PHPに重大な脆弱性。WordPressサイトで今すぐ確認したいバージョンと更新方法

2026年10月21日、PHPに2件の重大なセキュリティ脆弱性が見つかり、修正版が公開されました。

今回の脆弱性は、条件がそろうと、ログインしていない外部の攻撃者がサーバー上で不正なコードを実行できる可能性があるというものです。

PHPはWordPressをはじめ、多くのWebサイトやWebアプリケーションで使われています。

そのため、WordPress本体を最新版にしているサイトでも、サーバー側のPHPが古ければ影響を受ける可能性があります。

今回は、どのPHPバージョンが対象なのか、WordPressでの確認方法、レンタルサーバー利用時の対応、更新時の注意点を整理します。

今回発見されたPHPの脆弱性とは？

今回修正されたのは、次の2件です。

• CVE-2026-109618
• CVE-2026-109619

いずれもPHP内部のメモリ処理に関係する脆弱性で、認証なしのリモートコード実行（RCE）につながる可能性があります。

リモートコード実行とは、外部からサーバー上で不正なプログラムを動かされることです。

悪用に成功した場合、サーバー上の情報へのアクセス、Webサイトの改ざんなどにつながるおそれがあります。

PHP公式は、Webリクエストを処理するPHP環境について、速やかな更新を強く推奨しています。

今回の問題は、特定のWordPressプラグインやテーマが原因ではありません。PHPそのものの脆弱性です。

参考：PHP公式

対象となるPHPバージョン

2026年10月23日時点で、今回の脆弱性に対する修正が含まれるバージョンは以下のとおりです。

PHP 8.1以前は、PHPプロジェクトによる通常のセキュリティサポートが終了しています。

一部のOSやホスティング事業者では独自に修正をバックポートしている場合がありますが、基本的にはサポート対象のPHPへの移行を検討する必要があります。

ここで注意したいのは、PHPのバージョンを「8.4」や「8.3」までしか確認していないケースです。

例えば、PHP 8.4.26とPHP 8.4.27では、今回の脆弱性への対応状況が異なります。

つまり、「PHP 8.4だから新しいので大丈夫」とは判断できません。

末尾のパッチバージョンまで確認することが重要です。

参考：AWS セキュリティ情報

WordPressのPHPバージョンを確認する方法

WordPressを利用している場合、管理画面からPHPのバージョンを確認できます。

1. WordPress管理画面にログイン
2. 「ツール」を開く
3. 「サイトヘルス」を選択
4. 「情報」タブを開く
5. 「サーバー」を展開
6. PHPバージョンを確認

ここで表示されるPHPバージョンを、先ほどの修正済みバージョンと比較してください。

WordPress公式も、今回の脆弱性についてPHPの速やかな更新を呼びかけています。

なお、今回の問題を修正するためのWordPress本体の更新は予定されていません。必要なのはPHP側の修正です。

参考：WordPress公式（日本語）

レンタルサーバーを利用している場合は？

エックスサーバー、さくらのレンタルサーバ、ロリポップ！などを利用している場合、PHPの管理方法はサービスによって異なります。

一般的に、利用者がPHP 8.3や8.4といった系列を選択できても、8.3.36や8.4.27といった細かいパッチバージョンは、サーバー会社側が管理している場合があります。

そのため、PHPの設定画面に「8.4」と表示されているだけでは、今回の修正が適用済みか判断できないことがあります。

確認したいのは、次の3点です。

• 現在Webサイトで動作しているPHPの正確なバージョン
• サーバー会社が今回の脆弱性への対応を完了しているか
• 利用者側でPHPの切り替え操作が必要か

レンタルサーバー会社がセキュリティ修正を適用する場合、利用者がPHPの系列を変更しなくても対策されることがあります。

逆に、古いPHP系列を選択したままの場合、利用者による変更が必要になるケースもあります。

まずは利用中のサーバー会社のお知らせやサポート情報を確認してください。

SSHが使える場合の確認方法

SSHでサーバーへ接続できる場合、次のコマンドでPHPのバージョンを確認できます。

php -v

ただし、ここには注意点があります。

このコマンドで表示されるのは、コマンドライン（CLI）で使われるPHPのバージョンです。

Webサイトで実際に動作しているPHPと異なる場合があります。

特に、複数のPHPバージョンを切り替えられるレンタルサーバーでは注意が必要です。

WordPressサイトであれば、まずサイトヘルスに表示されるPHPバージョンを確認する方が分かりやすいでしょう。

独自開発のPHPサイトでは、サーバーの設定やホスティング事業者の案内から、Web側で使用されるPHPを確認する必要があります。

なお、確認用のPHPファイルを公開領域に設置する場合は、情報漏えいを防ぐため、確認後に必ず削除してください。

PHPを更新する前に確認したいこと

今回のような重大な脆弱性では、速やかな更新が重要です。

ただし、PHPのバージョンを変更すると、古いWordPressテーマやプラグイン、独自開発のPHPコードが正常に動作しなくなる場合があります。

特に確認したいのは、次の項目です。

1. バックアップを取得する

WordPressのファイルとデータベースをバックアップします。

万が一、更新後に不具合が発生した場合でも、元の状態へ戻せるようにしておきます。

2. テーマとプラグインの対応状況を確認する

古いテーマやプラグインは、新しいPHPで動作しない場合があります。

有料テーマを使用している場合は、販売元が新しいバージョンを公開していないか確認しましょう。

ただし、更新できるものをすべて一度に更新すると、不具合が発生した際に原因を特定しにくくなります。

可能であれば検証環境で確認し、変更内容を把握しながら作業することをおすすめします。

3. フォームなどの動作を確認する

PHP更新後は、トップページが表示されるだけでなく、実際の機能まで確認してください。

例えば、

• お問い合わせフォームの送信
• メールの受信
• WordPress管理画面へのログイン
• 投稿や固定ページの編集・保存
• 検索機能や独自機能
• ECサイトの場合は購入処理

などです。

見た目が正常でも、裏側のPHP処理でエラーが発生している可能性があります。

WordPress本体・テーマ・プラグインも更新すべき？

今回の脆弱性への直接的な対策は、PHPの修正です。

しかし、WordPressサイトの安全性を維持するには、それだけでは十分ではありません。

WordPressサイトには、大きく分けて次の4つの更新対象があります。

例えば、WordPress本体とPHPが最新版でも、脆弱性のあるプラグインを使っていれば、そこが攻撃対象になる可能性があります。

反対に、WordPress本体・テーマ・プラグインをすべて更新していても、PHPに今回の脆弱性が残っていれば問題です。

それぞれ別の更新対象として管理する必要があります。

また、古いテーマが現在も正常に表示されていることと、今後も安全に使い続けられることは別です。

更新が止まっているテーマやプラグインについては、提供元のサポート状況も確認しておきたいところです。

WordPress以外のPHPサイトも対象

今回の脆弱性はWordPress固有のものではありません。

PHPを使っているWebサイトやシステム全般が対象になり得ます。

例えば、独自開発のお問い合わせフォーム、会員システム、管理画面などです。

また、HTML中心の静的サイトであっても、フォームの送信処理だけPHPを使っている場合があります。

「WordPressを使っていないから関係ない」とは限りません。

PHPを利用している箇所がないか確認することも重要です。

更新できない場合はどうする？

古いテーマや独自システムとの互換性の問題で、すぐにPHPを更新できないケースもあると思います。

その場合は、サーバー会社や開発担当者に相談し、修正版PHPへの移行方法を確認してください。

WAFなどの防御策が有効な場合もありますが、今回の脆弱性について、PHP公式は更新を強く推奨しています。

WAFを有効にしただけで完全に対策できたとは考えない方がよいでしょう。

修正が難しい場合は、影響を受ける機能の一時停止や公開範囲の制限も含めて検討する必要があります。

まとめ：まずはPHPのバージョンを確認

今回のPHPの重大な脆弱性は、WordPressを利用しているかどうかに関係なく、PHPで動作するWebサイトに影響する問題です。

まずは現在のPHPバージョンを確認し、今回の修正が適用されているかを調べてください。

特に、PHP 8.3や8.4といった系列だけでなく、パッチバージョンまで確認することが重要です。

また、PHPの更新だけでなく、WordPress本体・テーマ・プラグインの保守状況も定期的に確認しておきたいところです。

Webサイトは公開して終わりではありません。

長く安全に使い続けるためには、定期的な更新と動作確認が必要です。

株式会社おべんちゃーでは、WordPressサイトの更新やPHPのバージョン確認、既存サイトの保守・改修についてもご相談を承っています。

WordPressの保守・セキュリティについてお気軽にご相談ください