2026年10月21日、WordPressなどのWebサイトを動かす「PHP」に、外部から不正なプログラムを実行されるおそれがある重大な脆弱性が公表され、修正版が公開されました。WordPressで会社案内やネットショップを運営している方も、確認が必要です。
まず行うことは、自分のサイトが使っているPHPを確認し、その実行環境に今回の修正が適用されているか、サーバー管理者へ確認することです。WordPressの更新ボタンを押すだけで解決する問題ではありません。
WordPress公式は何を案内しているのか
WordPress公式は、PHPを速やかに更新するよう呼びかけています。サーバー会社が対応を進めている場合もありますが、利用者自身も対応状況を確認する必要があります。今回の問題について、WordPress本体の更新は必要なく、予定もないと説明しています。WordPress公式発表。
WordPressは記事やページを管理するソフト、PHPはそれをサーバー上で動かすエンジンです。どちらも更新は大切ですが、更新する場所が違います。まずは図で関係を確認してください。
WordPress本体・テーマ・プラグインの通常の自動更新と、PHP実行環境の更新は別です。以下は、公式案内をもとにAI WORKFORCEが初級者向けに整理した確認手順です。
手順1 WordPressの管理画面でPHPバージョンを記録する
① 管理画面にログインする
② 左側の「ツール」→「サイトヘルス」を開く
③ 「情報」タブを選ぶ
④ 「サーバー」を開き、「PHPバージョン」を確認する
サイトのURLと、表示された番号を末尾まで控えましょう。「8.2」だけではなく「8.2.35」や、その後ろの文字・番号まで記録します。画面のスクリーンショットでも構いません。この画面は確認用で、PHPを更新する画面ではありません。WordPress公式のサイトヘルス説明。
手順2 修正済みかを判断する
PHP公式が今回の修正版として公開したのは、8.2.35／8.3.36／8.4.27／8.5.12です。対象サイトがこれらの公式修正版で実際に動作していれば、今回の2件の修正を含みます。「PHP 8.2系を使用」という情報だけでは判断できません。PHP公式のセキュリティ発表。
「5.6.40」「7.4.33」など古い番号の場合は、番号だけで対応済みとも未対応とも断定しないでください。提供元が古い系統に修正だけを追加する「バックポート」があります。実例としてCloudLinuxは旧系統向け修正を提供し、変更履歴による確認を案内しています。提供されたことと、自分のサーバーに適用されたことは別です。CloudLinux公式の対応状況。
古いPHPを利用している方は、下記の問い合わせ文を使って確認してください。最新の番号へ慌てて切り替えると、古いテーマやプラグインが動かなくなる可能性があります。
手順3 未対応・不明の場合だけ、PHPの更新担当者を確認する
まず、手順2で今回の修正済みPHPになっているかを確認してください。対象サイトのWordPress「サイトヘルス」にPHP 8.2.35など今回の公式修正版が表示されていれば、共有サーバー・VPS・AWSのいずれでも、そのサイトのPHPを重ねて更新する作業は不要です。提供元によるバックポートの適用が確認できた場合も同様です。「VPSだから必ず追加作業が必要」という意味ではありません。
以下の更新担当者の確認が必要なのは、まだ修正が適用されていない場合、または適用状況が分からない場合です。単に番号が変わっただけではなく、今回の修正を含むPHPになったことを確認しましょう。動作確認や、不審な挙動がある場合の調査は、PHPの入れ替えとは別に行います。
共有レンタルサーバー：通常、PHP本体の更新は運営会社が行います。サイトが選択している8.2系の実行環境を運営会社が8.2.35へ更新すれば、その環境を使うサイトも通常は修正版で動きます。利用者がPHPを重ねてインストールする必要はありません。ただし、対象サーバー・対象PHP系統の適用状況は確認します。8.2系から8.4系への変更は別の判断です。
自己管理のVPS・AWS EC2：未修正の場合は、サーバーを管理する自社担当者、または管理を委託した会社が更新を手配します。ただし、サイトヘルスですでにPHP 8.2.35など今回の修正版を確認できていれば、追加のPHP更新作業は不要です。「AWSだから対応済み」と推測するのではなく、そのサイトで実際に動いているPHPを確認します。AWS公式のEC2責任範囲。
WordPress.comのホスティング：同社は今回の問題から保護済みと発表しています。ただし、これは同社のサービスに置いたサイトの話です。他社サーバーに設置したWordPress全般を保証する案内ではありません。WordPress.com公式発表。
そのまま使える サーバー管理者への確認文
件名：PHPの重大な脆弱性への対応状況の確認
対象サイト：［URL］
WordPressのサイトヘルスに表示されたPHP：［末尾まで記入］
CVE-2026-109618およびCVE-2026-109619について、このサイトが現在使用しているPHP実行環境は修正適用済みでしょうか。
適用済みの場合は、修正済みパッケージまたは変更履歴などの確認根拠と、稼働中の環境への反映状況をお知らせください。
未適用の場合は、対応予定と、それまでの公開制限など必要な暫定対応をご案内ください。
手順4 更新が必要なら、バックアップと動作確認をセットにする
担当者には、「バックアップ・復旧方法の確保 → 更新前の確認 → 修正版の適用と必要な再起動 → 動作確認」まで依頼します。特にPHP 7系から8系などの変更では、別の検証環境でテーマ・プラグインの互換性を確かめましょう。WordPress公式もPHP更新前のバックアップや互換性確認を案内しています。WordPress公式のPHP更新ガイド。
すぐに修正できない場合は、管理者と公開制限・一時停止を相談します。WordPress公式も、直ちに対処できない自己管理の旧環境について停止の検討を案内しています。WordPressの「メンテナンス中」表示プラグインを有効にするだけで十分とは考えないでください。PHPがアプリを動かす前に問題が起きる経路もあるため、遮断方法はサーバー側で判断します。
なお、一般的なPHP更新ガイドにある推奨バージョンの説明だけでは、今回の修正済み判定はできません。今回の2件については、セキュリティ発表に記載された修正版、または提供元の修正適用証明で確認します。
手順5 「更新しました」で終わらせず、確認結果を残す
□ 対象サイトが実際に修正済みPHPで動いている
□ トップページ・管理画面・問い合わせフォームが動く
□ ネットショップなら購入や決済の主要機能を確認した
□ 確認日・担当者・修正の根拠を記録した
修正適用は今回の脆弱性への対処であり、過去に侵入されていないことまで証明するものではありません。不審な挙動があれば、管理者にログや改ざんの調査を依頼してください。
最初の一歩は、サイトヘルスでPHPを確認することです。今回の修正済みPHPで動いていれば、共有サーバーでもVPS・AWSでも追加のPHP更新は不要です。未対応または判定できない場合に、共有サーバーなら運営会社へ、自己管理のVPSやEC2ならサーバー管理担当者へ確認してください。
APICEのアプリケーション保守と、PHP・サーバー基盤の更新作業は対象範囲が異なります。基盤対応は保守契約中のお客様も含め、環境と必要作業を確認のうえ、別途お見積もりとなります。
一次情報確認：2026年10月22日 12:01（日本時間）。説明改訂：同日14:26。修正済みPHPを確認できた場合は、VPS・AWSでも追加のPHP更新が不要であることを明確化しました。本記事はWordPress公式の案内とPHP・各提供元の公開情報をもとに整理しています。適用状況が不明な場合は契約先・管理者に確認してください。
コメント