PHPに重大な脆弱性（2026年10月）。WordPressサイトで今確認したいこと
2026年10月21日、WordPressを動かしているプログラム「PHP」の重大な脆弱性（セキュリティ上の弱点）を修正したバージョンが公開されました。
WordPressの公式サイトでも、PHPをすぐに更新するよう呼びかけています。
WordPressでサイトを運営している方がまず確認したいのは、サイトで使われているPHPのバージョンです。管理画面から数分で確認できます。
確認の方法と、番号を見たあとに何をすればいいかを順番に整理しました。
目次
2026年10月に公開されたPHPの修正
PHPの開発チームは10月21日、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを公開しました。
どちらも深刻度は最も高い「Critical」に分類されていて、条件がそろうと、ログインしていない第三者がサーバー上で不正なプログラムを実行できるおそれがあるとされています。
修正が入ったのは、次の4つのバージョンです。
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP公式の発表では、設定の変更などの一時的な対策は被害を受けにくくするだけで、修正されたバージョンへ更新することが唯一の確実な対策だとしています。詳しい内容はPHP公式サイトのセキュリティ情報（英語）で確認できます。
WordPress本体の更新では解決しない
今回の問題は、WordPressではなく、サーバー側のPHPにあります。
WordPressの公式発表でも、WordPress固有の問題ではなく、この件でWordPress本体を更新する必要はない（更新の予定もない）と案内されています。
そのため、WordPress本体やプラグインを最新にしていても、PHPが古いままでは対策になりません。
WordPress公式の案内は、WordPress日本語版サイトの「PHP の重大なセキュリティリリース」で読めます。
使っているPHPのバージョンを確認する
WordPressの管理画面で確認する
WordPressの管理画面にログインし、次の順に進みます。
- 左側のメニューから「ツール」→「サイトヘルス」を開く
- 画面上部の「情報」タブを開く
- 一覧の中から「サーバー」を開く
「サーバー」の中に、PHPのバージョンが「8.3.36」のような数字で表示されます。
レンタルサーバーの管理画面で確認する
WordPressにログインできない場合は、レンタルサーバーの管理画面でも確認できます。
「PHPバージョン設定」「PHP設定」といった名前のメニューにあることが多いですが、名前や場所はサーバー会社によって違います。見つからないときは、サーバー会社のマニュアルで「PHP バージョン」と検索すると探しやすくなります。
表示された番号の見方
PHPのバージョンは「8.3.36」のように3つの数字で表されます。
最初の2つ（8.3）がバージョンの系列、最後の数字（36）がその系列の中での更新の回数と考えると分かりやすいです。
| 使っている系列 | 今回の修正が入ったバージョン |
|---|---|
| 8.5 | 8.5.12以上 |
| 8.4 | 8.4.27以上 |
| 8.3 | 8.3.36以上 |
| 8.2 | 8.2.35以上 |
| 8.1以前 | PHP公式の修正版はなし |
表示された番号がこの表のバージョン以上であれば、今回の脆弱性に対する修正が含まれたPHPを使用しています。下回っている場合や、8.1以前の場合は、次の章も確認してください。
ただし、サーバー会社によっては、バージョン番号を変えずに修正を適用している場合もあります。番号だけで判断がつかないときは、サーバー会社のお知らせを確認するのが確実です。
レンタルサーバーでは、誰が更新するのか
レンタルサーバーの場合、PHPの更新は2つに分けて考えると整理しやすくなります。
- 同じ系列の中の更新（例：8.3.35 → 8.3.36）：サーバー会社が行うのが一般的で、利用者が操作しなくても反映されることがあります。
- 系列の切り替え（例：8.1 → 8.3）：多くのレンタルサーバーでは、利用者が管理画面で選びます。サーバー会社が自動で切り替えるとは限りません。
今回の脆弱性についても、多くのサーバー会社が対応を進めていると報じられていますが、対応の内容や時期は会社ごとに違います。まずは、利用しているサーバー会社の「お知らせ」や「メンテナンス情報」を確認してください。
VPSや専用サーバーなど、サーバーを自分で管理している場合は、サーバー会社ではなく管理している人がPHPを更新する必要があります。
PHP 8.1以前を使っている場合
PHP 8.1以前は、PHPの開発チームによるサポートがすでに終わっていて、今回の脆弱性についても、通常の修正版は公開されていません。
WordPressの公式発表でも、8.2より前のPHPはPHPの開発チームからセキュリティ更新を受けられないと書かれています。
この場合は、PHP 8.2以上への切り替えが必要です。WordPressが推奨しているのはPHP 8.3以上です（WordPressの動作環境・英語）。
また、PHP 8.2も2026年12月31日でサポートが終わる予定のため、これから切り替えるなら8.3以上を選んでおくと、次の切り替えまでの期間を長く取れます。
切り替える前に確認したいこと
PHPの系列を変えると、テーマやプラグインが新しいPHPに対応していない場合に、表示が崩れたり、画面が真っ白になったりすることがあります。
切り替える前に、次のことを済ませておくと安心です。
- サイトのバックアップを取る（ファイルとデータベースの両方）
- WordPress本体・テーマ・プラグインが新しいPHPに対応しているか確認し、必要に応じて更新する
- 長く更新されていないプラグインや、独自に作り込んだテーマがないか確認する
- 問題が出たときの相談先（サーバー会社・制作会社）と、バックアップからの戻し方を確認しておく
特に古いサイトでは、PHPの切り替えとWordPressの更新を同時に行うと、不具合が起きたときに原因を特定しにくくなります。更新は、バックアップと対応状況の確認を済ませてから、段階的に進める方が安全です。
バックアップの考え方と、WordPressを更新するときの注意点は、こちらの記事で紹介しています。
切り替えた後に確認したいこと
切り替えたあとは、トップページを開くだけでなく、次のような部分を実際に操作して確かめます。
- 主なページが正しく表示されるか（スマートフォンでも確認）
- 問い合わせフォームが送信でき、メールが届くか
- WordPressの管理画面にログインでき、投稿の編集や保存ができるか
- 予約やネットショップなど、サイト独自の機能が動くか
表示がおかしい、エラーが出るといった場合は、無理に操作を続けず、サーバー会社や制作会社に相談してください。以前のPHPに戻す場合も、セキュリティ上のリスクがあるため注意が必要です。
自分で判断しにくいときは
次のような場合は、自分で切り替える前に、制作会社や保守を依頼している会社に相談した方が安全です。
- サーバーやWordPressのログイン情報が分からない
- 古いテーマや、独自に作ったプラグインを使っている
- 切り替えたらエラーが出た、表示が崩れた
- 制作会社と連絡が取れない、相談できる相手がいない
制作会社に管理を任せている場合は、「今のPHPのバージョン」と「今回の脆弱性への対応が済んでいるか」を聞いてみてください。
管理会社を変えたいときや、PHPが古いまま更新できない状態が続いているときは、こちらの記事も参考にしてください。
なお、弊社で管理させていただいているWebサイトにつきましては、今回のPHPのセキュリティ問題への対応を完了しております。
KENZO724.では、PHPのバージョン更新、更新前後のWordPressの動作確認、PHP更新後のエラーや表示崩れの修正、WordPressの保守についてのご相談を承っています。他社が制作したWordPressサイトの場合も、まずは状況を伺ったうえで、対応できる内容をご案内します。
PHPの更新やWordPressの動作確認をご相談ください
「PHPのバージョンが分からない」
「切り替えたら表示がおかしくなった」といった段階からご相談いただけます。
