PHPの緊急アップデート（10/21）｜WordPressのブログ・ホームページで今やること

※本記事はアフィリエイト広告（PR）を含みます。

要点：2026年10月21日23時（日本時間）、PHPの重大な脆弱性2件を直した修正版が公開されました。WordPressなど、PHPで動くブログやホームページを持っている人は、サイトのPHPが修正版になっているかを確かめてください。

PHPの公式サイトと、IPA（情報処理推進機構）などの発表で確認できた範囲で整理しました（確認日：2026年10月21日）。

何が起きたのか

PHPは、WordPressをはじめ多くのWebサイトを動かしているプログラムの言語です。PHPの開発チームは10月20日に「重大な修正を出す」と予告し、10月21日14時（UTC。日本時間23時）に修正版を公開しました。

• 脆弱性：2件（CVE-2026-109618・CVE-2026-109619）。予告では、深刻度は2件とも CVSS 9.2（緊急）とされた
• 起こりうること：ログインしていない外部の人が、サーバーの上で勝手にプログラムを動かせる（リモートコード実行）
• 対象：Webのアクセスを処理するPHPの環境すべて（PHP-FPM・Apache の mod_php・php-cgi・FrankenPHP・LiteSpeed）。公式は、mod_php が最も危険としている
• 呼び名：研究者の投稿で「php2shell」と呼ばれている。WordPressなど、さまざまな構成で攻撃が再現するとされている（窓の杜の報道）

IPAは10月21日の注意喚起で、この時点では悪用は確認されていないとしています。ただし、修正の中身が公開されたので、早めに直すことが大切です。

PR

これからブログやサイトを始めるなら、初期費用のかからないレンタルサーバーがあります。

初期費用無料！最低利用期間無し！国内最速・高性能レンタルサーバー【ConoHa WING】

修正版は、この版以上

いま使っている系統（8.3 など）ごとに、次の版以上になっていれば修正済みです。

• PHP 8.5 系：8.5.12 以上
• PHP 8.4 系：8.4.27 以上
• PHP 8.3 系：8.3.36 以上
• PHP 8.2 系：8.2.35 以上（8.2 は2026年12月31日でサポート終了）
• PHP 8.1 以前：PHPの開発チームからの通常の更新は終わっている。7.4・8.0・8.1 向けには最小限の修正パッチが GitHub で出されているが、サポート中の系統（8.2〜8.5）へ移るのが基本

公式は「設定を変えて避ける方法はどれも完全ではなく、更新が唯一の完全な対策」としています。

自分のサイトのPHPの版を確かめる（WordPress）

1. WordPressの管理画面にログインする
2. 左のメニューの「ツール」→「サイトヘルス」を開く
3. 上の「情報」タブを開き、「サーバー」の欄を広げる
4. 「PHP バージョン」の数字を見る（例：8.3.36）

上の表の版より古ければ、まだ直っていません。次の「レンタルサーバーの場合」か「自分でサーバーを管理している場合」に進んでください。

レンタルサーバーの場合

PHPはサーバーの上で動くソフトなので、PHPそのものの更新は、ふつうサーバー会社の作業です。WordPressの「更新」ボタンやプラグインの更新では直りません。

• 契約しているサーバー会社の「お知らせ」「障害・メンテナンス情報」を見る。修正版の適用の予定や、利用者がやることが書かれる
• 管理画面でPHPの系統を選べるサーバーで、8.1 以前を選んでいる場合は、サポート中の系統（8.3 など）に切り替えを検討する。切り替えの前にバックアップを取り、切り替えたあとに表示を確かめる
• サーバー会社の作業が終わったら、もう一度サイトヘルスで版を確かめる

10月21日は、サーバー会社やネットのサービスが、対応のために管理画面やサービスを一時止める動きが相次ぎました。管理画面に入れないときは、公式のお知らせで再開の予定を確かめてください。

自分でサーバーを管理している場合（VPS など）

• 上の修正版に更新する。Linux のディストリビューションのパッケージを使っているなら、その配布元の更新を確かめる（公式によると、配布元には事前に修正が渡されている）
• 更新したら、PHP-FPM などのワーカーを再起動して、新しい版で動いているかを確かめる
• すぐに更新できないときの一時的な対策（設定の変更）は、PHPの公式アドバイザリに書かれている。ただし公式は「どれも完全ではない」としている

更新の前とあとにやること

1. バックアップ：系統を切り替えるときは、先にサイトとデータベースのバックアップを取る（WordPressを更新する前のバックアップ）
2. 表示の確認：トップページ・記事・お問い合わせフォーム・ログイン画面が、いつもどおり動くかを見る
3. プラグインの更新：今回の修正とは別に、プラグインやテーマも新しくしておく（プラグインの自動更新の設定）

よくある質問

Q. サイトを見るだけの人も、何かする必要がありますか？
A. PHPはサイトを置いているサーバーの側で動くもので、見る人のスマホやパソコンに入っているものではありません。見るだけの人が更新する必要はありません。ただ、対応のためにサービスが一時止まることがあります（緊急メンテナンスで使えないときに確かめること）。

Q. WordPressの本体を更新すれば直りますか？
A. 直りません。WordPressの本体やプラグインは「PHPで書かれたプログラム」で、今回直すのはそれを動かしているPHPそのものです。

Q. もう攻撃されていますか？
A. IPAは10月21日の時点で、悪用は確認されていないとしています。攻撃は短い時間で行われるおそれがあるとして、修正版の公開後はできるだけ早く適用するよう呼びかけています。

出典（確認日：2026年10月21日）

• PHP 公式サイト「News Archive 2026」（10月20日の予告、10月21日のセキュリティアドバイザリと修正版）
• IPA（情報処理推進機構）「PHPのセキュリティリリース公開予定について」
• 窓の杜「『PHP』に“致命的”な脆弱性2件、日本時間21日深夜に緊急のセキュリティリリースへ」