更新：PHPに深刻な脆弱性。WordPressをご利用の方へ、確認と更新準備のお願い

WordPressでホームページを運営している方は、現在報告されているPHPの重大な脆弱性について、ご注意ください。

PHPは、WordPressを動かすために利用されているプログラミング言語です。

PHP公式は、重大度の高い2件の脆弱性に対応するセキュリティ更新を、2026年10月21日23時（日本時間）に公開する予定と発表しています。

今回の脆弱性は「php2shell」とも呼ばれており、外部からサーバー上で任意のコードを実行される可能性がある、重大な問題として報告されています。

GMO Flatt Securityからも詳細な情報が公開され、WordPressを含むさまざまなPHP環境が影響を受ける可能性が指摘されています。

また、悪用可能と主張するコードもインターネット上に出回り始めているとの情報があり、注意が必要な状況です。

レンタルサーバー利用者が、自分でPHPにパッチを当てるとは限りません

今回の情報を見ると、

「修正版が公開されたら、すぐにパッチを適用してください」

という案内があります。

しかし、エックスサーバー、ロリポップ、ConoHa WINGなどの一般的なレンタルサーバーをご利用の場合、

「自分でPHP本体のプログラムを書き換えてパッチを当てなければならないの？」

と心配される方もいらっしゃると思います。

通常のレンタルサーバーでは、PHP本体の管理はサーバー会社側で行われています。

そのため、一般の利用者がLinuxサーバーへログインしてPHP本体へ直接パッチを適用する、といった作業を求められるとは限りません。

まずは、ご利用のレンタルサーバー会社から発表される、

・今回の脆弱性への対応状況

・PHP修正版の提供状況

・利用者側でPHPのバージョン変更が必要か

・メンテナンスや一時停止が行われるか

などの案内をご確認ください。

レンタルサーバーによっては、サーバー会社側で修正が適用される可能性があります。

一方で、利用者自身が管理画面からPHPのバージョンを変更する必要があるケースも考えられます。

現時点では、修正版のPHP番号はまだ発表されていません

2026年10月21日18時現在、PHP公式では修正版の公開は日本時間23時に予定されています。

この記事を書いている時点では、正式な影響対象バージョンや、どのPHPバージョンへ更新すれば今回の脆弱性を解消できるのかについて、PHP公式から最終的な情報はまだ公開されていません。

そのため、

「PHP 8.3にすれば大丈夫」

「PHP 8.4なら安全」

というように、現時点で特定のバージョンへ変更することだけで今回の脆弱性への対策になるとは判断できません。

修正版公開後のPHP公式情報と、ご利用のレンタルサーバー会社からの案内を確認することが大切です。

WordPressが推奨しているPHPは8.3以上です

WordPress公式では、現在PHP 8.3以上が推奨されています。

古いPHPを使い続けている場合は、今回の問題とは別に、セキュリティや互換性の観点からも新しいPHPへの移行を検討することをおすすめします。

ただし、

「WordPressがPHP 8.3以上を推奨している」

ことと、

「今回のphp2shellへの修正が適用されている」

ことは別の話です。

今回については、PHP公式から公開される修正版と、レンタルサーバー会社の対応状況を確認してください。

PHPを変更する前にはバックアップをおすすめします

サーバー会社から新しいPHPへの変更を案内された場合でも、すぐに切り替える前に注意していただきたいことがあります。

PHPのバージョンを変更すると、使用しているWordPressテーマやプラグイン、独自に追加されたプログラムなどとの互換性によって、不具合が発生する場合があります。

例えば、

・ホームページが正常に表示されない

・WordPressの管理画面に入れなくなる

・お問い合わせフォームが送信できない

・予約機能やショッピング機能が動かない

といった問題が発生する可能性があります。

可能であれば更新前に、

・サイトのファイルをバックアップする

・データベースをバックアップする

・WordPress本体を確認する

・テーマやプラグインを確認する

・変更先PHPへの対応状況を確認する

といった準備をおすすめします。

更新後もトップページを見るだけではなく、お問い合わせフォームや予約、購入など、サイトで使用している重要な機能について実際に動作確認してください。

一時的な設定変更だけでは十分ではない可能性があります

今回の脆弱性については、PHPの設定を変更することで影響を軽減する方法も検討されています。

しかし、GMO Flatt Securityの2026年10月21日14時時点の情報では、`session.upload_progress.enabled` の設定だけでは攻撃そのものを完全に防ぐことは難しく、根本的には修正版PHPの適用が必要になる可能性が高いとされています。

そのため、インターネット上で紹介されている設定変更だけを行って「これで安全」と判断するのではなく、PHP公式とレンタルサーバー会社の正式な案内を確認することをおすすめします。

更新が不安な方、不具合でお困りの方へ

「自分のサーバーが今回の問題に関係するのか分からない」

「現在使っているPHPのバージョンが分からない」

「PHPを変更しても大丈夫か分からない」

「PHPを更新したらWordPressが正常に動かなくなった」

「古いテーマやプラグインを使用していて心配」

このような場合は、ココナラのメッセージからお気軽にご相談ください。

ご利用中のレンタルサーバーやWordPressの環境を確認し、対応できる内容については、作業方法やお見積もりをご案内いたします。

テーマ・プラグイン・PHPの互換性によって発生した不具合についても、原因の確認や修正、代替方法の検討など、対応できる場合があります。

今回の問題については情報が随時更新されていますので、私自身もPHP公式やレンタルサーバー各社の情報を確認していきたいと思います。

まずは慌てて設定を変更するのではなく、

「現在利用しているPHPの確認」

「レンタルサーバー会社からのお知らせの確認」

「バックアップの確認」

を行っておくことをおすすめします。

※この記事は2026年10月21日18時時点で確認できた情報をもとに更新しています。PHP修正版の公開後、内容が変更される可能性があります。