2026年10月21日、ホームページの動作に広く利用されている「PHP」に、重大なセキュリティ上の脆弱性があるとして、修正版が公開されました。
今回の問題では、条件によって第三者がサーバー上で不正なプログラムを実行できる可能性が指摘されています。
「自社のホームページもWordPressで作られているけれど、大丈夫だろうか？」
「制作会社に任せきりで、PHPのバージョンが分からない」
そのような不安を感じている企業・店舗の担当者様もいらっしゃるのではないでしょうか。
この記事では、今回のPHP脆弱性の概要と確認方法、必要なセキュリティ対策について、専門知識がない方にも分かりやすく解説します。
2026年10月に公表されたPHPの重大な脆弱性とは？
PHPは、WordPressをはじめ、多くのホームページやWebサービスで利用されているプログラミング言語です。
普段ホームページを閲覧しているだけでは分かりませんが、WordPressの管理画面やお問い合わせフォームなど、さまざまな機能を動かすために使われています。
2026年10月21日、PHP公式は2件の重大な脆弱性を修正するセキュリティ更新を公開しました。
対象となる脆弱性は次の2件です。
- CVE-2026-109618
- CVE-2026-109619
いずれも深刻度が高く、悪用された場合には、認証されていない第三者による遠隔コード実行につながる可能性があります。
ただし、すべてのホームページで被害が発生するという意味ではありません。
利用しているPHPのバージョンやサーバー構成によって影響が異なります。
重要なのは、自社サイトが影響を受ける環境か確認し、必要に応じて修正版を適用することです。
影響を受けるPHPのバージョン
PHP公式とIPAは、今回の脆弱性を修正したバージョンを案内しています。
| PHPの系列 | 修正済みバージョン |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
これらは2026年10月21日時点で公表された修正版です。
各系列の修正版より古いバージョンを使っている場合には、影響の有無を確認する必要があります。
また、PHP 8.1以前など、サポートが終了した系列についても注意が必要です。
なお、レンタルサーバー会社が独自に修正パッチを適用している場合もあるため、単純なバージョン番号だけでは判断できないことがあります。
WordPressのホームページで確認したい3つのこと
1. PHPのバージョンが更新されているか
まず確認したいのが、サーバーで使用しているPHPのバージョンです。
WordPressをご利用の場合、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」などから、PHPバージョンを確認できます。
また、レンタルサーバーの管理画面でも確認できる場合があります。
PHPの更新が必要な場合でも、慌てて変更するのはおすすめしません。古いテーマやプラグインとの互換性によっては、表示崩れやエラーが発生する可能性があるためです。
PHPをこれまでほとんど更新されていなかったサイトの場合、ホームページだけではなく管理画面も表示されなくなったということもあります。
更新前にはバックアップを取得し、必要に応じて動作確認を行い操作しましょう。
2. WordPress本体・プラグイン・テーマが更新されているか
PHPだけが新しくなっていても、ホームページ全体の安全性が保証されるわけではありません。
WordPress本体、プラグイン、テーマにも、個別の脆弱性が見つかることがあります。
長期間使用されていないプラグインや、更新が停止しているテーマが残っていないかも確認が必要です。
古いテーマで更新を行わずに使っていた場合、ホームページの表示崩れが起こる割合が高くなります！
3. バックアップやログイン保護ができているか
万が一のトラブルに備えて、ホームページを復旧できる状態にしておくことも重要です。
特に以下を確認しておきましょう。
- 定期的にバックアップを取得しているか
- バックアップから復元できるか確認しているか
- 管理者アカウントのパスワードが適切に管理されているか
- 2段階認証などのログイン保護を導入しているか
- 不要な管理者アカウントが残っていないか
セキュリティ対策は、更新だけではなく、日頃の運用管理を含めて考えることが大切です。
サーバー会社が対策してくれていれば安心？
レンタルサーバー会社によっては、PHPのセキュリティ修正が自動的に適用される場合があります。
そのため、自社でPHPを更新した覚えがなくても、サーバー側で対策が完了しているケースがあります。
ただし、次の点には注意が必要です。
- 実際に利用しているPHP環境にも修正が適用されているか
- WordPressやプラグインの脆弱性は別途確認されているか
- 古いプログラムが引き続き使われていないか
サーバー会社の対応だけで、ホームページ全体のセキュリティ対策が完了するわけではありません。
ホームページが普通に表示されていれば問題ない？
正常に表示されていることと、セキュリティ上の問題がないことは別です。
脆弱性が存在していても、表面上は何も変わらずホームページを閲覧できる場合があります。
また、WordPressの管理画面にログインできなければ、内部の更新状況やバックアップ設定を正確に確認できません。
そのため、まずは確認できる情報からサイトの状態を整理し、必要に応じて管理画面やサーバー環境の詳細点検へ進むことが重要です。
WEB-Reではセキュリティ対策を含む保守管理に対応
WEB-Reでは、従来のホームページ更新・管理に加えて、セキュリティ対策を強化した保守サービスをご用意しています。
基本保守プラン
月額4,400円（税込）
ホームページの軽微な更新やバックアップ、WordPress・プラグインの通常保守などをサポートします。
セキュリティ保守プラン
月額7,700円（税込）
基本保守に加えて、以下のような安全対策を行います。
- PHP・WordPress・プラグインの脆弱性情報確認
- ログイン保護や不正ログイン対策
- 月1回のセキュリティ点検
- 重大な脆弱性が公表された際の優先確認
- 対応可能な範囲でのセキュリティ更新と基本的な動作確認
- 点検結果や必要な改善内容のご案内
※初期設定費用16,500円（税込）〜。
※大規模改修や感染復旧は別途見積もりとなります。
詳しくは ホームページ保守管理の料金プラン をご覧ください。
まずは無料診断でホームページの状態を確認しませんか？
「うちのホームページは大丈夫なのか分からない」
「WordPressを何年も更新していない」
「制作会社と連絡が取れず、管理状況が不明」
そんな場合は、まずWEB-Reの無料ホームページ診断をご利用ください。
セキュリティ・SSL・スマートフォン表示・SEO・問い合わせ導線などについて、外部から確認できる範囲でチェックし、改善を検討した方がよいポイントをご案内します。
診断は無料、契約も不要です。
※無料診断ではPHPの実際のバージョン、WordPress内部の正確な更新状況、サーバー内部の設定などは確認できません。これらは管理権限を用いた詳細確認が必要です。
