2026年10月21日、PHPの開発元が、重大な脆弱性2件を修正した新しいバージョンを公開しました。
PHPは、WordPressをはじめ、多くのホームページやお問い合わせフォームを動かしているプログラムの言語です。WordPressで作ったホームページを持っている会社は、ほぼ全社が関係します。
外部から、ログインなしでプログラムを実行されるおそれがある種類の脆弱性です。何を確認すればよいかを、立場別に整理します。
01何が起きたか
| 項目 | 内容 |
|---|---|
| 公開日 | 2026年10月21日 |
| 番号 | CVE-2026-109618 ／ CVE-2026-109619 |
| 深刻度 | 2件ともCVSS v4.0で9.2（重大）（PHP開発元の発表） |
| 起きること | 認証なしで、外部からプログラムを実行されるおそれ |
| 対象 | Webのリクエストを処理するPHPすべて。中でもApacheのmod_phpが最も危険とされています |
| 修正版 | 8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35 |
報道の中には深刻度を「10.0」としているものもありますが、PHPの開発元が出している値は9.2です。
IPA（情報処理推進機構）は10月21日時点で、この脆弱性を悪用した攻撃は確認していないとしたうえで、悪用のおそれがあるとして予防的に注意を呼びかけています。
02「設定で防げる」は、完全ではありません
PHPの開発元は、設定の変更で攻撃の経路を減らす方法も示しています。ただし同時に、完全な回避策は無く、修正版への更新が唯一の完全な解決策だとはっきり書いています。
設定を変えたから大丈夫、とは考えないでください。 最終的には更新が必要です。
03古いPHPを使っている場合が一番危険です
PHP 8.1以前は、開発元からの更新がもう出ません。 今回の修正版も、8.2以降にしか用意されていません。
古いWordPressのサイトでは、PHP 7.4や8.0のまま動いていることが珍しくありません。その場合は、新しいバージョンのPHPへ切り替える必要があります。
もう1つ、PHP 8.2は2026年12月31日でサポートが終わります。 今回8.2で更新した場合も、年内には8.3以降への切り替えを考えておく必要があります。
04自社のサイトで確認すること
まず、自社のホームページがどこで、誰の管理で動いているかで、やることが変わります。
レンタルサーバーで、自社で管理している場合
エックスサーバー、さくらのレンタルサーバ、ConoHa WING、ロリポップなどです。
- 契約しているレンタルサーバーのお知らせを確認する。 多くの場合、PHP本体の更新は事業者側の作業になります。更新が済んだか、利用者側の操作が必要かを確かめてください
- 管理画面で、サイトが使っているPHPのバージョンを確認する。 8.1以前なら、8.2以降への切り替えが必要です
- 切り替えたら、表示とお問い合わせフォームを確かめる。 古いプラグインやテーマは、新しいPHPで動かなくなることがあります
制作会社・管理会社に任せている場合
「管理を任せているから大丈夫」とは限りません。 契約によっては、PHPの更新が保守の範囲に入っていないことがあります。
次の文面をそのまま送って構いません。
お世話になっております。10月21日に公開されたPHPの脆弱性（CVE-2026-109618／CVE-2026-109619）について確認させてください。
当社のホームページで使っているPHPのバージョンと、今回の修正版への更新が済んでいるかを教えていただけますか。
未対応の場合は、対応の予定日もあわせてお知らせください。
返事が来ない、または「分からない」と言われた場合は、その時点で別の手を考えた方が安全です。
自社でサーバーを管理している場合
VPSや社内のサーバーで動かしている場合は、修正版（8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35）へ直ちに更新してください。 更新後は、Webサーバーとワーカーの再起動まで行い、実際に動いているPHPが修正版になっているかを確認してください。
05WordPressでPHPのバージョンを確かめる方法
WordPressの管理画面から確認できます。
- 管理画面にログインする
- 左のメニューの 「ツール」→「サイトヘルス」 を開く
- 上の 「情報」 タブを開く
- 「サーバー」 を開くと、「PHP バージョン」 が表示されます
ここに出ている数字が、8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35 以上なら修正済みです。8.1以前なら、切り替えが必要です。
06対応が難しい場合は、緊急のパッチ適用を承ります
「管理画面の場所が分からない」「切り替えたらサイトが崩れないか心配」「管理会社と連絡がつかない」という場合は、シモテクノロジーが緊急のパッチ適用を有償で承ります。
- PHPのバージョンの確認と、修正版への更新・切り替え
- 作業前のバックアップ
- 更新後の表示とお問い合わせフォームの動作確認
- 古いプラグイン・テーマが動かなくなった場合の切り分け
料金は、サーバーの種類と作業の内容を伺ってからお見積もりします。作業の前に必ず金額をお伝えし、ご了承をいただいてから進めます。
作業には、レンタルサーバーやWordPressの管理画面に入るための情報が必要です。別の会社がサイトを管理している場合は、その会社のご了承をいただいてから作業します。
急ぎの場合は、お電話（090-4003-9201）が早いです。LINE・お問い合わせフォームからも承っております。
---
出典：PHP公式（php.net）のセキュリティ情報（2026年10月21日）／IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）。修正版のバージョン、深刻度、回避策の扱い、サポート終了の時期はPHP公式の発表に、攻撃の確認状況はIPAの発表に基づいています。本記事は2026年10月22日時点の情報です。