PHPの重大な脆弱性（2026年10月）、自分のサイトは大丈夫？確認方法と対処法

【はじめに】

2026年10月21日、Webサイトを動かすプログラム「PHP」に、深刻な脆弱性が2件見つかり、修正版が公開されました。ニュースで見て、「自分のサイトは大丈夫かな」と不安になった方も多いと思います。

この記事では、確認の方法と、対処の流れを、できるだけ専門用語を使わずにまとめます。

【今回の脆弱性について】

・認証なし（ログインしていない第三者）でも、外部からプログラムを実行されるおそれがあります

・深刻度は、10点満点中9.2（緊急レベル）とされています

・脆弱性の番号は、CVE-2026-109618とCVE-2026-109619です

・修正版が公開される前に情報が流出し、攻撃が確認されたとの報道もあります

WordPressを使っているサイトも、対象になる可能性があります。ただし、今回の対処が必要なのは、WordPress本体ではなく、サーバー側のPHPです。WordPress本体が最新でも、サーバーのPHPが古いままだと、影響を受けるおそれがあります。

【対象のPHPバージョンと、修正版】

・8.5系：8.5.11以前が対象、修正版は8.5.12

・8.4系：8.4.26以前が対象、修正版は8.4.27

・8.3系：8.3.35以前が対象、修正版は8.3.36

・8.2系：8.2.34以前が対象、修正版は8.2.35

・8.1以前（7.4、8.0、8.1など）：すでにサポートが終了しており、限定的な修正のみのため、サポート中のバージョンへの移行が必要です

【自分のサイトのPHPバージョンを確認する方法】

WordPressをお使いの場合は、管理画面から確認できます。

 1. WordPressの管理画面にログインします

 2. 左のメニューの「ツール」から「サイトヘルス」を開きます

 3. 「情報」のタブを開きます

 4. 「サーバー」の項目にある「PHPバージョン」を確認します

見るのは、「8.3.35」のように、末尾の番号まで含めた数字です。上の表と比べて、修正版より古い場合は、対処が必要です。

【注意：番号が古く見えても修正済みの場合があります】

レンタルサーバーによっては、サーバー会社が自動で修正を適用しています。この場合、表示される番号が古いままでも、修正されていることがあります。判断に迷うときは、サーバー会社の公式のお知らせや、問い合わせ窓口で、CVE番号（上記の2つ）を伝えて確認すると、スムーズです。

【自分で対処する場合の流れ】

レンタルサーバーの管理画面から、PHPのバージョンを切り替えられる場合が多いです。たとえばエックスサーバーでは、サーバーパネルの「PHP」から「PHP Ver.切替」を開いて、変更します（画面の名称は、変更されることがあります）。

切り替える前に、必ず次の準備をしてください。

 1. サイトのバックアップを取る

 2. 現在のPHPバージョンを、メモしておく

 3. 切り替え後に、サイトの表示、ログイン、お問い合わせフォームなどの動作を確認する

 4. 表示が崩れたり、動かない機能があったりした場合は、メモしたバージョンに戻す

PHPのバージョンを上げると、古いプラグインやテーマが、新しいバージョンに対応しておらず、サイトが正常に表示されなくなることがあります。慌てて最新版に上げるのではなく、「修正版が出ている、サポート中のバージョン」へ、バックアップを取ってから、切り替えてください。

【こんな方は、ご相談ください】

・自分のサイトのPHPバージョンが、修正済みか、判断できない

・切り替えが不安で、自分で行う自信がない

・切り替えて、サイトの表示が崩れてしまった

ご希望の方には、お見積りをお送りしますので、メッセージでお気軽にご相談ください。

【ご依頼の目安】

・PHPバージョンの確認：5,000円〜

・PHPバージョンアップ（1サイト、バックアップ・動作確認込み）：20,000円〜

※金額は目安です。サイトの状況（プラグインやテーマの対応状況、サイト数など）によって変わる場合があります。ご相談いただいた内容を確認して、正式なお見積りをお送りします。

※消費税は含まれておりません（免税事業者のため）。

※ログイン情報は、メール本文やチャットに書かず、使い捨てのリンクなど、安全な方法でお預かりします。

※更新に伴い、表示に不具合が出る可能性があるため、事前にバックアップを取り、作業後に動作を確認します。

【最後に】

今回のような緊急の更新は、慌てて作業すると、かえって、サイトを壊してしまうことがあります。まずは、PHPバージョンの確認から、落ち着いて進めてください。