PHPの脆弱性対策｜WordPressの確認手順とサーバー5社の対応【2026年10月】

「PHPに重大な脆弱性が見つかった」と聞いて、自分のWordPressも危ないのか、何を確認すればよいのか、気になっている方へ。

最初に確認するのは、利用中のPHPバージョンと、契約しているサーバー会社の今回の対策状況です。サイトが表示されていることだけでは、対策済みとは判断できません。一方、表示されるバージョン番号が古くても、サーバー会社が修正パッチを適用している場合があります。

2026年10月21日、PHP開発元は、認証していない第三者によるリモートコード実行につながる2件の脆弱性を修正したと発表しました。対象はCVE-2026-109618とCVE-2026-109619です。共用レンタルサーバーを使っている方は、公式告知の対象サービス・PHPの範囲・利用者に必要な作業を照らし合わせてください。

各社の対応状況は2026年10月22日13:58（日本時間）に確認した情報です。対応は更新されるため、作業前には各社の最新告知をご確認ください。

PR：本記事にはアフィリエイト広告を含みます。記事内のエックスサーバーの広告リンクを経由してお申し込みいただいた場合、当サイト運営者が報酬を受け取ることがあります。

2026年10月のPHP脆弱性では何が起きたのか

PHPは、WordPressのページ表示や管理画面などを動かすために、サーバー側で使われるプログラムです。今回はWordPressのテーマやプラグインの個別の不具合ではなく、その土台となるPHP本体の問題です。

PHP開発元は10月20日に修正版の公開を予告し、10月21日にセキュリティ情報と修正版を公開しました。IPAも10月21日、公開後すぐに対応できるよう準備を求める注意喚起を出しています。PHP開発元の発表とIPAの事前注意喚起は、発表の段階が異なる資料です。

2件とも、PHPのメモリの扱いに関係する問題

CVE-2026-109618は、メモリ不足で処理を中断した際、不完全な状態のデータを後の処理が正常なものとして扱ってしまう問題です。CVE-2026-109619は、前の処理で使ったメモリへの参照が残り、同じ処理担当が次の通信を扱うときに参照される問題です。

まず押さえたいのは、条件がそろうと、ログインしていない相手からサーバー上で不正なプログラムを実行されるおそれがあることです。PHPの公式アドバイザリでは、どちらも「Critical」、CVSS v4.0の基本値9.2と評価されています。

出典：PHP開発元のCVE-2026-109618のアドバイザリ、CVE-2026-109619のアドバイザリ。

放置すると、どのような影響が考えられる？

不正なコードが実行された場合、Web処理の権限で触れられるファイルや情報が影響を受ける可能性があります。ページの改ざん、不正ファイルの設置、情報の読み取り、サービスの停止などにつながり得ます。被害の範囲は、サーバーの構成や権限によって変わります。

ただし、「影響するPHPを使っている」「表示がおかしい」というだけでは、侵入されたと確定するわけではありません。今回の脆弱性の修正と、すでに被害が発生していないかの調査は、それぞれ確認する必要があります。

影響する環境と修正済みPHPバージョン

PHP開発元は、Webからの通信を処理するPHP環境全般を対象として挙げています。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどが含まれます。「自分はWindowsサーバーではない」「FPMだから対象外」といった理由で除外しないでください。攻撃の成立条件や実証状況には環境ごとの差があります。

上表は各系統で今回の修正が入った公式リリースです。サーバー会社が独自にパッチを適用している場合は、この番号との比較だけでは判断できません。また、10月19日以前のPHP更新を、10月21日公開の2件への修正完了と読み替えないでください。公式告知のCVE番号と対象範囲を確認します。

PHP 8.1以前は、今回の対策確認と移行計画を分ける

PHP 8.1以前は、PHPプロジェクトの通常のサポートが終了しています。今回、PHP開発元は7.4・8.0・8.1向けに最小限のソース修正を例外的に提供しましたが、通常サポートの再開を意味しません。配布元やサーバー会社の独自修正があるかを確認してください。

サーバー会社が今回の2件に対応していても、古いPHPを使い続ける判断は別に必要です。PHP 8.2のセキュリティサポートも2026年12月31日までです。利用中のテーマ・プラグインの互換性を調べ、サポート期間内のPHPへ移る予定を立てましょう。出典：PHPのサポート期間。

自分のWordPressに影響があるか確認する方法

外部のチェックサイトでURLを入力するだけでは、サーバー内部のパッチ適用状況まで確定できない場合があります。まずは、自分の管理画面と契約先の公式発表を組み合わせて確認してください。

WordPress管理画面でPHPバージョンを見る

1. WordPressの管理画面に管理者としてログインします。
2. 左のメニューで「ツール」→「サイトヘルス」を開きます。
3. 「情報」タブを選び、「サーバー」を開きます。
4. 「PHPバージョン」の値を記録します。

この確認だけでPHP設定が変わることはありません。複数サイトを運営している場合は、サイトごとに確認しましょう。サーバー管理パネルの「PHP設定」「PHPバージョン切替」なども確認先になります。手順の出典：WordPress公式のPHP確認・更新ガイド。

管理画面を開けない場合は、無理に公開用のPHP情報表示ファイルを設置せず、先にサーバー会社の告知や保守担当者を確認してください。

バージョン番号だけでは、対策済みと断定できない

サーバー会社によっては、表示上の番号を変えずに修正を取り込む「バックポート」を行います。たとえばmixhostは、今回の修正後もサイトヘルスなどの番号が変わらないと明記しています。

反対に、管理パネルに新しいPHPが選択肢として用意されていても、サイトがそのPHPを使っているとは限りません。「新しい版がある」と「自分のサイトのPHPに対策が適用された」を分けて確認します。

問い合わせるときは、「CVE-2026-109618とCVE-2026-109619について、契約中のサービス・サーバー・PHP版は修正済みか。表示番号が変わらないパッチを含むか。利用者の追加作業は必要か」と確認すると、必要な答えを整理しやすくなります。

国内レンタルサーバー5社の対応状況

パッチの適用、利用者サイトの稼働、管理機能の再開は別々の状態です。下表は安全性の順位付けではありません。「未確認」は未対応を意味しません。また、予防的な停止は、攻撃にさらされる時間を減らすための判断である場合があります。

表は横にスクロールして読めます。更新が速い情報のため、以下の公式リンクを開いてから作業してください。

さくらでは、別の緊急メンテナンスに「10月21日22:30完了」の案内もあります。今回のPHP修正を確認するときは、上記の23:00開始・翌6:30完了のPHP更新告知を使っています。VPSやクラウドも、共用レンタルサーバーと同じ完了範囲だとは判断しないでください。

ロリポップ！の上記告知は、予防措置の案内です。今回の修正がどのサーバー・PHP版まで完了したかや、停止した利用者サイトの範囲・再開時刻は、この告知だけでは確認できません。続報と個別通知を確認してください。

エックスサーバーの公式対応と、AI Work Hackでの経験

今回、AI Work Hackの運営者としてお伝えできるのは、次の範囲です。

今回、AI Work Hackを運営しているエックスサーバー環境では、ホームページの表示停止を経験しなかった

これは、このサイトを利用・確認した範囲での経験です。全時間帯を連続監視した稼働率の測定や、エックスサーバー上の全サイトの無停止を証明するものではありません。

エックスサーバーの公式告知では、利用者のサーバーを稼働させながら安全対策を進める方針が示され、PHP 8.2〜8.5への適用完了も案内されていました。私が表示停止を経験しなかったことは、この案内と整合しています。ただし、私自身がサーバー内部の適用作業を検証したという意味ではありません。

また、同社の公式サイト・管理機能には停止や一部制限がありました。「利用者のホームページが表示される」と「管理機能をすべて使える」は別です。サーバー選びの材料にする場合も、旧PHPへの対応範囲や管理機能の復旧まで含めて見たいところです。

不審なログイン通知が心配な方は、XServerで身に覚えのないログインを確認したときの対処記録も参考にしてください。アカウントの認証対策と、今回のPHP本体の修正は、それぞれ必要な確認です。

ホームページが表示されない場合の確認方法

突然表示されなくなると不安になりますが、まず「自分のサイト」「WordPress管理画面」「サーバー会社の管理画面」のどれが開けないかを分けて記録してください。

1. エラーと発生日時を控える。500・502・503などの番号、画面のメッセージ、対象URLを記録します。番号だけで原因を決めません。
2. 公式の障害・メンテナンス情報を読む。自分のサービス・サーバーが対象か、復旧の見込み、利用者の作業指示があるかを確認します。
3. 直前に変更した内容を確認する。PHP切替、テーマやプラグインの更新、設定変更があったかを整理します。
4. 別のページや端末でも確認する。トップだけか、管理画面やフォームも含むかを把握します。動作確認のために実注文・決済を発生させないよう注意します。
5. 解消しない場合は保守担当・サーバー会社へ連絡する。記録した時刻、URL、症状、直前の変更を伝え、必要な範囲のログを確認してもらいます。

予防停止が案内されている場合は、停止を解除するために設定を繰り返し変えず、公式の再開案内を確認してください。逆に「メンテナンス中だから」と思い込んで、対象外の障害や改ざんを見落とさないことも大切です。

不審な転送やファイルが見つかった場合は、証拠となる時刻・画面・ログを残し、削除や復元に進む前に調査担当へ相談してください。サイトが再表示されたことと、侵入原因が解消したことも別の確認です。

PHPを変更するときは、バックアップ・互換性・変更後確認をセットにする

今回の対策として、利用者によるPHP変更が不要と案内する会社もあります。まず契約先の指示を確認し、番号をそろえるためだけに切り替えないでください。変更が必要な場合や、サポート終了版から移行する場合は、次の順番で準備します。

変更前に確認すること

• ファイルとデータベースをバックアップする。取得日時、保存先、復元する方法まで確認します。自動バックアップも、必要な時点に戻せるかを確かめます。
• WordPress本体・テーマ・プラグインの対応状況を調べる。独自開発プラグインや古いテーマも含め、変更先のPHPとの互換性を確認します。
• 可能なら検証環境で試す。本番のフォーム・メール・外部連携を誤って動かさない条件で、必要な機能を確認します。
• 作業担当と復旧方針を決める。何か起きたときの連絡先と、修正するか、一時停止して調査するかを確認します。

変更後は、ページ表示以外の機能も確認する

不具合が出ても、未修正のPHPへ戻して公開を続けることを当然の手順にはしないでください。サーバー会社や保守担当と、対策済みの環境で復旧する方法を相談します。WordPress公式も、変更前のバックアップとテーマ・プラグインの互換性確認を案内しています。

独自機能の棚卸しには、WordPressの保守管理を見えるようにするプラグインの開発記録も参考になります。独自プラグインを入れている場合は、その機能も変更後の確認表に加えてください。

今後のサーバー選びで重視したいポイント

今回のような緊急対応では、対応速度だけでなく、どの範囲まで確認できるかが選ぶ材料になります。発表時刻や完了の対象がそろっていない情報から、各社の速さに順位を付けることはできません。

• 修正対応：CVE番号、対象PHP、対象プラン、完了状況が分かるか。
• 情報提供：管理画面を停止したときも、公式告知や進捗を確認できるか。
• サービス継続：サイト表示・メール・管理機能のどこに影響するかを説明しているか。
• 復旧支援：バックアップの範囲、復元手順、問い合わせ先が自社の体制に合うか。
• 日常の運用：PHPのサポート期限と更新担当、WordPress側の互換性確認を継続できるか。

安全確保のための一時停止を、それだけで失敗とは評価できません。表示を続けられたことも、安全性の全面的な証明にはなりません。自社の事業で許容できる停止時間と、修正・連絡・復旧の体制を一緒に見てください。

エックスサーバーは、今回の公式対応とAI Work Hackでの経験を踏まえて検討できる候補の一つです。現在の契約先で対策が完了しているなら、まずその状態と動作を確認し、移行の要否は落ち着いて判断できます。

社内で誰が確認するかを決めたい場合は、中小企業のセキュリティ対策と担当を決める確認表へ。サイトの仕組みや保守範囲から見直す場合は、StudioとWordPressの料金・保守・移行を比較した判断ガイドも参考になります。

PHPの脆弱性についてよくある質問

WordPressを最新にすれば、今回の対策は終わりますか？

PHP本体の修正が別に必要です。WordPress本体・テーマ・プラグインの更新も大切ですが、それだけで今回のPHP脆弱性が修正されたとは判断できません。

PHP 8.3や8.4なら安全ですか？

系統名だけでは判断できません。今回の修正を含む公式版か、サーバー会社が今回の2件を修正済みかを確認してください。古い番号のままパッチが適用される場合もあります。

サイトヘルスに警告がなければ、対策済みですか？

警告の有無だけでは確定できません。サイトヘルスで使用中のPHPを確認し、契約先の適用範囲・完了告知と照合します。

ホームページが表示されていれば、侵入されていませんか？

表示の正常さだけで侵入の有無は分かりません。不審な転送・ファイル・通知がある場合は、サーバー会社や保守担当へ調査を相談してください。

プラグインやWAFを追加すれば、PHPの更新を省けますか？

省けません。PHP開発元は、設定による緩和策は完全な修正の代わりにならないと説明しています。サーバー会社の案内に従い、修正の適用を確認してください。

管理画面がメンテナンス中で、PHPを確認できません。

公式の対象範囲・再開状況・利用者向け指示を確認し、再開後に自分のサイトの設定と動作を確認します。サーバー会社の管理画面と、契約者のサイト表示の状態は分けて見てください。

今すぐエックスサーバーへ移転した方がいいですか？

今回の情報だけで一律に移転する必要はありません。まず契約先の修正状況を確認します。移行を検討する場合は、バックアップ、互換性、メールやドメインの切替、移行後の動作まで計画してください。

ホームページの安全確認と、運用の分担を相談する

「契約先の告知を見ても、自分のサイトが対象か分からない」「独自プラグインがあり、PHPを変更してよいか判断できない」。そんな場合は、現在の環境と困っている点から整理できます。

LON | AI Work Hacker

非エンジニア実装家 / AI業務委託

XYouTubeContact

「コードは書かない。AIを操る。」

普段は業務委託のプロとして、AI企業のLINE運用や自動化システム構築を担当。

エンジニア経験ゼロから、AIだけを武器にツールを自作する「実務ハック」を研究中。