PHPで動いている会社のサイトは、修正版への更新が必要です。2026年10月21日、PHPの開発チームが重大な脆弱性2件の修正版を公開しました。認証なしで、外部からプログラムを実行される恐れがあるものです。
PHPは、WordPressをはじめ多くのホームページの裏側で動いている言語です。自社でサーバーを触っていなくても、サイトがPHPで動いていれば影響を受けます。
この記事では、何が起きたのか、自社サイトが対象かどうかの確かめ方、安全に更新する手順を順に説明します。
何が起きたのか
修正されたのは、CVE-2026-109618とCVE-2026-109619の2件です。深刻度を示すCVSSの値はどちらも9.2で、最も高い「緊急」の区分に入ります。
どちらも、ログインしていない第三者が細工した通信を送るだけで、サーバー上で任意のプログラムを動かせる恐れがあります。サイトの改ざんや、情報の持ち出しにつながります。
正式な公表の前日に詳細がネット上に流出し、公開後には複数のセキュリティ会社が攻撃の試みを観測しています。開発チームは、完全な回避策はなく更新だけが有効だと説明しています。
修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つです。8.1より古い版はすでにサポートが終わっていて、公式の修正版は出ていません。
10月23日には、特定の設定を組み合わせた場合に限って起きる別の問題も公表されました。こちらは次の通常の更新で直される予定で、それまでは設定の変更で防ぐよう案内されています。
自社サイトが対象か確かめる
まず、サイトがPHPで動いているかを確かめます。WordPressで作ったサイトなら、PHPで動いています。制作会社に任せている場合は、使っている仕組みを聞くのが早道です。
次に、PHPのバージョンを確かめます。調べる場所は、次の2つのどちらかです。
- WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」を開く
- レンタルサーバーの管理画面で、PHPのバージョンを設定する画面を開く
表示された数字を、上の表の修正版と見比べます。8.1より古い版は、修正版ではなく新しい版への移行が必要です。古い版のまま放置するのが、いちばん危険です。
レンタルサーバーでは、サーバー会社が修正版を自動で当てている場合もあります。管理画面のお知らせや、メンテナンス情報のページで、対応済みかどうかを確認してください。
安全に更新する手順
更新は、次の順番で進めます。テーマやプラグインが新しい版に対応していないと、PHPを切り替えた途端にサイトが表示されなくなることがあります。
- サイトのファイルとデータベースのバックアップを取り、戻し方を確かめる
- WordPress本体、テーマ、プラグインを先に最新にする
- PHPを修正版、または8.2以上の新しい版に切り替える
- トップと主要なページ、問い合わせフォームが正常に動くかを確かめる
8.1以前から移行する場合は、本番のサイトをいきなり切り替えないでください。複製したテスト用のサイトで先に試してから、本番を切り替えるのが安全です。
表示が崩れたり、エラーが出たりしたら、PHPのバージョンをいったん元に戻し、原因になっているプラグインを探します。バックアップがあれば、いつでも元の状態に戻せます。
任せている場合は、2つだけ聞いてください
サイトの管理を制作会社や担当者に任せている場合は、次の2つを聞いてください。
- サイトで動いているPHPのバージョンはいくつか
- 2026年10月21日の修正版は当たっているか
答えがすぐに返ってこないなら、更新の体制そのものを見直す時期です。脆弱性はこれからも見つかるので、一度直して終わりにせず、更新を続けられる仕組みを持っておくことが大切です。