【php2shell】PHPの重大な脆弱性、WordPressサイトは何をすればいい？

2026年10月21日、PHPに重大な脆弱性が2件公表されました（通称「php2shell」）。

「ニュースは見たけれど、自分のサイトに関係あるのか分からない」

「何をすればいいのか分からない」

そんな方に向けて、WordPressサイトの持ち主がやるべきことを、専門用語をなるべく使わずにまとめました。

■ 何が起きたのか

PHPは、WordPressを動かしているプログラムの言語です。WordPressで作られたサイトは、ほぼすべてPHPの上で動いています。

今回見つかった脆弱性は、危険度が「9.2／10」の緊急レベル。

ログインしなくても、外からサーバーのプログラムを動かされるおそれがある内容で、WordPressサイトでも攻撃が成立することが確認されています。

すでに実際の攻撃も観測されており、大手レンタルサーバー各社も緊急メンテナンスを行っています。

■ 特に危ないのは「古いPHP」のサイト

修正版が出ているのは、PHP 8.2／8.3／8.4／8.5 です。

一方で、PHP 7.4／8.0／8.1 など古いバージョンには、公式の修正版が出ません。

つまり、古いPHPのまま動いているサイトは、待っていても安全にならない状態です。

数年前に作ったきり更新していないサイトほど、古いPHPのままになっていることが多いので注意が必要です。

■ 自分のサイトのPHPバージョンを確認する方法

WordPressの管理画面から、3分ほどで確認できます。

1. WordPressの管理画面にログインする

2. 左のメニューから「ツール」→「サイトヘルス」を開く

3. 上にある「情報」タブを開く

4. 「サーバー」の項目を開き、「PHPバージョン」を見る

ここに「7.4」「8.0」「8.1」と表示されていたら、早めの対応をおすすめします。

「8.2」以上でも、サーバー会社が修正版に更新しているか確認しておくと安心です。

※管理画面に入れない場合は、ご利用のレンタルサーバーの管理画面でも確認できます。

■ やるべきこと3つ

【1】バックアップを取る

更新の前に、必ずサイト全体のバックアップを取ります。古いプラグインやテーマは、更新すると動かなくなることがあるためです。バックアップがあれば、万一のときも元に戻せます。

【2】WordPress本体・プラグイン・テーマを更新する

PHPを新しくする前に、WordPress側を最新にしておきます。古いプラグインのままPHPだけ上げると、サイトが真っ白になる原因になります。

【3】PHPを修正版のバージョンに切り替える

レンタルサーバーの管理画面から、PHPのバージョンを8.2以上に切り替えます。切り替えたら、トップページ・お問い合わせフォーム・ショップの購入画面など、大事なページが正しく動くか確認します。

■ 自分でやるのが不安な方へ

こんな場合は、専門家に任せたほうが安全です。

・管理画面のどこを触ればいいか分からない

・プラグインがたくさん入っていて、どれが古いか分からない

・制作会社と連絡がつかない／保守契約をしていない

・PHPを切り替えたら、サイトの表示がおかしくなった

・お店や会社のサイトなので、止まると困る

特に「PHPを切り替えたら表示が崩れた」「真っ白になった」というケースは、古いプラグインやテーマが原因のことが多く、直すにはPHPの知識が必要になります。

■ まとめ

・2026年10月21日、PHPに危険度9.2の脆弱性が公表された

・PHP 7.4／8.0／8.1 など古いバージョンには修正版が出ない

・まずは「ツール」→「サイトヘルス」→「情報」でPHPバージョンを確認

・対応は「バックアップ → WordPress更新 → PHP切替 → 動作確認」の順番で

ニュースが落ち着くと後回しにしがちですが、古いPHPのサイトは狙われやすい状態が続きます。早めの確認をおすすめします。

「自分でやるのは不安」「確認だけでもしてほしい」という方は、バックアップから更新・動作確認までまとめて対応しています。

サイトのURLとご利用のサーバー会社を送っていただければ、ご購入前に無料で確認しますので、お気軽にご相談ください。