PHPの脆弱性｜WordPressで確認する手順

PHPの脆弱性のニュースを見て、WordPressの更新画面を開いたのに、PHPの項目が見つからず手が止まる。

サーバー会社が対応してくれるなら、持ち主は何もしなくていいんでしょうか？

「バージョンを上げれば終わり」でも「放置でOK」でもない。

自分の契約と設定に合わせて、修正の確認・必要な切り替え・修正後の点検まで進めるのが今回の対処。

この記事は2026年10月22日時点の公式情報をもとにした手順で、サーバー会社の対応状況は変わるため、作業前にも最新の告知を確認してくださいね。

PHPの脆弱性、WordPressの更新だけでは直らない

PHPは、WordPressを動かす、サーバーの中の仕組み。

PHP公式は10月21日、外から認証なしでプログラムを実行されるおそれのある欠陥の修正版を公開した。

必要なのはサーバー側のPHP本体の修正で、WordPress本体やプラグインの更新だけでは直らない。

放っておくと何が起きうるか

外からサーバーでプログラムを動かされると、ホームページを勝手に書き換えられたり、お問い合わせで預かったお客さんの情報を抜かれたりするおそれがある。

なかでも、PHPのバージョンを何年も上げていないサイトは本当に危ない。

8.1以前は今回の修正が通常の形では出ないため、穴が開いたままになる。

だからこそ、どの状況でも今日、自分のサイトのPHPのバージョンを必ず確かめるところから始めてくださいね。

自分の状況を3つに分ける

状況	持ち主がすること
A：共用レンタルサーバーでPHP 8.2以上、契約先が自分の利用環境を「修正済み」と告知	PHPの更新作業は通常、会社側で完了。ただし告知・各サイトの番号・後半の点検は確認する
B：PHP 8.1以前	自動更新の対象外になりうるため、バックアップ後に修正済みの8.3以上へ切り替える
C：VPS・自社サーバー、または制作会社任せで状況不明	今日、管理している人に確認する。末尾の文面をコピーして使う

Aに当てはまるなら、持ち主による大きな更新作業はほぼない。

ただし「レンタルサーバーだから安心」と決めず、自分の契約・PHPの系統も対応対象かを読むのが先。

8.2以上でも修正済みと確認できなければ、契約先に問い合わせる。

Bの8.1以前は通常のPHP公式更新が終了しており、サーバー会社も古い系統を更新してくれるとは限らない。

例外として、一部ベンダーの修正や、今回の7.4・8.0・8.1向けの最小限のソース修正はあるものの、一般の持ち主が自動で受け取れる保証はない。

契約先の対応を確かめ、サポート中の版へ移す方針で進めてくださいね。

サーバー管理者向けの補足

対象はPHP-FPM・mod_php・php-cgi・LiteSpeedなどWebで動くPHP全般で、とくにmod_phpの危険が高いとPHP公式は説明している。
CVE-2026-109618・CVE-2026-109619はいずれも深刻度を表すCVSS v4.0が9.2で、設定による暫定策だけでは完全な対処にならない。
VPS・自社サーバーは自分か管理者がOS・配布元の修正パッケージを適用し、必要なPHPやWebサーバーの再起動後、Webで動く各PHPへの反映も確認する。

PHPのバージョン確認は、最後の数字まで

WordPressで番号を見る手順

管理画面にログインし、左の「ツール」を開く
「サイトヘルス」を開く
「情報」タブを選ぶ
「サーバー」を開き、「PHPのバージョン」（画面によっては「PHPバージョン」）を見る
最後の数字までメモするか、画面を保存する

10月21日公開の修正版は、8.2系が8.2.35、8.3系が8.3.36、8.4系が8.4.27、8.5系が8.5.12。

同じ系統でこの版、または今回の修正を含むそれ以降の版かを照合する。

「8.3にした」だけでは、修正済みか判断できないんです。

一方、配布元が番号を大きく変えずに修正を取り込む場合もあるので、数字が違うときは告知やサポートで適用を確かめる。

PHPはサイトのドメインごとに設定できる場合があるため、サーバーの初期設定が新しくても、それだけで確認を終えない。

複数サイトがある人は、各サイトのサイトヘルスと、サーバー管理画面のドメイン別設定をそれぞれ見る。

サーバー会社のお知らせを探す手順

契約先の公式サイトか会員ページを開く
「お知らせ」「障害・メンテナンス情報」を探す
10月21日以降の「PHP」「脆弱性」「セキュリティ更新」に関する案内を開く
対象サービス・対象のPHPの系統・作業完了か予定か・利用者側の作業を読む
自分の契約に当てはまるか分からなければ、サイトのURLと現在の番号を添えてサポートへ聞く

「メンテナンス終了」とだけ書かれていても、自分が使うPHPまで今回の修正対象か分からなければ確認が必要。

今回、エックスサーバーなど各社の対応完了を示す公式告知本文は確認できていないため、会社別の完了・未完了はここでは断定しない。

レンタルサーバーのPHP更新は、バックアップから

変更前に、戻せる状態を用意する

サーバー管理画面の「バックアップ」「自動バックアップ」を開く
ファイルとデータベースの両方が保存されているか、保存日時・保存先・復元方法を確認する
最新の保存がない場合は、契約先の手順で手動バックアップを取る
プラグインを使う場合も、ファイルとデータベースを両方保存できるものを使い、完了を確認して手元などサーバー外にも保管する
現在のPHP番号を控え、テーマ・プラグインが切り替え先に対応しているか、配布元の案内を見る

記事や設定はデータベースに、画像やテーマなどはファイルに入っているため、片方だけでは元に戻せない。

保存ボタンを押しただけで終えず、バックアップができたことと、戻し方まで確かめてくださいね。

すでに不審な変化がある場合は、バックアップにも問題が含まれうるため、復元前に管理者へ相談する。

レンタルサーバーでPHPを切り替える手順

画面名は会社ごとに違うものの、一般的な流れは次のとおり。

WordPressではなく、サーバー会社の管理画面にログインする
「PHPバージョン切替」「PHP設定」などの項目を開く
変更するサイトのドメインを選ぶ
修正が適用済みで、テーマなどが対応するPHP 8.3以上のサポート中の版を選ぶ
「変更」「設定する」などのボタンで確定し、案内された反映時間を待つ
対象サイトのサイトヘルスを開き直し、実際の番号と修正状況を照合する

PHP 8.2は2026年12月31日でセキュリティサポート終了のため、8.2で今回の修正が済んでいても、互換性を確認して8.3以上への移行を進める。

切り替え先が選べない、古いテーマの対応が分からないときは、そこで管理会社へ依頼する。

切り替え後に確かめること

サイトヘルスで対象サイトのPHP番号を見直し、今回の修正済みと照合した
トップ・料金・申込など主要ページをパソコンで開いた
スマホでも表示とメニュー、ボタンの動きを確かめた
お問い合わせフォームに「動作確認」と書いて実際に送り、受信先に届くところまで確かめた
WordPress管理画面も開き、エラーが出ていないか見た

表示が崩れたりフォームが動かなかったりした場合は、同じPHP設定画面で変更前の番号に戻して、一時的に復旧する。

ただし元が未修正版なら、その間は危ない状態に戻るため、戻したまま放置せず、変更前後の番号と動かないページを添えて、早めに制作者へ連絡してくださいね。

修正後の確認と、管理会社へ送る文面

修正前に入り込まれていた場合、PHPを更新しても、置かれたファイルや作られたアカウントは元に戻らない。

今回のニュースだけで「自分のサイトにも入られた」と決める必要はないけれど、更新後に次の点検はしておきたい。

見覚えのない変更を探す手順

WordPressの「ユーザー → ユーザー一覧」を開き、見覚えのない管理者がいないか見る
サーバーのファイルマネージャーで対象ドメインのWordPressフォルダーを開き、「wp-content → uploads」などを更新日時順に並べ、見覚えのない「.php」で終わるファイルがないか見る
「プラグイン → インストール済みプラグイン」と「投稿一覧」を開き、知らないプラグインや予約投稿がないか見る
公開サイトを開き、知らない広告・リンク・別サイトへの移動などがないか見る
念のため「ユーザー → プロフィール」のアカウント管理から、管理者のパスワードを使い回しのないものへ変更する

これらは調査のきっかけになるサインで、単独では侵入の証拠ではない。

逆に、見つからなくても被害なしの証明にはならない。

制作会社が追加したものや正常なファイルの可能性もあるので、見覚えがないだけで削除せず、名前・場所・更新日時と画面を残して管理者へ確認する。

不審な変更が見つかったときは、パスワード変更だけで終えず、ログの確認や不正ファイルの調査・復旧も依頼する。

制作会社・管理会社へコピーして送る文面

> 対象サイト：［自分のサイトのURL］
>
> 当サイトのPHPについて、次の点を本日ご確認いただけますか。
>
> 1. 各サイトで使っているPHPのバージョンと、10月21日公開の修正版（CVE-2026-109618・CVE-2026-109619への修正）が適用済みか。
> 2. 8.1以前の場合、修正済みの8.3以上へ切り替える予定と、バックアップ・互換性確認・変更後の表示やフォーム送受信の確認予定。
> 3. 修正前の不審なログインや、管理者・ファイルの追加や変更がないかの確認状況。
>
> 未対応・未確認の項目は、その項目と対応予定を、完了した項目は適用後の番号と確認内容をご返信ください。

「対応済み」の一言だけで終わらせず、どのサイトに何を適用し、何を確認したかを残しておく。

まずは自分のPHP番号と、契約先の修正告知を並べて確かめてくださいね。

「自分のサーバーのPHPが分からない」「任せている制作会社と連絡が取れない」という方は、サイト改善診断の窓口へ、今分かっている状況を添えてご相談ください。