WordPressのホームページをお持ちの方へ｜PHPの欠陥で今日やる確認と、制作者への聞き方

危険度は、10点満点中の9.2。

10月21日に公表された、PHPのプログラムの欠陥についたスコアです。かなり深刻なレベルです。

その日の夜には、高市首相もXで「今夜に対応して頂きたい大至急のお願いです」と呼びかけていました。

僕のところにも、ホームページを作らせていただいたお客様から「うちのサイトは大丈夫ですか？」というご相談が立て続けに届いています。

結論から言うと、多くの方は慌ててサイトを止める必要はありません。ただ、急いで手を打つべき人もいます。

そこで今回は、自分がどちらに当てはまるかの見分け方と、制作を誰かに頼んでいる人が制作者に何を確認すればいいかをまとめました。

■まず結論：あなたはどれに当てはまる？

- レンタルサーバー（エックスサーバーなど）でPHPが8.2以上

　→ サーバー会社の修正を待つだけ。エックスサーバーは修正済み

- レンタルサーバーでPHPが8.1以前（7.4など）

　→ 8.3以上へ切り替える

- 自分でサーバーを管理している（VPSなど）

　→ 自分でPHPを更新する。すぐ難しければ一時停止も検討

- どれか分からない

　→ 下の3ステップで確かめる

■何が起きたのか｜WordPressは車体、PHPはエンジン

●PHPってそもそも何？

PHP（ピー・エイチ・ピー）は、ホームページの裏側で動いているプログラムの言葉です。

お問い合わせフォームから届いた内容を、メールにして送る。新しいブログ記事を、一覧の先頭に並べる。WordPressのホームページで当たり前に起きているこうした動きは、ページが開かれるたびに、サーバーの中でPHPが働いているから起きています。

使われている範囲も広く、サーバー側で使われているプログラムの言葉が分かっているWebサイトの7割近く（69.3%）が、PHPで動いています（W3Techs、2026年10月22日時点）。

名前の由来は「Personal Home Page」。1994年に、個人のホームページのために作られたツールから始まりました。

●WordPressは車体、PHPはエンジン

車でたとえると、WordPressが車体で、PHPがエンジンといったところです。

今回、欠陥が見つかったのは、そのエンジンのほうでした。いくら車体（WordPress本体やプラグイン）を最新に保っていても、エンジンの欠陥までは直せません。

そして、レンタルサーバーの場合、エンジンの修理はサーバー会社の担当です。僕たち利用者が自分でPHPのプログラムを入れ替えることは、ふつうできません。

PHP公式が10月21日の夜に出した修正版は、8.5.12／8.4.27／8.3.36／8.2.35 です。8.1以前（7.4など）には正式な新しいバージョンは出ず、サーバー会社などが組み込むための最小限の直しが公開されただけです。

エックスサーバーは、10月22日の朝6時45分に「PHP 8.2〜8.5について、対象となるすべてのサーバーへの修正パッチの適用が完了しました」と発表しています。それより古いバージョンも、順に対応を進めているそうです。

■自分で確かめる3ステップ

●ステップ1｜サーバー会社のお知らせを見る

まずは、ホームページを置いているサーバー会社のお知らせページや公式Xを確認してみてください。

「対応済み」と出ていれば、ひとまず安心です。

追加のお願いが書かれていたら、その指示に従いましょう。

●ステップ2｜PHPのバージョンを見る

WordPressの管理画面「ツール」→「サイトヘルス」→ 上の「情報」タブ →「サーバー」を開けば、「PHP バージョン」の行に数字が出てきます。

エックスサーバーなら、サーバーパネルの「PHP Ver.切替」でもチェックできます。

「8.2」以上なら、エックスサーバーの修正は完了です。「8.1」以前なら、次の章の手順で切り替えていきましょう。

8.2も2026年12月31日でサポートが終了します。8.2の方も、年内に8.3か8.4へ上げておくと安心です。

●ステップ3｜バックアップがあるか確かめる

エックスサーバーは、ファイルとデータベースを過去14日分、自動で保存しています（古いサーバーでは、ファイルは7日分のこともあります）。切り替えで何かあっても戻せる状態か、先に確かめておきましょう。

■エックスサーバーでPHPを切り替える手順

切り替え作業は、管理画面から数分で終わります。

1. サーバーパネルへログインし、左メニューの「PHP」から「PHP Ver.切替」を押します

2. 切り替えるドメインの右にある「編集」のペンのアイコンを押します

3. 「変更後のバージョン」で「（推奨）」と付いたバージョンを選び、「設定する」を押します。10月22日に僕のサーバーで見たときは「PHP8.3.36（推奨）」でした

切り替えたら少し時間を置いて、トップページやよく見られるページ、お問い合わせフォーム（テスト送信）、WordPressの管理画面へのログインを確かめてください。

表示が崩れたら、同じ画面で元のバージョンに戻せば元に戻ります。ただ、戻したままだと欠陥が残った状態なので、その日のうちに制作者へ相談しましょう。

7.4のような古いバージョンから上げる場合や、ネットショップ・会員ページがある場合は、切り替える前に制作者へ一声かけておくと安心です。

■サーバー会社ごとの、PHPのバージョンの確かめ方

管理画面の場所は、サーバー会社ごとに違います。主なサーバー会社の公式マニュアルをまとめました。どれも、今のバージョンの確認と切り替えを同じ画面でできます。

- エックスサーバー：サーバーパネル →「PHP Ver.切替」

　公式マニュアル「PHPのバージョン切り替え」

- さくらのレンタルサーバ：サーバーコントロールパネル →「スクリプト設定」→「言語バージョン設定」

　公式ヘルプ「PHPのバージョンを変更したい」

- ロリポップ！：ユーザー専用ページ →「サーバーの管理・設定」→「PHP設定」

　公式マニュアル「PHP設定」

- ConoHa WING：コントロールパネル →「WING」→「サイト管理」→「サイト設定」→「応用設定」

　公式サポート「PHPの設定をする」

ここにないサーバー会社は、「サーバー会社の名前　PHP　バージョン　変更」で検索すると、公式のマニュアルが見つかります。

管理画面のログイン情報が分からないときは、サーバーを契約したときに届いたメールを探してみてください。ログインの案内が書かれていることが多いです。

■AIに聞いて確かめるプロンプト

自分で判断するのが不安なときは、この確認用プロンプトを使ってみてください。

ChatGPTやClaudeに下の文章をそのまま貼り付け、「ここにURLを貼る」をご自身のホームページのアドレスに変えて送ってください。質問に順番に答えていくだけで、対応が必要かどうかと、やることが分かります。

エックスサーバーのサイトは、外からPHPのバージョンが見えない設定になっているので、URLだけでは分かりません。そのため、このプロンプトは、外から分かることを調べたうえで、PHPのバージョンを確かめる流れにしています。

パスワードやログイン情報は、絶対に貼らないでください。

↓ここからコピー↓

あなたは、ホームページの安全確認を手伝う相談役です。

2026年10月21日に公表された、PHP（ホームページを動かすプログラム）の重大な欠陥について、私のホームページが大丈夫かを、一緒に確認してください。

専門用語には短い説明をつけ、中学生にも分かる言葉で答えてください。

【私のホームページのURL】

ここにURLを貼る

【最初に、あなたが調べること】

Webを見られる場合は、次を開いて調べてください。開けなかったものは「確認できませんでした」と書いて、先へ進んでください。

1. 上のURLのページと、URLの末尾に「/feed/」を付けたページ。WordPressで作られているか、WordPressのバージョンが分かれば教えてください（フィードの generator の行に出ていることがあります）

2. PHP公式のお知らせで、最新の修正版と対象のバージョン

3. エックスサーバーのお知らせで、PHPの修正がどこまで進んでいるか

【前提（2026年10月22日時点）】

・修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35。PHP 8.1以前（7.4など）には、PHP公式から正式な新しいバージョンは出ない（サーバー会社などが組み込むための最小限の直しが公開されているだけ）

・エックスサーバーは「PHP 8.2〜8.5は、すべてのサーバーで修正パッチの適用が完了」と発表（10月22日6時45分時点）。それより古いバージョンは、順に対応中

・サーバー会社が古いバージョンに手当てをしても、そのバージョンは今後もPHP公式の更新を受けられない。次に欠陥が見つかったときも同じことが起きるので、8.3以上に上げておくのが安全

・PHPのバージョンは、外から見ても分からないことが多い。必ず私に確かめてもらうこと

・WordPress本体やプラグインの更新では、今回の欠陥は直らない

・PHP 8.2は、2026年12月31日でサポートが終わる

この前提と、あなたが調べた最新の情報が食い違う場合は、最新の情報を使い、調べた結果を伝えるとき（質問の前）にそのことを教えてください。エックスサーバーのページが開けない場合は、この前提のまま進めてください。

【次に、私に聞くこと（1回に1つずつ）】

1. サーバー会社はどこか（エックスサーバーか、ほかの会社か、分からないか）

2. PHPのバージョン。次の調べ方も一緒に教えてください

　・WordPressの管理画面 →「ツール」→「サイトヘルス」→ 上の「情報」タブ →「サーバー」→「PHP バージョン」の行

　・エックスサーバーなら、サーバーパネル →「PHP Ver.切替」→ ドメインの右にあるペンのアイコン

　・どちらにもログインできない場合は、ホームページを作った制作会社に「PHPのバージョンだけ教えてください」と聞けばよいと伝える

3. ネットショップ（決済）や会員ページがあるか

【判定のしかた】

・エックスサーバーで「8.2」以上 →「安全側」。今回の件での対応は不要。ただし8.2なら、年内に8.3か8.4へ上げることをすすめる

・エックスサーバーで「8.1」以前（7.4など）→「要対応」。8.3への切り替えをすすめる。サーバー会社の手当てが入っても、上げておくべき理由（前提の3つ目）もあわせて伝える

・エックスサーバー以外 →「要確認」。そのサーバー会社のお知らせを確かめるよう案内する

・バージョンが分からない →「要確認」。調べ方を、別の言い方でもう一度案内する

【答え方】

次の形でまとめてください。

・判定：安全側／要対応／要確認

・理由：どの情報から判断したか。確かめられなかったことは「未確認」と書く

・今日やること：多くても3つ

・「要対応」のときは、切り替えの手順：

　① 念のため、バックアップがあることを確認する（エックスサーバーは、ファイルとデータベースを過去14日分、自動で保存しています）

　② サーバーパネル →「PHP Ver.切替」→ ドメインの右のペンのアイコン →「変更後のバージョン」で「8.3」を選び →「設定する」

　③ 少し時間をおいてから、トップページ、よく見られるページ、お問い合わせフォーム（テスト送信）、WordPressの管理画面へのログインを確認する

　④ 表示がおかしいときは、同じ画面で元のバージョンに戻せば元に戻ることを伝える。ただし、元に戻すと欠陥が残った状態に戻るので、戻したままにせず、その日のうちに制作会社に相談するよう案内する

　7.4など古いバージョンから上げる場合や、ネットショップ・会員ページがある場合は、切り替えの前に制作会社に一声かけるよう、あわせて伝える

【守ってほしいこと】

・パスワードやログイン情報は、聞かない・貼らせない

・サーバーの設定ファイル（php.ini など）を書き換える方法はすすめない

・サイトを止めることはすすめない（ご自身でサーバーを管理していて、PHP 8.2より前から上げられない場合だけ、選択肢として伝える）

・確かめていないことを、確かめたように書かない

↑ここまで↑

■これから、WordPressのままでいいの？

今回の問題は、WordPress単体ではなく、PHPで動くホームページ全体の話です。ですから、これだけの理由でWordPressをやめる必要はありません。安全に使えているなら、今のホームページを使い続けるのがいちばんです。

もちろん、PHPを使わずに動かす仕組みなら、今回のような欠陥の影響は受けません。ただ、そちらはそちらで、別の管理やリスクが出てきます。

僕のところでも今、ご希望の方に向けて、WordPressから別の仕組みへの引っ越しを検討しています。これまで制作に関わらせていただいたお客様には、格安でお引き受けする予定です。内容が固まり次第、ココナラのメッセージであらためてご案内します。

ただし、会員機能やネットショップなどの特別な機能があるホームページは、今のままのほうが安全な場合もあります。決済や会員のデータを移すと作り直す範囲が大きくなり、作業中の不具合のリスクも増えるからです。引っ越しが向いているかはホームページごとに判断しますので、ケースバイケースになる点はご了承ください。

■まとめ｜今日やるのは、PHPのバージョンの確認だけ

- レンタルサーバーなら、PHPの修正はサーバー会社が入れるもの。多くの方は、慌ててサイトを止める必要はありません

- 8.1以前（7.4など）なら、8.3以上へ切り替えましょう。エックスサーバーなら管理画面から数分です

- 分からなければ、制作者に「PHPのバージョン」と「切り替えの可否」の2つだけ聞いてみてください

まずはPHPのバージョンの確認から始めましょう。

■出典

- PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）

- PHP公式「Supported Versions」

- PHP公式「History of PHP」

- WordPress日本語公式「PHP の重大なセキュリティリリース」（2026年10月21日）

- W3Techs「Usage statistics and market share of PHP for websites」（2026年10月22日）

- エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日 6時45分の更新）

- エックスサーバー「自動バックアップ」

- 高市早苗首相のXの投稿（2026年10月21日 午後9時55分）