それだけでは足りない可能性があります。PHP公式は、mod_phpでは「アプリケーションのコードが動く前に」攻撃が成り立つことが示されたと説明しています。WordPressやプラグインの手前で起きる問題なら、WordPressの側でいくら守りを固めても止められません。

とはいえ、プラグインの更新やパスワードの強化が無意味なわけではありません。別の攻撃から身を守る大切な備えです。今回の件は「それに加えて、土台のPHPも新しくする」と考えてください。

どんな条件で影響するのか、個人ブログでも必要？

技術的な成立条件の細かい部分は、私が確認できた範囲では公式の説明も限られています。分かっているのは、PHPをWebで動かす環境が広く対象になるという点です。WordPressはまさにそれに当たります。

個人の趣味のブログでも、改ざんされてスパムの踏み台にされたり、読者が不審なサイトへ飛ばされたりする可能性はあります。「小さいブログだから狙われない」とは言い切れません。ただし、「すべてのWordPressがいますぐ乗っ取られる」わけではありません。対策の中心は、慌てずにPHPの状態を確認することです。

【3ステップ】自分のサイトが対策済みか確認する方法

ステップ1：WordPressでPHPバージョンを確認

まず、いま使っているPHPのバージョンを見てみましょう。WordPressの管理画面にログインして、次の順にクリックします。

1. 左メニューの「ツール」
2. 「サイトヘルス」
3. 上のタブの「情報」
4. 一覧から「サーバー」を開く
5. 「PHPバージョン」の数字をメモする

たとえば「8.4.27」と表示されていれば、公式の修正版と同じ番号です。「8.4.26」のように修正版より小さい数字の場合は、修正前の可能性があります。ただし、ここで注意があります。サーバー会社によっては、番号を変えずに修正だけを取り込む対応をしていることがあり、番号だけで「対策済み」「未対策」と決めつけることはできません。

ステップ2：レンタルサーバー会社の公式情報を確認

次に、契約中のサーバー会社の「お知らせ」や「障害・メンテナンス情報」のページを開きます。見るポイントは4つです。

• 今回のPHPの脆弱性について、公式の発表が出ているか
• 修正が済んでいるのか、これから行うのか
• 自分で操作が必要なのか
• 使っているPHPバージョンが、サポート終了の対象になっていないか

見つからなければ、問い合わせフォームやサポートへの相談も考えましょう。私が調べた時点では、主要4社の発表は見つかりませんでした。出てくるまで放置するのではなく、次のステップの準備を進めておくのがおすすめです。

ステップ3：必要ならバックアップと更新

更新が必要だと分かったら、必ず先にバックアップを取ります。ファイルとデータベースの両方です。そのうえで、サーバー会社の案内に従ってPHPのバージョンを切り替えます。古いPHPを使っている場合は、テーマとプラグインが新しいPHPに対応しているか、更新の前に開発元の情報で確認してください。

ConoHa WINGでPHPを確認・変更する方法

コントロールパネルでの操作手順

ConoHa WINGの公式マニュアル「PHPの設定をする」では、PHP設定画面の開き方が次のように案内されています。

1. ConoHa WINGのコントロールパネルにログイン
2. 画面上部のメニューで「WING」を選ぶ
3. 左メニューの「サイト管理」を選ぶ
4. 「サイト設定」を開く
5. 上のタブの「応用設定」を選ぶ
6. 「PHP設定」を開く
7. 現在のPHPバージョンを確認する
8. 変更が必要な場合は、バージョンの横の鉛筆アイコンから選ぶ
9. 保存して、ブログの表示と管理画面を確認する

画面の名前は更新されることがあります。迷ったら、上のマニュアルで最新の表示を見てください。

「PHP 8.5を選ぶだけで解決」ではない理由

「PHP 8.4」「PHP 8.5」と表示されていても、その中身が今回の修正を含むかどうかは別の話です。修正版は8.5.12や8.4.27ですが、画面に出るのは「8.5」「8.4」の大きな区分だけで、細かい番号までは分からないことがあります。

ですので、PHP 8.5に変えれば必ず安全になる、とは言えません。ConoHa WINGが修正済みのPHPを用意しているかどうかを、公式のお知らせで確認してから判断しましょう。

5つのドメインを確認する手間を計算してみた

ConoHa WINGは、ドメインごとにPHPバージョンを設定できます。複数のブログを運営している方は、ひとつずつ確認が必要です。

試しに、手間を計算してみました。ここでの数字は、私が仮に置いた目安です。1ドメインあたり、バージョン確認に2分、更新後の動作確認に5分かかるとします。ドメインが5つなら、5×(2+5)＝35分。ドメインが1つなら7分です。

1つでも確認を忘れると、そのブログは古いまま残ります。作業の日を決めて、ドメインの一覧をメモしながら進めると抜け漏れを防げます。

エックスサーバー・ロリポップ・さくらはどうする？

主要4社の比較表

4社について、私が調べた範囲をまとめます。「発表」は、2026年10月21日時点で見つけられたかどうかです。

項目	ConoHa WING	エックスサーバー	ロリポップ！	さくらのレンタルサーバ
PHPの確認方法	WordPressのサイトヘルス、またはPHP設定画面	WordPressのサイトヘルス、またはサーバーパネル	WordPressのサイトヘルス、または管理画面	WordPressのサイトヘルス、またはコントロールパネル
変更方法	上で紹介した「PHP設定」から	サーバーパネルの「PHP Ver.切替」から	管理画面のPHP設定から（画面は公式ページで確認）	コントロールパネルのPHP設定から（画面は公式ページで確認）
今回の脆弱性の発表	見つけられませんでした	見つけられませんでした	見つけられませんでした	見つけられませんでした
利用者が行う操作	発表を待ち、必要なら設定画面で変更	同左	同左	同左
公式の案内	ConoHa WINGサポート「PHPの設定をする」	エックスサーバー「PHPのバージョンについて」	ロリポップ！ヘルプ「PHP設定」	さくらのサポート情報「PHPのバージョンを変更したい」

エックスサーバーの「PHP Ver.切替」は公式マニュアルで確認できました。ロリポップ！とさくらは、私のほうで画面の細かい手順までは確認できていません。表のとおり、公式の案内ページで最新の手順を見てください。

その他のサーバーはどう調べる？

mixhost、ColorfulBox、シンレンタルサーバー、ヘテムル、コアサーバー、お名前.comの6社についても、今回の脆弱性についての公式発表は、私が調べた範囲では見つかりませんでした。契約中の会社の「お知らせ」ページと、PHPバージョン変更のマニュアルを確認してください。

公式の発表が出ていないときの考え方

発表が出ていないあいだに、慌てて最新版へ切り替える必要はありません。サーバー会社が裏側で修正を進めている可能性もあるからです。ただし、PHP 7系や8.1以前のような古い版を使っている方は、そもそも公式のサポート外なので、別に更新の計画を立てておきましょう。

PHPを更新するとブログが真っ白になる？注意点と復旧方法

更新前にバックアップを取る理由

PHPを新しくすると、古いテーマやプラグインが動かなくなることがあります。そのため、更新の前にファイルとデータベースのバックアップを取っておきます。元に戻すための「保険」です。サーバー会社のバックアップ機能や、UpdraftPlusなどのプラグインが使えます。

Fatal errorと500エラーとは

画面が真っ白になったり、「重大なエラーが発生しました」と出たりするのが、Fatal error（致命的なエラー）です。プログラムが途中で止まった状態を指します。また、「HTTP 500」は「サーバー側で何か問題が起きた」という意味の表示です。どちらも、新しいPHPに古いプラグインが対応していないときに起きやすい症状です。

更新後の確認項目と、うまくいかなかったときの復旧

更新後は、次の項目を順に見てください。

• トップページと記事ページが表示されるか
• 管理画面にログインできるか
• 問い合わせフォームが送信できるか
• 画像のアップロードができるか

表示されなくなったら、まずサーバーの設定画面でPHPを元のバージョンへ戻します。多くの場合、これで表示が戻ります。ただし、これはあくまで応急措置です。古い脆弱なPHPを使い続けるのはおすすめできません。表示が戻ったら、問題の原因になっているプラグインやテーマを特定し、対応版へ更新してから、もう一度PHPを新しくしましょう。

それでも復旧できないときは、無理をせずサーバー会社のサポートに相談してください。バックアップがあれば、相談もスムーズです。

PHP脆弱性を放置するとどうなる？

一般的なサイト侵害で起こり得る被害

ここで挙げるのは、Webサイトが侵害されたときに「一般的に」起こり得る被害です。今回の脆弱性でこれらが実際に起きたと確認されたわけではありません。

• サイトの改ざん（見覚えのない文章や画像が入る）
• 不正なページの作成
• 情報の流出（問い合わせフォームの内容など）
• 不審なサイトへの転送（リダイレクト）
• SEOスパム（検索結果に怪しい文章が出る）
• マルウェア（有害なプログラム）の設置

情報が漏れてしまったときの動き方は、こちらの記事が参考になります。

→ タイムズカー情報漏洩で何をすればいい？

今回実際に起きたことと、想定される被害の違い

整理すると、こうなります。実際に確認できたのは「重大な脆弱性が見つかり、修正版が出た」という事実までです。「このサイトが改ざんされた」「個人情報が流出した」という報告は、私が調べた範囲では公式のページで見つかっていません。被害は「起こり得る可能性」であって、確定した事実ではない、という区別を持っておくと、ニュースを落ち着いて読めます。

PHP 8.2の残り日数を計算してみた

最後に、期限の話です。PHP 8.2は、2026年12月31日でセキュリティ対応が終わる予定です。今日（10月21日）から数えると、10月の残り10日＋11月の30日＋12月の31日で、10＋30＋31＝71日です。約2.4か月（71÷30）しかありません。

PHP 8.2.35に更新できても、期限が来れば次の脆弱性は直されなくなります。いまPHP 8.2を使っている方は、今回の更新と並行して、8.3以降への移行計画も立てておくと安心です。

よくある質問

Q. WordPressが最新版なら安全ですか？

いいえ、それだけでは足りません。WordPress本体とPHPは別々に更新するものです。今回はPHP側の問題なので、サーバー側の対応も確認してください。

Q. PHP 8.4なら問題ありませんか？

PHP 8.4でも、8.4.27より前のバージョンは修正前です。ただし、サーバー会社が番号を変えずに修正している場合もあるため、サーバー会社の案内も合わせて確認してください。

Q. PHP 8.5に変更すれば対策できますか？

8.5に変えるだけでは、対策になるとは言い切れません。修正版は8.5.12です。契約しているサーバーが修正済みのPHP 8.5を提供しているかを確認する必要があります。

Q. PHPの更新は自動で行われますか？

WordPressの自動更新では、PHPは更新されません。レンタルサーバーでは、サーバー会社が対応する場合と、利用者が設定画面で切り替える場合があります。どちらなのかは、各社の案内で確認してください。

Q. ConoHa WINGの利用者は何をすればよいですか？

まずサイトヘルスでPHPのバージョンを確認し、ConoHa WINGのお知らせを見てください。更新が必要なら、バックアップのあとで「PHP設定」から変更します。複数のドメインがある場合は、それぞれ確認が必要です。

Q. WAFを有効にすれば安心できますか？

WAFは不審なアクセスを防ぐ仕組みですが、これだけで安全になるとは言えません。PHP公式も、暫定的な設定は被害を減らすだけで、安全にするものではないと説明しています。根本的な対策は、修正版への更新です。

Q. 複数のWordPressを運営している場合は？

ドメインごとにPHPのバージョンが違うことがあります。ブログの一覧を作り、ひとつずつサイトヘルスで確認してください。

Q. 更新後にブログが表示されなくなったら？

サーバーの設定画面で、PHPを元のバージョンに戻してください。これは応急措置です。原因のプラグインやテーマを調べて対応したうえで、もう一度更新しましょう。自分で直せないときは、サーバー会社のサポートに相談してください。

Q. 自分のブログが改ざんされたか確認するには？

WordPressの「ユーザー」画面に、見覚えのない管理者がいないか見てください。次に、サイトに知らない記事やページが増えていないか、Google Search Consoleに「セキュリティの問題」の警告が出ていないかも確認します。少しでも不安なら、専門の業者やサーバー会社に相談しましょう。

Q. PHP 8.2はいつまで使えますか？

PHP公式によると、PHP 8.2のサポートは2026年12月31日までの予定です。長く使うなら、8.3以降への移行を考えておきましょう。

まとめ｜最初に確認すべき3つのこと

PHPの脆弱性は、名前が難しく、不安をあおる情報も多いので、焦ってしまいますよね。でも、やることは3つにしぼれます。

今日できる3つの行動

1. PHPのバージョンを確認する：WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPバージョンを見る
2. 契約サーバーの公式対応状況を調べる：お知らせに今回の脆弱性の案内が出ているか、自分で操作が必要かを見る
3. 必要な更新をバックアップのあとに行う：更新後は、表示とフォームを必ず確認する

落ち着いて続けるために

私は、この手の話題は「完璧に理解しよう」とするより、手順を1つずつ終わらせるほうが気持ちが軽くなると感じています。分からなくなったら、サーバー会社のサポートを頼って大丈夫です。

情報漏洩のニュースが続くときは、自分のアカウントの状況も気になりますよね。そんなときは、こちらの記事も参考にしてみてください。

→ 東京メトロ情報漏洩、自分は対象？

おすすめアイテム

パスワード管理は1Password

PHPのような土台の更新はサーバー側の仕事だけど、ログイン情報の守りは自分でできるんだよね。サイトごとに別のパスワードを作って管理しておけば、万が一どこかが破られても被害が広がりにくくなるよ。

ビサイユのトートバッグ

サーバー会社のお知らせを待つあいだ、バックアップ作業のためにノートPCを持って出かける日もあるよね。B5サイズが入って撥水加工のトートなら、少し雨が降っても気持ちに余裕が持てるよ。

軽量ショルダーBCS-140

画面とにらめっこが続いた日は、財布とスマホだけでふらっと散歩したくなるな。軽くて小ぶりのショルダーBCS-140なら、スキミング防止ポケット付きで、気分転換のお供にちょうどいいよ。