PHPの脆弱性にWordPressで対応する手順。バージョン確認から更新まで

PHPの脆弱性2026で起きていること。首相も対応を呼びかけ

2026年10月21日(協定世界時)、PHPの開発元は、「緊急」レベルの脆弱性2件を修正した PHP 8.5.12、8.4.27、8.3.36、8.2.35 を公開しました。PHPの公式サイトでは、すべての利用者にすぐ更新するよう強く勧めています(出典: PHP公式「News Archive - 2026」)。

これに先立ち、IPA(情報処理推進機構)は2026年10月21日に「【事前準備のお願い】PHPのセキュリティリリース公開予定について」を掲載しました。PHPを使っている製品やプログラムを棚卸しし、修正版が出たらすぐ適用できるよう準備することを呼びかけています。サポートが終わった古いPHPを使い続けているサイトやサービスが見受けられる、とも書かれています(出典: IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」)。

首相もXで「大至急のお願いです」と呼びかけ

高市早苗首相は10月21日の夜、自身のXで、この脆弱性について修正プログラムを速やかに適用できるよう準備することを呼びかけました。投稿には「大至急のお願いです」という言葉があり、すぐに適用するのが難しい場合は、ウェブサイトなどを一時的に止めることもリスクを減らす有効な方法の一つだとしています(出典: TBS NEWS DIG「高市総理「大至急のお願いです」PHPの脆弱性に関する注意喚起受け 修正プログラム適用など対応呼びかけ」)。

首相が個別のソフトウェアの脆弱性について直接呼びかけるのは異例だと報じられています。国家サイバー統括室も、同じ内容をXで呼びかけました(出典: ITmedia NEWS「高市総理「大至急、PHPパッチ適用を」Xで異例の要請」)。

CVE-2026-109618とCVE-2026-109619の中身

今回の脆弱性は2件です。どちらも、ログインしていない第三者が、外からサーバーの上で好きなプログラムを動かせてしまうおそれがあるとされています(出典: ITmedia NEWS「高市総理「大至急、PHPパッチ適用を」Xで異例の要請」)。報道と公式の告知の内容を、専門用語をなるべく言い換えてまとめると次のとおりです。

IPAは掲載の時点で、これらの脆弱性を悪用した攻撃は確認していないとしていました。その後の報道では、修正版の公開前に脆弱性の情報が流出し、検証用のコードも出回っていたと伝えられています。国内では、レンタルサーバー各社が緊急メンテナンスを実施しました(出典: ITmedia NEWS「PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開」)。

PHPの脆弱性で影響を受けるサイトと、WordPressとの関係

PHPは、ホームページを置いているサーバーの上で動くプログラムの言語です。WordPressはPHPで動いています。お問い合わせフォームや予約の仕組み、会員ページなどにPHPが使われていることもあります。IPAの掲載では、CERT-EU(欧州の公的なセキュリティ機関)の注意喚起として、PHP 5以降が影響を受けるとされています。

影響があるかどうか、誰が何をするかは、ホームページの作り方で変わります。主な形をまとめると次のとおりです。

PHP-FPMやmod_phpなど、動かし方による違い

PHP公式の告知では、Webのアクセスを受けて動くPHPの環境はすべて対象とされ、動かし方の中では mod_php が最も危険とされています。どの方式で動いているかは、サーバーの仕様で決まります。方式が分からなくても、持ち主が確かめることは、修正版に入れ替わっているか、選んでいるバージョンが修正の対象か、の2つで同じです。

WordPressが勧めるPHPのバージョン

WordPress の公式サイトでは、PHP 8.3以上を勧めています。PHP 7.4以上でも動きはするものの、サポートが終わったバージョンなので、サイトがセキュリティ上の弱点にさらされるおそれがあると説明されています(出典: WordPress.org「Requirements」)。WordPress でホームページを作る流れと、自分で保守を続けるときにやることはWordPressでホームページを作る方法で説明しています。

自分のサイトのPHPバージョン確認方法

PHPのバージョンは、WordPress の管理画面か、レンタルサーバーの管理画面で確かめられます。どちらにも入れないときは、作った会社に聞くのが早道です。

WordPressの管理画面でPHPのバージョンを確かめる

1. WordPress の管理画面にログインする
2. 左のメニューの「ツール」から「サイトヘルス」を開く
3. 上の「情報」タブを押す
4. 一覧の中の「サーバー」を開き、PHPのバージョンの欄を見る

WordPress の公式ドキュメントでも、サイトヘルスは「ツール」の中にあり、「情報」タブの「サーバー」の欄にPHPなどのサーバーの情報が出ると説明されています。古いPHPで動いているときは、「ステータス」タブに、PHPの更新が必要だという趣旨の項目が出ます(出典: WordPress.org「Site Health screen」)。

レンタルサーバーの管理画面で確かめる

多くのレンタルサーバーには、PHPのバージョンを選ぶメニューがあります。名前は「PHP設定」「PHPバージョン切替」など、会社ごとに違います。ドメインごとにバージョンを選べるサーバーでは、ホームページを複数持っているなら、すべてのドメインを確かめてください。

管理画面に入れないとき

ログインの情報が分からない、作った会社が管理していて自分では入れない、という場合は、作った会社に今のPHPのバージョンと対応の予定を問い合わせます。連絡が取れないときの進め方はホームページの制作会社と連絡が取れないときに、管理画面に入れない原因はホームページを更新できない原因と直し方にまとめています。

PHPアップデートのやり方と、切り替える前にやること

PHPのアップデートには2つの意味があります。1つは、同じ系列の中で修正版に入れ替えること(例: 8.3の古い版から8.3.36へ)。レンタルサーバーではサーバー会社の作業で、自分で管理するサーバーなら管理者の作業です。もう1つは、系列そのものを上げること(例: 8.1から8.3へ)。こちらはサイトの持ち主が管理画面で切り替えることが多く、不具合が出やすいのもこちらです。

1. ホームページのファイルとデータベースのバックアップを取り、パソコンなど別の場所にも保存する
2. WordPress本体、テーマ、プラグインを新しい版に更新する(古い版のままだと、新しいPHPで動かないことがある)
3. 使っていないテーマとプラグインを止めて、削除する
4. 使っているテーマとプラグインの配布ページで、対応しているPHPのバージョンを確かめる
5. サーバーに検証用の環境(ステージング)を作れる場合は、そこで先に新しいPHPに切り替えて表示を確かめる
6. アクセスの少ない時間帯に、本番のPHPのバージョンを切り替える
7. トップページ、主なページ、お問い合わせフォームの送信、管理画面へのログインと投稿を確かめる
8. 問題が出たら元のバージョンに戻し、原因を調べてからやり直す

今のバージョンと上げたいバージョンが大きく離れている場合(例: 7.4から8.3)は、間のバージョンで一度表示を確かめてから上げると、どこで不具合が出たのかを切り分けやすくなります。ただし、間のバージョンも8.1以前なら修正の対象外なので、確かめるだけにとどめ、そのまま使い続けないでください。

WordPressでPHPを更新するときの注意点

制作の現場で見ていると、PHPを上げてサイトが止まる原因になりやすいのは、WordPress本体よりも、古いテーマやプラグイン、あとから書き足したコードです。切り替える前に、次の表の順で確かめておくと、当日に慌てずに済みます。

プラグインの自動更新を止めているサイトは特に注意

表示の崩れを避けるために、プラグインやテーマの更新を止めたまま長く置いているサイトは、PHPを上げるときに一度に多くの変更が重なります。まず WordPress本体とプラグインを新しい版にして表示を確かめ、そのあとでPHPを切り替える、という順に分けてください。日ごろの更新と保守のやり方はホームページの更新と保守の方法で説明しています。

PHPの更新で起きやすい不具合と、元に戻す方法

PHPを切り替えたあとに起きやすい不具合と、まずやることを表にまとめました。どれも、慌てて別の設定をいじるより、いったん元のバージョンに戻してから原因を探す方が早く片づきます。「重大なエラーが発生しました」と出たときの直し方はWordPressの「重大なエラーが発生しました」の直し方に、真っ白になったときに戻して上げ直すまでの手順はPHPを更新して真っ白になったときの復旧手順に詳しくまとめています。

元のPHPのバージョンに戻す手順

1. サーバーの管理画面で、PHPのバージョンを切り替える前のものに戻す
2. トップページと管理画面が元どおり開くかを確かめる
3. 戻らなければ、作業の前に取ったバックアップからファイルとデータベースを戻す
4. テーマやプラグインを1つずつ止めながら、どれが原因かを探す
5. 原因のものを新しい版に更新するか、同じ機能の別のものに置き換える
6. バックアップを取り直してから、もう一度PHPを切り替える

PHP 8.1以前を使っているサイトの選択肢

PHP 8.1以前は、今回の公式の更新の対象外です。報道では、提供元(サーバー会社やOSの提供元など)に修正があるかを確かめるか、サポート中のバージョンへ移るよう呼びかけられています。PHP 7.4、8.0、8.1 向けにも最小限の修正を施したソースコードが公開されましたが、これはPHPを自分で組み立てて動かしている管理者向けのものです。レンタルサーバーを使っているサイトでは、8.2以上への切り替えが現実的な道です。

なお、PHP公式の告知では、PHP 8.2 のサポートは2026年12月31日に終わる予定とされています。これから切り替えるなら、WordPress の推奨と同じ PHP 8.3以上を目指すと、近いうちにもう一度切り替える手間を減らせます。8.1以前のサイトが、上げるか作り直すかを決めるときの考え方はPHP 8.1のサポート終了への対応で説明しています。

作ってから長く手が入っていないホームページは、PHPのほかにも古くなっている部分があることが多いものです。見直す点はホームページが古いと感じたときの直し方に、作り直す場合の費用の考え方はホームページのリニューアル費用にまとめています。SSLの設定が切れていないかも合わせて見ておくと安心です(「保護されていない通信」と出る原因と直し方)。

PHPの脆弱性への対応を自分でやるのが不安なとき

PHPの切り替えは、手順だけ見れば管理画面の操作で済みます。ただ、不具合が出たときに原因を探して戻すところまで考えると、次のような場合は人に頼んだ方が安全です。

• WordPress の管理画面やサーバーにログインできない
• 作った会社と連絡が取れない
• テーマやプラグインに手が入っていて、どこが動かなくなるか見当がつかない
• 不具合が出たときに、バックアップから戻せる自信がない
• お店の仕事があり、作業と確認の時間が取れない

• 作業の範囲: バージョンの確認だけか、切り替えまでか、不具合の修正まで含むか
• 費用の形: 1回きりの作業か、月々の保守に含まれるか
• バックアップ: 誰がどこに取り、問題が出たらどう戻すか
• その後: WordPress本体やプラグインの更新を、これから誰が見るか

PHPの切り替えと、不具合が出たときの復旧をまとめて任せたい場合はPHPの更新と復旧の代行を、一度で終わらせずに更新を続ける仕組みを作りたい場合はホームページの更新代行と保守を見てください。管理にかかるお金の目安の考え方はホームページの維持費にまとめています。

PHPの脆弱性にWordPressで対応するときの最初の一歩

最後に、ニュースを見てから動く順番を短くまとめます。

1. 自分のホームページが WordPress などPHPで動くものかを確かめる
2. 管理画面で、PHPのバージョンを確かめて書き留める
3. サーバー会社のお知らせで、修正版への対応が済んでいるかを確かめる
4. 8.1以前なら、バックアップとテーマやプラグインの確認をしてから、8.2以上(できれば8.3以上)へ切り替える
5. 自分で進めるのが不安なら、作った会社か保守の依頼先に相談する

大きく報じられると焦りますが、やることは、確かめる、備える、切り替える、の順番です。バックアップを取ってから進めれば、不具合が出ても元に戻せます。

uparia では、PHPのバージョンの確認から、切り替えの作業、不具合が出たときの復旧までをお受けしています。サイトの作りによって作業の量が変わるため、料金はお見積りです。