こんにちは、マサシです。
PHPに重大な脆弱性が2件見つかり、2026年10月21日に修正版が公開されました。
WordPressはPHPで動いています。
レンタルサーバーでWordPressを使っている方は、ほぼ全員が当てはまります。
ただ、慌てて何かを触る前に、今日やることは3つだけです。
お知らせを見る、PHPのバージョンを見る、古ければ切り替える、の3つです。
何が起きたのか（2026年10月21日の発表）
PHPの公式サイトが、認証なしで外からプログラムを動かされるおそれのある脆弱性を2件、公表しました（https://www.php.net/）。
番号は CVE-2026-109618 と CVE-2026-109619 です。
深刻度はどちらも 9.2（10点満点）で、かなり重い部類です。
修正版の番号は、PHP 8.5.12・8.4.27・8.3.36・8.2.35 です。
Webのリクエストを受けるPHPは、ほぼすべてが対象とされています。
IPA（情報処理推進機構）も、10月21日に事前準備を呼びかける注意喚起を出しました（https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html）。
同じ日の夜には、首相がXで「今夜に対応して頂きたい大至急のお願い」と呼びかけたと報じられています（https://news.yahoo.co.jp/articles/c4c4a47a11b444608d1247ca7121b1a00613c3a2）。
サーバー会社によっては、管理画面や一部のサイトを一時的に止めています。
修正が終わるまでの守りとしての停止です（ロリポップ！公式X: https://x.com/lolipopjp/status/2112968606409699390）。
「自分のサイトが急に見られなくなった」という方は、まずサーバー会社のお知らせを見てください。
自分のサイトが当てはまるか
次のどれかに当てはまれば、この記事の確認をしておいたほうが安心です。
- WordPressでサイトやブログを作っている
- エックスサーバー、ロリポップ！、さくら、ConoHa などのレンタルサーバーを使っている
- 制作会社に作ってもらったまま、PHPのバージョンを一度も見たことがない
- 何年も前に作ったサイトを、そのまま動かしている
WixやSTUDIO、ペライチで作ったサイトは、サーバーを自分で借りていません。
PHPの設定は、サービスの運営会社が管理しています。
その場合は、サービス側のお知らせを見るだけで大丈夫です。
今日やる3つの確認
確認1. サーバー会社のお知らせを見る
レンタルサーバーの場合、PHP本体の修正版を入れるのはサーバー会社の仕事です。
なので、まずはサーバー会社のお知らせページか公式Xで、「PHPの脆弱性への対応」の告知が出ていないかを見ます。
「修正版を適用しました」と出ていれば、その会社のサーバーでは修正が入っています。
「お客様側でバージョンの切り替えが必要です」と書かれていれば、確認3に進みます。
確認2. 自分のサイトのPHPバージョンを見る
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」の項目を見ます。
「PHP バージョン」の行に出ている番号が、今のバージョンです。
ここで 8.2・8.3・8.4・8.5 のどれかなら、サーバー会社が修正版を入れれば、そのまま守られます。
7.4・8.0・8.1 だった場合は、ここが今回いちばん大事なところです。
画面ごとの手順は、別の記事に詳しく書いています。
WordPressのPHPバージョン確認は、実際に3ステップでできる
確認3. 8.1以前なら、修正版のあるバージョンへ切り替える
PHPの公式は、8.1以前には修正版を出さないと書いています（https://www.php.net/）。
つまり、7.4・8.0・8.1 のままでは、サーバー会社が対応しても穴が残る可能性があります。
いちばん確実なのは、8.2以上に切り替えることです。
切り替えは、サーバーの管理画面の「PHPバージョン」や「PHP Ver.切替」の項目で行います（エックスサーバーの画面の例: https://www.elephancube.co.jp/2024/11/xserver_change_phpver/）。
ただし、古いテーマやプラグインは、新しいPHPで画面が真っ白になることがあります。
切り替える前に、次の2つだけは済ませておいてください。
- サーバー会社の自動バックアップか、プラグインで、サイトのバックアップを取っておく
- 切り替えたら、トップページ・お問い合わせ・管理画面のログインの3つを開いて確かめる
もし画面が真っ白になったら、同じ画面で元のバージョンに戻せば、たいていは元どおり表示されます。
つまずいた所と、やめたこと
以前の私は、「PHPの更新は、サーバー会社が全部やってくれるもの」と思っていました。
たしかに、同じ系統の中の修正（8.2の中の細かい更新など）は、サーバー会社が入れてくれます。
でも、8.1から8.2のように系統をまたぐ切り替えは、サイトの持ち主がボタンを押さないと変わりません。
今回のように古い系統に修正版が出ないときは、その違いがそのまま「守られるサイト」と「守られないサイト」の差になります。
それからは、「サーバー会社にまかせておけば大丈夫」と考えるのをやめて、サイトごとにPHPの番号を控えるようにしています。
持ち帰り用チェックリスト
今日の確認を、そのまま上から順に進められる形にしておきます。
- サーバー会社のお知らせか公式Xで、PHPの脆弱性への対応を確認した
- サイトヘルスで、自分のサイトのPHPバージョンを控えた
- 8.1以前だった場合、バックアップを取ってから8.2以上に切り替えた
- 切り替えのあと、トップページ・お問い合わせ・管理画面を開いて確かめた
- 複数のサイトを持っている場合、全部のサイトで同じ確認をした
公式の発表には、すぐに更新できない場合の一時的な設定（php.ini の値を変えるなど）も書かれています。
ただ、公式自身が「更新だけが完全な対策」と書いています。
まずは、修正版のあるバージョンへの切り替えを優先してください。
自分でやるのが不安なときは
「管理画面のどこを押せばいいのか分からない」
「切り替えて、サイトが表示されなくなったらどうしよう」
そんな方のために、PHPのバージョン確認と切り替えを、サイト1つ4,500円でお手伝いしています。
今のバージョンを確かめて、バックアップを取ってから切り替え、表示とお問い合わせ・管理画面を確かめるところまでです。
切り替えで不具合が出たら、元のバージョンに戻して、状態をお伝えします。
画面を共有しながら一緒に進める形なので、パスワードをお預かりしなくても大丈夫です。
相談だけでもかまいません。