2026年10月、PHPに重大な脆弱性が2件公表され、修正版が公開されました。国家サイバー統括室も注意喚起を行っており、公開しているWebサイトでPHPを使っている場合は対応が必要です。
とはいえ、やるべきことはシンプルで、「PHPを修正版に更新する」ことです。過度に慌てる必要はありません。この記事では、今回の脆弱性の概要と対応方法、そして今後こうした緊急対応を安心して任せられるWordPressの保守管理について、株式会社Soeluが事実ベースで解説します。
※本記事は2026年10月22日時点の公式情報にもとづきます。最新かつ正確な情報は、必ずPHP公式のアナウンスをご確認ください。
今回のPHP脆弱性の概要（事実の整理）
PHPの開発チームから、重大な脆弱性2件と、その修正版が公開されました。概要は次のとおりです。
- 脆弱性：2件（CVE-2026-109618 / CVE-2026-109619）
- 深刻度：Critical（CVSS v4.0 で 9.2）
- 内容：認証不要のリモートコード実行（RCE）につながる可能性がある
- 対象：Webリクエストを処理するPHP環境全般（PHP-FPM、Apache + mod_php、php-cgi など）。特に mod_php 構成のリスクが高いとされています
修正版は2026年10月21日に公開されています。
| PHPのブランチ | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP公式は「完全な緩和策は存在せず、更新だけが安全な選択肢」と明言しています。つまり、やるべきことはPHPを上記の修正版（またはそれ以降）へ更新することに尽きます。
対応はシンプル｜PHPをサーバー側で最新に更新する
PHPのバージョンは、サイトの中（WordPressの管理画面）ではなく、サーバーの大元（レンタルサーバーやサーバー環境）で切り替えるのが基本です。多くのレンタルサーバーでは、管理画面から数クリックでPHPのバージョンを変更できます。
- バックアップを取得する（更新前の状態に戻せるようにしておく）
- 現在のPHPバージョンを確認する（サーバーの管理画面やサイトヘルスで確認できます）
- サーバー側でPHPを修正版へ更新する
- サイトの表示・フォーム送信・管理画面などの動作を確認する
注意点として、PHPのバージョンを上げると、古いテーマやプラグインが動かなくなる場合があります。そのため、いきなり本番で切り替えるのではなく、バックアップと動作確認をセットで行うことが大切です。不安な場合は、制作・保守会社に任せるのが安全です。
PHP 8.1以前を使っている場合・PHP 8.2のサポート終了に注意
PHP 8.1以前は、すでにPHPプロジェクトからの更新が終了しています（利用中のサーバーやLTSベンダーが個別に対応している場合もあります）。また、PHP 8.2も2026年12月31日でサポート終了（EOL）となり、以降はセキュリティ修正が提供されません。古いPHPを使い続けると、今後の脆弱性に対応できなくなるため、サポート中のバージョンへの計画的なアップグレードをおすすめします。
この機会に見直したいWordPressのセキュリティ対策
今回のようなPHPの更新は「サーバー側の対策」ですが、WordPressサイトを安全に保つには、サイト側の対策もあわせて行うと安心です。特に以下は、手軽に効果が高い対策です。
① PHP・本体・テーマ・プラグインを常に最新に保つ
今回の件がまさにこれにあたります。攻撃の多くは「公開済みの既知の脆弱性」を突くものです。常に最新バージョンに保つことが、最も基本的で効果的な対策です。
② フォームのセキュリティ対策（reCAPTCHA／Turnstile）
お問い合わせフォームは、ボットによる自動送信（スパム）や攻撃の入口になりがちです。Google reCAPTCHA（v3）やCloudflare Turnstileを追加することで、利用者の手間を増やさずにボットを防げます。Contact Form 7などの主要なフォームプラグインと連携できます。
③ ログイン対策（ログインプラグインの導入）
管理画面への不正ログイン（総当たり攻撃）を防ぐため、SiteGuard WP Pluginなどのログイン系セキュリティプラグインを導入しましょう。ログインページURLの変更、画像認証、ログイン試行回数の制限、海外からの管理画面アクセス拒否などをまとめて設定できます。
なぜ「保守管理」が必要なのか
今回のように、PHPやWordPressの脆弱性は定期的に発見され、そのたびに「早めの更新」が求められます。対応そのものはシンプルでも、
- 脆弱性の情報を自分で追い続けるのが大変
- 更新でサイトが壊れないか不安（バックアップ・動作確認が必要）
- 本業が忙しく、緊急対応に時間を割けない
といった理由で、後回しになりがちです。だからこそ、日々の更新・バックアップ・セキュリティ対策をまとめて任せられる「保守管理」が、サイトを安全に保つうえで有効です。保守に入っていれば、今回のような緊急のPHP更新も、専門家が確認しながら対応します。
Soeluの保守管理でできること
| 項目 | 内容 |
|---|---|
| PHP・WordPressの更新対応 | 今回のような緊急アップデートを含め、バックアップ・動作確認とセットで実施 |
| 定期バックアップ | 万一のときに元に戻せる体制を用意 |
| セキュリティ対策 | フォーム対策（reCAPTCHA／Turnstile）、ログイン対策、管理画面の保護などを設定・維持 |
| 障害・不具合の対応 | 表示崩れや不具合が起きた際の調査・復旧 |
| 更新・修正の代行 | 文言変更や画像差し替えなど、日々の運用もサポート |
「自社で更新を追うのが難しい」「今回のPHP更新を安全に対応してほしい」という場合は、お気軽にご相談ください。利用中のサーバーやサイトの状況を確認し、最適な対応をご提案します。
よくある質問
- 今回のPHPの脆弱性、まず何をすればいいですか？
- PHPを修正版（8.5.12／8.4.27／8.3.36／8.2.35、またはそれ以降）へ更新することが最優先です。PHPのバージョンはサーバー側（レンタルサーバーの管理画面など）で変更します。更新前にバックアップを取り、更新後にサイトやフォームの動作を確認してください。PHP公式も「完全な緩和策はなく、更新だけが安全な選択肢」としています。
- PHPのバージョンはどこで確認・変更できますか？
- 現在のバージョンは、WordPress管理画面の「サイトヘルス」や、レンタルサーバーの管理画面で確認できます。変更（更新）は、サイト内ではなくサーバー側で行います。多くのレンタルサーバーでは、管理画面から数クリックでPHPのバージョンを切り替えられます。
- PHPを更新するとサイトが壊れませんか？
- 古いテーマやプラグインを使っている場合、PHPのバージョンを上げると動作しなくなることがあります。そのため、バックアップの取得と、更新後の動作確認をセットで行うことが大切です。不安な場合は、制作・保守会社に任せると安全です。
- PHPの更新やセキュリティ対応を任せることはできますか？
- はい。株式会社Soeluでは、WordPressの保守管理として、PHP・本体・プラグインの更新対応（バックアップ・動作確認込み）、フォームやログインのセキュリティ対策、障害対応などをまとめて承っています。今回のような緊急のPHP更新も代行できますので、お気軽にご相談ください。
まとめ
2026年10月に公表されたPHPの重大な脆弱性への対応は、「PHPを修正版へ更新する」というシンプルなものです。過度に慌てる必要はありませんが、放置は禁物です。バックアップと動作確認をセットに、早めに対応しましょう。
そして、こうした脆弱性は今後も定期的に発見されます。そのたびに安心して対応するために、PHP・WordPressの更新やセキュリティ対策をまとめて任せられる「保守管理」が有効です。株式会社Soeluは、WordPressサイトの制作から保守・セキュリティ対策までをワンストップで支援しています。
今回のPHP更新のご相談も含め、お気軽にお問い合わせください。
Google検索でSoeluの記事を見つけやすくするには
