PHPの緊急脆弱性、WordPressサイトで何をする？ 修正版と確認手順

何が発表された？

PHPは、WordPressなどのサイトをサーバー側で動かすためのプログラムです。2026年10月21日、PHP開発チームは外部からログインせずに悪用され、任意のコードを実行されるおそれがある脆弱性2件を公表しました。修正済みのPHPも同日に公開されています。

「任意のコード実行」とは、条件がそろうと、攻撃者がサーバーに意図しない命令を実行させられることです。サイトの改ざんや、サーバーから読める情報への不正アクセスにつながる可能性があります。ただし、脆弱性があることと、あなたのサイトが侵害されたことは別です。この記事だけで被害の有無は判定できません。

WordPressの更新

管理画面で行う本体・プラグイン・テーマの更新。これだけでは今回のPHPの修正は入りません。

PHPの更新

サーバー側の更新。レンタルサーバー会社、サーバー管理者、保守担当に適用状況を確認します。

どのバージョンに更新すればよい？

PHP公式が示した、今回の2件を修正した版は次のとおりです。同じ系列の修正版以上が目安です。たとえば8.3系を使っているなら、8.3.36以降か、提供元が今回の修正を取り込んだパッケージかを確認します。

PHP 8.5系

8.5.12 以降

PHP 8.4系

8.4.27 以降

PHP 8.3系

8.3.36 以降

PHP 8.2系

8.2.35 以降

8.1系以前はPHP開発チームのサポート対象外です。サーバー会社やLinuxの提供元が修正をさかのぼって適用している場合もあるため、表示上の版だけで安全・危険を断定せず、今回の2件への対応状況を提供元へ確認してください。未対応なら、サポート中のPHPへ移行する計画が必要です。

レンタルサーバーの管理画面で新しい版がまだ選べない場合もあります。提供予定と、現在使っている環境への修正適用の有無をサーバー会社へ確認しましょう。別の系列へ慌てて切り替えると、テーマやプラグインが動かなくなることがあります。

なぜ急いで確認するの？

PHP公式によると、影響し得るのはWebからの要求を処理するPHP環境です。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが挙げられています。とくにmod_phpでは、アプリの処理が始まる前に、ログインしていない相手からの要求で攻撃できる例が確認されています。

脆弱性の番号はCVE-2026-109618とCVE-2026-109619です。一つはメモリ不足時の後片付け、もう一つは前の通信で使った内部状態の残り方に関わります。仕組みを理解して設定を変える必要はありません。サイト運営者に必要なのは、自分の環境に修正が適用されたかを確かめることです。

PHP公式は、設定変更などの一時的な対策は攻撃経路を減らしても完全な解決にはならず、修正の適用が必要だとしています。設定を独断で変更すると、アップロードやサイトの動作に影響する場合もあります。

最初の10分で、ここまで確認する

WordPressの管理画面に入れるなら、「ツール」→「サイトヘルス」→「情報」→「サーバー」を開き、「PHPのバージョン」を控えてください。画面が見つからない、権限がない場合は、サーバーの管理画面か保守担当に聞けば十分です。

依頼時は、次の文章をそのまま使えます。

「2026年10月21日に公表されたPHPのCVE-2026-109618、CVE-2026-109619について、当サイトで使用中のPHPの版と修正適用状況を確認してください。未対応なら、ファイルとデータベースのバックアップ、復元方法の確認、更新後の表示とフォームの点検までお願いします。」

すでに修正版の数字が表示されている場合も、実際にWebサイトを処理しているPHPの版か確認してください。コマンドライン用のPHPとWeb用のPHPが別のことがあります。サーバー会社による修正のさかのぼり適用では、表示上の版が上の数字にならない場合もあります。

表示がおかしいときは、更新だけで終わらせない

更新前からサイトが書き換わっている、見覚えのない管理者が増えた、不審なメール送信や転送があるなど、異変が見つかった場合は、侵害調査と復旧を別に依頼してください。画面や発生時刻を控え、ログとバックアップを保全し、サーバー会社・保守担当に連絡します。

異変がない場合でも、更新前にはファイルとデータベースの復元可能なバックアップを取り、更新後に利用者が使う機能を確認します。更新を完了したことと、過去に侵害がなかったことも別の判断です。

よくある質問