【注意喚起】PHPに重大な脆弱性（2026年10月）｜WordPressのサイトで今日確かめる3つと、使っている版ごとの対応早見

2026年10月21日、PHPの開発チームから、重大な脆弱性を直すための更新が発表されました。

WordPressの公式サイト（日本語版）でも、同じ日に「サイト所有者はPHPをすぐに更新してください」というお知らせが出ています。

PHPは、WordPressをはじめ、多くのホームページを動かしているプログラムの言葉です。

専門的な話に見えますが、WordPressでホームページを持っている会社やお店にも関係があります。

この記事では、何が起きているのか、そして今日確かめておきたいことを、できるだけ分かりやすくまとめました。

■何が起きているのか

PHPの公式の発表によると、見つかった脆弱性は2件です。

どちらも、ログインしていない第三者が外から送ったデータで、サーバーの上で勝手にプログラムを動かされるおそれがある、という深刻なものです。

ホームページを表示するためにPHPを動かしているサーバーが広く対象になっています。

WordPressだけの問題ではなく、PHPで動いているサイト全般にかかわる話です。

■いちばん大事なこと：WordPressの更新では直りません

WordPressの公式のお知らせでも、この問題のためにWordPressを更新する必要はなく、WordPressの更新も予定していないと書かれています。

直すには、サーバーで動いているPHPそのものを、修正された版に更新する必要があります。

WordPressやプラグインを最新にしているから大丈夫、とは言えないので注意してください。

■使っているPHPの版ごとの、やること早見

PHPの公式の発表とサポート期間の表をもとに、まとめました。

・PHP 8.5 を使っている → 8.5.12 以降に更新する

・PHP 8.4 を使っている → 8.4.27 以降に更新する

・PHP 8.3 を使っている → 8.3.36 以降に更新する

・PHP 8.2 を使っている → 8.2.35 以降に更新する。さらに、8.2 のセキュリティの修正は2026年12月31日で終わるため、年内に 8.3 以降へ移る準備も始める

・PHP 8.1 以前を使っている → PHPの開発チームからの更新は、もう出ません。サポートが続いている版（8.3 以降がおすすめ）へ移ることを、できるだけ早く進める

8.1 以前は、サポートがすでに終わっている版です。

今回のような重大な問題が見つかっても、公式の修正は基本的に届きません。

■今日確かめる3つのこと

1. 自分のサイトのPHPの版を見る

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」→「サーバー」と進むと、PHPのバージョンが表示されます。

サーバー会社の管理画面でも確かめられることが多いです。

2. サーバー会社のお知らせを見る

レンタルサーバーの場合、サーバー会社がすでにPHPを更新したり、攻撃を止める仕組み（WAF）の設定を入れたりしていることがあります。

管理画面のお知らせやメールで、今回の件についての案内が出ていないかを確かめてください。

3. 版が古ければ、切り替えの計画を立てる

8.1 以前や 8.2 を使っている場合は、新しい版への切り替えを予定に入れます。

切り替える前にバックアップを取り、表示やお問い合わせフォームが正常に動くかを確かめながら進めます。

■自分でサーバーを管理している場合

自社でサーバーを管理している場合は、ご自分（または管理を頼んでいる人）がPHPを更新する必要があります。

すぐに更新できないときに被害を減らすための設定も、PHPの公式の発表に書かれています。

古い版のまま、すぐに対応できない場合は、更新の準備が整うまでサイトを止めることも検討するよう、WordPressのお知らせでは案内されています。

■PHPを上げるときに起きやすいこと

・古いプラグインやテーマが新しい版に対応しておらず、表示が崩れる、真っ白になる

・お問い合わせフォームが動かなくなる

・管理画面に入れなくなる

だからこそ、切り替えの前のバックアップと、切り替えたあとの確認が大切です。

■自分で確かめるチェックリスト

・サイトヘルスで、PHPのバージョンを確かめた

・サーバー会社から、今回の件のお知らせが出ていないか見た

・使っている版が、上の早見のどれに当たるか確かめた

・8.2 以前なら、年内に新しい版へ移る予定を立てた

・切り替えの前に、バックアップを取る段取りを決めた

・切り替えたあと、表示とお問い合わせフォームを確かめる段取りを決めた

■よくある質問

Q. WordPressを最新にしていれば、安全ですか？

A. 今回の問題は、WordPressではなくPHPそのものにあります。WordPressを最新にしていても、PHPが古いままなら影響を受けるおそれがあります。

Q. レンタルサーバーを使っています。自分でやることはありますか？

A. サーバー会社がPHPを更新していることも多いですが、どの版を使うかは利用者が選ぶ仕組みのサーバーもあります。サーバー会社のお知らせを確かめ、古い版を選んでいる場合は切り替えを考えましょう。

Q. 表示がおかしくないので、問題ないのではないですか？

A. 見た目が普通でも、PHPの版が古ければ弱点は残っています。表示では判断できないので、版を確かめることが大切です。

Q. 8.2 から 8.3 以降に上げると、サイトは壊れませんか？

A. 多くのサイトはそのまま動きますが、古いプラグインやテーマがあると不具合が出ることがあります。バックアップを取り、1つずつ確かめながら進めれば、問題が出ても元に戻せます。

Q. すでにおかしな動きがあるときは、どうすればいいですか？

A. 見覚えのないページがある、別のサイトに飛ばされる、といった症状があれば、PHPの更新とあわせて、改ざんされていないかの確認と復旧が必要です。

■PHPの切り替えを任せたい方へ

バックアップを取ったうえで、プラグイン・テーマが新しいPHPに対応しているかを確かめ、切り替えたあとの表示まで確認する更新の代行をお受けしています。

WordPressとPHPの更新を安全に代行します

https://coconala.com/services/4456356

すでに改ざんや乗っ取りの症状がある場合は、こちらで復旧します。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914