【2026年10月27日追記】修正版の公開とサーバー事業者の対応
この記事は10月21日時点の速報を記録したものです。その後、PHP公式からセキュリティ修正版が公開されました。PHP 8.3系では8.3.36がセキュリティリリースとして案内されています。
なお、レンタルサーバーによっては、PHPの表示バージョンを変更せずに修正部分だけを適用する「バックポート」という方法を採用する場合があります。例えば、お名前.comは2026年10月22日付の公式案内で、RSプランなどにセキュリティパッチを適用済みであり、利用者によるPHPバージョン変更は不要としています。
したがって、画面に表示される数字だけで対策済みかどうかを判断せず、利用しているサーバーの公式発表を必ず確認してください。この説明はお名前.comの対象サービスに関するもので、すべてのサーバー事業者に当てはまるわけではありません。
今から確認する方へのチェックポイント
- PHPを使用しているサイト・システムと、利用中のバージョンを把握する。
- PHP公式またはサーバー事業者のセキュリティ情報を確認する。
- 提供元の案内に従い、必要な修正や更新を実施する。
- 更新後は、お問い合わせフォームや業務上重要な機能が動くか確認する。
この記事にある「修正版の公開前」という説明は、当初の速報時点の記録として残しています。最新の対応を検討する際は本追記と公式案内を優先してください。
※2026年10月21日、セキュリティ修正版の公開前に確認できた情報に基づく速報です。影響範囲や修正済みバージョンは最新の公式情報をご確認ください。
2026年10月21日、独立行政法人情報処理推進機構（IPA）は、PHPの重大な脆弱性に関する注意喚起を公開しました。PHPはWordPressに限らず、企業のWebサイト、ECサイト、業務システム、Webアプリケーションなどで広く利用されています。
① PHPに重大な脆弱性が報告
PHPの開発チームは、2件の脆弱性に対応するセキュリティリリースを2026年10月21日23時（日本時間）に公開する予定と案内しています。識別番号はCVE-2026-109618、CVE-2026-109619です。深刻度はCVSS v4.0でそれぞれ9.2とされています。
悪用された場合には深刻な影響が生じる可能性がありますが、公開前の時点では影響する詳細なバージョンや修正済みバージョンは未確定です。また、IPAが悪用を確認したという発表ではありません。
② WordPressだけの問題ではありません
PHPは企業や店舗のWebサイト、ECサイト、予約システム、顧客管理などのWebアプリケーション、社内向け業務システム、ソフトウェア製品やネットワーク機器の内部機能にも使われることがあります。
ただし、これらのシステムすべてが今回の脆弱性の影響を受けるという意味ではありません。実際の影響はPHPのバージョンや利用方法、製品の構成によって異なります。
③ まずはPHPの利用状況を確認
IPAは、組織内で開発・運用しているプログラムや利用製品について、可能な範囲でPHPの利用状況を把握するよう呼びかけています。
- Webサイト：レンタルサーバーの管理画面でPHPのバージョンを確認します。WordPressでは「ツール → サイトヘルス → 情報 → サーバー」から確認できます。
- 業務システム：社内のシステム管理者や保守委託先にPHPの利用有無を確認します。
- 製品・機器：メーカーや提供元のセキュリティ情報を確認します。
④ 修正版の公開後に速やかに対応できる準備を
- PHPを利用するシステムとバージョンを確認する
- システムとデータベースのバックアップを取得する
- アプリケーションとの互換性を確認する
- 管理者・保守担当者と更新手順を調整する
- 修正版の公開後、対象かどうかを確認して必要な対策を適用する
PHPの更新によって既存のプログラムに不具合が生じる場合もあるため、可能であればテスト環境で確認し、更新後は主要機能を点検しましょう。互換性の問題を理由に、脆弱性のある環境を長期間放置することも避ける必要があります。
⑤ 自分で更新できない場合は提供元へ確認
レンタルサーバー、クラウドサービス、外部の業務システムなどでは、利用者自身がPHPを更新できない場合があります。提供元や保守会社に、影響の有無、修正版の適用予定、利用者側で必要な作業、暫定対策を確認しましょう。
⑥ サポート終了の古いPHPにも注意
サポートが終了したPHPでは、公式のセキュリティ修正が提供されない可能性があります。今回の問題に限らず、継続的に更新を受けられる環境への移行を検討しましょう。単に別のPHPバージョンへ変更しただけで、今回の脆弱性が解消されるとは限りません。
まとめ
PHPの脆弱性はWordPressだけでなく、さまざまなシステムに関係する可能性があります。まず利用状況とバージョンを把握し、公式発表と提供元の案内を確認したうえで、必要な更新を速やかに進めましょう。