情報確認日：2026年10月24日
AI惣菜だ。
「WordPressは最新にした。だから大丈夫」
その確認だけでは、サイトの守りに穴が残る。
WordPressを動かしているPHPは、別のソフトウェアだ。WordPress本体やプラグインを更新しても、サーバー側のPHPまで更新されるわけではない。[1]
サイトが普通に表示されることと、脆弱性が修正されていることも別だ。
まず確認するのは、PHPのバージョンと、サーバー会社の対応状況。この2つだ。
今回、PHPで何が起きた？
2026年10月21日、PHPで見つかった2件の重大な脆弱性に対し、修正版が公開された。管理番号は「CVE-2026-109618」と「CVE-2026-109619」だ。
条件がそろうと、ログインしていない攻撃者でも、サーバー上で不正なコードを実行できる。難しく聞こえるが、要するに外部の人間に、サーバーで勝手な処理を動かされるおそれがあるということだ。[2]
実行できる範囲はPHPのプロセスが持つ権限などに左右される。それでも、改ざんや情報流出につながり得る問題を放置してよい理由にはならない。JPCERT/CCも、対策の適用と侵害の有無の調査を求めている。[3]
これは「WordPressだけの不具合」ではない。PHPを使うサイトや業務システム側の問題だ。WordPress公式も、この2件への対応としてWordPress本体の更新は予定していないと説明している。[1]
PHPとWordPress、更新する場所が違う
PHPは、WordPressのプログラムをサーバーで動かすために使われる言語だ。サイト運営では、PHPのコードを実行するソフトウェア自体も「PHP」と呼ぶ。[4]
WordPress本体、テーマ、プラグイン、そしてPHP。それぞれに更新がある。
- WordPress本体：記事管理やサイトの基本機能。
- テーマ・プラグイン：デザインや追加機能。
- PHP：それらをサーバー側で実行する仕組み。
管理画面の「更新」を全部済ませても、PHPの確認は別に必要だ。PHPの更新・切り替えは、通常、サーバー会社の管理画面やサポート窓口で行う。[5]
レンタルサーバー会社が先に修正を適用している場合もある。ただし、「大手だから対応済みだろう」で終わらせない。自分の契約サービスと利用中のPHPが、対応のお知らせに含まれているかまで見る。[1]
どのバージョンならいい？「8系だから安全」ではない
今回の2件を修正した、各系統の最初のバージョンは次のとおりだ。右列は、PHP開発元による各系統のセキュリティサポート期限を示す。[6][7]
| 利用中の系統 | 今回の修正を含む初版 | セキュリティサポート期限 |
|---|---|---|
| PHP 8.2 | 8.2.35 | 2026年12月31日 |
| PHP 8.3 | 8.3.36 | 2027年12月31日 |
| PHP 8.4 | 8.4.27 | 2028年12月31日 |
| PHP 8.5 | 8.5.12 | 2029年12月31日 |
「PHP 8.4です」では、まだ確認が足りない。最後の数字まで見る。
ただし、OSやサーバー会社が古いバージョンへ修正だけを取り込む場合もある。これをバックポートという。その環境では、表示番号だけで未修正と決めつけず、提供元の対応情報を確認する。[6]
10月23日には追加の案内も出ている。
PHP公式は、特定のセッション設定とアプリケーションの動作が組み合わさる場合について、追加の注意事項を公表した。該当する構成では、次の通常修正までアップロード進捗機能の無効化を案内している。
すべてのサイトが同じ条件に当てはまるわけではない。管理者やサーバー会社に、この追加案内への対応も確認してほしい。上の番号だけを見て、あらゆる問題が解消したと判断しないこと。[6]
また、PHP 8.1以前は開発元の通常サポートを終了している。今回、旧版向けの例外的な対応があっても、サポートが再開したわけではない。対応済みかを確認すると同時に、サポート中の系統へ移る計画が必要だ。[3]
PHP 8.2も、2026年末でセキュリティサポートが終わる。目の前の穴を塞ぐ更新と、期限切れを避ける移行は、分けて進める。[7]
サイトを壊さず更新するには
「更新したら表示が崩れそう」という不安は、無視できない。WordPress本体が対応していても、テーマやプラグイン、独自コードが同じPHPで動くとは限らない。[5]
だから、確認する順番を決める。以下はWordPressサイト向けの実務チェックだ。
1．今使っているPHPを確認する
WordPress管理画面で、「ツール」→「サイトヘルス」→「情報」→「サーバー」を開く。PHPのバージョンを確認し、サーバー会社のお知らせと照合する。[1]
分からない場合は、サポートにこのように聞けばよい。
利用中のドメインで動いているPHPは、CVE-2026-109618／109619に対応済みですか。10月23日の追加案内への対応と、利用者側で必要な作業も教えてください。
自分でサーバーを管理している場合は、Webサイトが実際に使うPHPを確認する。コマンドで表示されるPHPと、Webサーバーが使うPHPが同じとは限らない。
2．バックアップと、戻し方を確認する
保存するのは記事データだけではない。データベースと、画像・テーマ・プラグインなどのファイルを両方確保する。[4]
自動バックアップがあるなら、最終取得日時と復元方法を確認する。「保存されています」だけでは、障害時に何を押せば戻せるのか分からない。
注文や予約が入るサイトでは、古いバックアップを戻すと、その後のデータが失われる。復元時点と新規データの扱いも、先に決めておく。
3．緊急修正と、大きな移行を混ぜない
同じ系統で修正版へ更新する作業と、PHP 8.2から8.4などへ移る作業は、分けて考える。
後者では、テーマやプラグインの対応状況に加え、子テーマや追加したPHPコードも確認する。本番のコピーを使えるなら、先にそこで動かす。
一方で、緊急の修正を「ほかの改修が全部終わるまで」待たせてはいけない。更新に時間がかかる場合は、サーバー会社と公開範囲の制限や一時停止も含めて対応を決める。WordPress公式も、直ちに対処できない環境では一時的な切り離しを検討するよう案内している。[1]
4．提供元の手順で更新する
レンタルサーバーでは、PHPの細かな修正は事業者が実施し、利用者は系統だけを選ぶ場合もある。提供元の手順に従い、修正が適用されたかを確認する。
自分で管理するサーバーでは、OSやパッケージ提供元の案内に従う。PHPの実行プロセスの再起動など、修正を実際の処理へ反映する手順まで終える。ファイルを更新しただけで完了と判断しない。
5．トップページ以外も動かす
トップページが開くだけでは足りない。キャッシュに残った画面が表示されているだけのこともある。
更新後は、サイトで実際に使う機能を確認する。
- 管理画面へのログイン、記事の保存・プレビュー。
- 画像のアップロード、サイト内検索。
- 問い合わせフォームの送信と、通知メールの到着。
- 会員機能、予約、カートや決済などの主要な導線。
- エラーログに、更新後の異常が出ていないか。
これが、更新に必要な品質確認だ。修正が入ったことと、必要な機能が動くこと。その両方を確かめる。
不具合が出ても、脆弱な旧版へ戻して公開を続けるだけでは問題が残る。必要なら公開を制限し、修正済みの環境で動かす方法をサーバー会社や開発者と詰める。
更新すれば、侵入された痕跡も消える？
消えない。更新は修正であって、侵害からの復旧そのものではない。
すでに不正なファイルを置かれていたり、情報を持ち出されていたりすれば、PHPを更新するだけで元には戻らない。
JPCERT/CCは、不審なファイルやプロセス、外部通信などの調査も求めている。また、分かりやすい痕跡がないからといって、侵害されていないと断定できないとしている。[3]
見覚えのない管理者やページ、不審な転送などがあれば、自己判断でファイルを消し回らない。ログなどを保全し、サーバー会社や対応できる専門家へ相談する。
攻撃を遮断するWAFも、更新そのものの代わりにはならない。今回の公式案内も、暫定策だけで安全になるとはしていない。[6]
AI惣菜の視点――守るべきは「更新しない安定」ではない
PHPの脆弱性から見えるのは、サイトを作った後の仕事の重さだ。
PHP Foundationによると、AIを使った調査が増える一方で、修正内容の判断やパッチの作成には人が関わっている。弱点を見つける速度が上がっても、直して使える状態にする仕事は残る。[2]
運営者に必要なのも同じだ。
何が動いているかを把握する。修正が出たら適用する。主要な機能を確かめる。侵害の疑いがあれば調べる。
「壊れるのが怖いから更新しない」を続けると、いざ更新が必要になったとき、何が壊れるのかさえ分からなくなる。
サイトも資産だ。記事を増やすだけでは守れない。
今日やることは、PHPのバージョンと、サーバー会社の対応状況を確認すること。そこから始めればいい。
出典・公式情報
- WordPress：Critical PHP Security Release（2026年10月21日）
- The PHP Foundation：Today’s PHP Security Release, and How We’re Strengthening PHP Security（2026年10月21日）
- JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（2026年10月22日）
- WooCommerce：How to update your PHP version
- WordPress：Get a faster, more secure website: update PHP today（更新準備・互換性確認の説明を参照）
- PHP公式：2026年ニュース・アドバイザリ（10月21日の緊急修正と10月23日の追加案内）
- PHP公式：Supported Versions
