2026年10月のPHP脆弱性｜WordPressで確認すること

WordPressは、PHPというプログラミング言語で動いています。2026年10月21日、このPHPに見つかった重大な脆弱性2件の修正版が公開されました。エックスサーバーなどのレンタルサーバー会社は、契約者のサーバーへの修正の適用を終えたと公表しています。

修正が入っていないPHPのままにしておくと、ログインしていない第三者が、サーバー上で任意のプログラムを動かせるおそれがあります。サイトの改ざん、問い合わせフォームに届いた内容などの情報の流出、迷惑メールの送信や他のサイトへの攻撃の踏み台に使われる、といった被害につながりかねません。

いちばん大事なのは、バックアップを早めに取っておくことです。万一サーバーが汚染されても、サイトのデータをすべて消し、汚染される前のバックアップから戻せば復旧できます。戻す前に、PHPを修正版にしておきます。

そのうえで、WordPressで確認することは3つです。

契約しているサーバー会社が、修正を入れたとお知らせしているか
お知らせが無い、または「お客様で対応を」と書かれている場合は、サイトのPHPのバージョンが修正版になっているか
PHPのバージョンが8.1以前なら、8.3以上に上げる時期を決めているか（サーバー会社の修正が無い場合は、すぐに上げる）

この記事では、それぞれの確かめ方と、白瑛が今回、保守を担当しているサイトで行った対応を紹介します。同じような脆弱性は今後も見つかります。次に同じことが起きたときの参考になれば幸いです。

2026年10月のPHP脆弱性で起きたこと

PHPの開発チームは10月20日、深刻度が10点満点中9.2（CVSS v4.0）の脆弱性が2件あると予告し、翌21日の日本時間23時に修正版を公開しました。PHP公式サイトの説明によると、悪用されると、ログインしていない第三者がサーバー上で任意のプログラムを動かせるおそれがあります。対象はWebサイトを動かしているすべてのPHPで、バージョンによる例外は示されていません。

修正版のバージョンは次のとおりです（PHP公式サイト、2026年10月27日確認）。

系列	修正版
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

PHP 8.1以前は、PHPの開発チームからの更新が終わっているため、修正版は出ていません。サーバー会社が独自に修正を入れている場合があります。

国内では、IPA（情報処理推進機構）が10月21日に事前準備を呼びかけ、国家サイバー統括室もPHPを使うサイトの確認を求めました。

サーバー会社のお知らせで、修正が入ったかを確かめる

レンタルサーバーでWordPressを動かしている場合、PHPに修正を入れるのは多くの場合サーバー会社です。最初に、契約しているサーバー会社のお知らせページで、今回の件への対応を確認しましょう。

見るのは、自社サイトのPHPの系列に「修正版に更新した」「修正パッチを適用した」と書かれているか、です。

たとえばエックスサーバーは、10月26日までに、契約者のサーバーのPHP 5.1〜8.5すべてに対応したと公表しています。PHP 8.2〜8.5は同じ系列の修正版に更新し、5.1〜8.1はバージョンを変えずに修正パッチを適用しました。そのうえで、急いでPHPのバージョンを変える必要はないと案内しています。一方、VPSのように利用者がサーバーを自分で管理するサービスには、エックスサーバーは修正を入れていません。PHPの更新は利用者が行う必要があります。

このように、サーバー会社が修正パッチを当てた場合、PHPのバージョンの番号は古いまま変わりません。番号だけで判断せず、まずお知らせを確認しましょう。

お知らせが無い場合は、PHPのバージョンを確かめる

サーバー会社のお知らせが見つからない、VPSや自社のサーバーで動かしている、または「お客様で対応を」と書かれている場合は、サイトのPHPのバージョンを確認します。

WordPressの管理者権限のあるアカウントで、次の順に開きます。

WordPressの管理画面にログインする
左のメニューから「ツール」→「サイトヘルス」を開く
「情報」タブを開く
「サーバー」の項目を開き、PHPのバージョンの行を見る

サーバー会社の管理画面（サーバーパネルなど）でも、ドメインごとのPHPのバージョンを確認・変更できる場合が多いです。

8.2〜8.5系なら、表示された番号が上の表の修正版以上になっているかを見ます。たとえば8.3系なら8.3.36以上です。修正版より古いままの場合、レンタルサーバーならサーバー会社に問い合わせて、修正を入れる時期を確認します。VPSや自社のサーバーでは、自社か保守を依頼している会社が、PHPを修正版に更新します。

PHP 8.1以前だった場合の進め方

8.1以前のPHPには、PHPの開発チームから修正は出ません。進め方は、サーバー会社の対応で分かれます。

サーバー会社が「8.1以前にも修正パッチを適用した」と明記している場合は、今回の脆弱性への対策は入っています。ただし公式のサポートが終わった系列なので、次に同じことが起きたときに修正が出る保証はありません。近いうちに系列を上げる計画を立てましょう
明記が無い場合は、できるだけ早く系列を上げます

上げ先は、8.3以上がおすすめです。8.2は、PHP公式のセキュリティサポートが2026年12月31日で終わります。8.3は2027年末、8.4は2028年末までです。

系列を上げると、古いテーマやプラグインが動かなくなることがあります。次の順に進めると、表示が崩れたときに元の状態へ戻せるようにしたうえで作業できます。

サイト全体（ファイルとデータベース）のバックアップを取る。サーバー会社のバックアップ機能か、WordPressのバックアップ用プラグインを使う
WordPress本体・テーマ・プラグインを最新版に更新する
サーバー会社の管理画面で、PHPの系列を上げる
トップページ・主要ページ・問い合わせフォームの表示と送信を確認する
表示が崩れた場合は、PHPの系列をいったん元に戻し、手順1のバックアップから復元したうえで、原因のテーマやプラグインを調べる

長く更新されていないテーマやプラグインがあると、系列を上げた時点で画面が崩れることがあります。社内で判断がつかないときは、保守を依頼している会社や制作会社に相談しましょう。

白瑛が今回行った対応

PHPの開発チームが修正版の公開を予告した10月20日からの、白瑛が保守を担当しているサイトでの対応は次のとおりです。

修正版の公開前に、全サイトのバックアップを取得
各社のご担当者へ、今回の件と対応の予定をご連絡
サーバー会社ごとの修正の対応状況を確認

エックスサーバーで動いているサイトは、サーバー会社の対応で修正が入ったため、白瑛での作業は不要でした。

今回は公開日時が前日に予告されたので、修正前にバックアップを取る時間がありました。予告が無い場合に備えて、日ごろから自動でバックアップを取っておくと、同じ状況でもすぐに作業に入れます。

次に同じことが起きたときに備えて決めておくこと

脆弱性は、PHPに限らず、WordPress本体やプラグインでも見つかります。次に備えて、社内で次の3点を決めておくと慌てずに済みます。

脆弱性の情報を、誰が、どこで確認するか（サーバー会社のお知らせ、IPAのセキュリティ情報など）
バックアップを、どこに、どのくらいの頻度で取っているか
サイトのPHPのバージョンを、いつ・誰が上げるか

社内に担当者を置けない場合は、更新とバックアップを外部に任せる方法と、サーバーの管理がいらない仕組みでサイトを作り直す方法があります。白瑛では、WordPressサイトの保守を月額1万円（税別）からお受けしており、他社が制作したサイトにも対応しています。サーバーや実行環境の管理をサービス側が行うShopifyでサイトを作ることもできます。どちらが合うかは、30分の無料相談で現在のサイトの状況を伺ってからご提案します。

出典