「PHPに重大な脆弱性があると聞いたけれど、自分のホームページは大丈夫？」
「WordPressを使うのをやめた方がいいの？」
ホームページを運営していると、こうしたニュースに不安を感じることがあります。
WordPressは、PHPを含む更新・保守を続けることで、引き続き利用できます。ただし、今回のPHPの脆弱性は早急な対応が必要です。
大切なのは、自分のサイトへの影響と、修正が適用されているかを確認することです。今回は、PHPとWordPressの関係、サイト運営者が行うべき対応を紹介します。
PHPとWordPressは、どう関係しているの？
PHPは、サーバー上で動くプログラミング言語です。WordPressは、このPHPを使ってページを表示したり、記事を保存したりしています。
ホームページをお店に例えるなら、WordPressは店舗の仕組み、PHPはそれを動かす設備のようなものです。
そのため、WordPress本体を更新していても、PHP側の修正まで完了しているとは限りません。 PHPの更新には、サーバー側の対応が必要です。
2026年10月に公表された問題とは？
PHP開発チームは2026年10月21日、ログインしていない第三者が、遠隔から不正なプログラムを実行できる可能性のある重大な脆弱性2件を公表しました。
対象となる問題の識別番号は、次のとおりです。
- CVE-2026-109618
- CVE-2026-109619
公式発表では、Webからのアクセスを処理するPHP環境が対象とされ、速やかな更新が呼びかけられています。WordPressだけに限られた問題ではありません。
今回の修正版として案内されたのは、以下のバージョンです。
| PHPの系列 | 今回の修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
これは今回の問題に対する修正版です。その後に新しい修正が公開された場合は、そちらも確認してください。
なお、サーバー会社によっては、表示されるバージョン番号を大きく変えずに修正を適用する場合があります。番号だけで判断せず、契約しているサーバー会社の対応情報を確認しましょう。
WordPressを使い続けても問題ない？
今回の問題だけを理由に、すべてのWordPressサイトを別の仕組みに移す必要がある、という判断にはなりません。
一方で、「WordPressだから大丈夫」「有名なサーバーだから何もしなくてよい」とも言い切れません。
継続利用を判断する際は、次の条件を確認しましょう。
- サーバー会社がPHPの修正状況を案内している
- WordPress本体・テーマ・プラグインを更新できる
- バックアップと復元方法が用意されている
- 不具合や緊急の案内に対応する担当者が決まっている
WordPressには脆弱性を調査し、修正を提供する仕組みがあります。ただし、公式にサポートされるのは最新版です。古いバージョンへの修正提供が、今後も必ず続くとは考えないようにしましょう。
使い続けるために必要なのは、公開後も更新と確認を続けられる運営体制です。
サイト運営者が、今から行う5つの対応
① サーバー会社の公式案内を確認する
まず、契約しているレンタルサーバーの「お知らせ」「障害・メンテナンス情報」などを確認します。
今回の問題について、次の点を調べてください。
- 自分の契約サービスは対象か
- 修正は適用済みか
- 利用者側で必要な操作はあるか
- 未対応の場合、いつ対応する予定か
分からない場合は、サポート窓口へ問い合わせましょう。
WordPressサイトを運営しています。2026年10月21日に公表されたPHPの脆弱性「CVE-2026-109618」「CVE-2026-109619」について、私の契約環境への修正適用状況と、利用者側で必要な操作を教えてください。
② 現在のPHPバージョンを確認する
WordPressの管理画面では、通常、次の場所で確認できます。
「ツール」→「サイトヘルス」→「情報」→「サーバー」
表示されるPHPバージョンを控え、サーバー会社の案内と照らし合わせます。画面や権限によって確認できない場合は、サーバーの管理画面やサポート窓口を利用してください。
サイトヘルスの情報画面は、環境を調べるための画面です。そこからPHPのバージョンを変更するものではありません。
③ バックアップと復元方法を確認する
PHPを切り替える前に、サイトのファイルとデータベースのバックアップを確認します。
「バックアップ機能を入れている」だけでなく、直近の保存が成功しているか、どこに保存されているか、誰が復元できるかまで把握しておきましょう。
WordPress公式も、PHP更新の準備としてバックアップと、テーマ・プラグインの互換性確認を案内しています。
④ 修正適用と、大きなバージョン変更を分けて考える
例えば、PHP 8.3の修正版へ更新することと、PHP 8.3から8.5へ切り替えることでは、確認する範囲が異なります。
新しい系列への変更では、古いテーマやプラグインが動かなくなる可能性があります。検証用の環境がある場合は、そこで表示や機能を確かめてから本番へ反映します。
ただし、今回のような重大な問題では、互換性への不安から未修正のまま放置することも避けたいところです。まずサーバー会社に修正版の提供方法を確認し、必要に応じて制作・保守担当者と対応を進めましょう。
⑤ 更新後に、サイトの動作を確認する
更新作業が終わったら、トップページを見るだけでなく、実際に利用する機能を確認します。
- 記事や画像が正しく表示されるか
- 管理画面へログインできるか
- 記事を保存・更新できるか
- お問い合わせフォームの送信と受信ができるか
- 予約や購入などの主要機能が使えるか
フォームのテストでは、送信完了の表示だけでなく、メールが届いたかまで確認すると安心です。
セキュリティプラグインを入れていれば大丈夫？
セキュリティプラグインやWAFは、防御を補うための仕組みです。
今回のPHPの問題について、公式告知では、暫定的な対策だけでは完全な解決にならず、更新が必要だと説明されています。
プラグインの導入やログイン対策だけで、PHPの修正を代替することはできません。 サーバー側への修正適用を確認してください。
古いPHPを使っている場合は、今後の移行も必要
今回の修正に加えて、PHPのサポート期限にも注意が必要です。
2026年10月22日時点では、PHP 8.2の公式セキュリティサポートは2026年12月31日までです。PHP 8.1以前は、PHP開発元による通常のサポートが終了しています。
古いPHPでしか動かないサイトは、テーマ・プラグインの見直しも含めて移行を計画しましょう。
「誰が更新するか」を決めておきましょう
ホームページは、作って公開すれば終わりではありません。
サーバー側の修正を誰が確認するのか、WordPressの更新を誰が行うのか、不具合が起きたときに誰へ相談するのか。この役割を決めておくことが大切です。
更新を担当する人がいない場合は、保守サービスの利用や、管理負担の少ない仕組みへの変更を検討する余地があります。
まずは、サーバー会社の今回の対応状況、現在のPHPバージョン、バックアップの有無を確認するところから始めましょう。
参考資料・公式情報
- PHP公式：2026年10月21日のセキュリティ告知
- PHP公式：サポート対象バージョン
- WordPress公式：PHPの更新について
- WordPress公式：セキュリティへの取り組み
- WordPress公式：サイトヘルス画面
※本記事は2026年10月22日時点の公式情報をもとに作成しています。個別サイトの安全性や修正適用状況を保証するものではありません。最新の対応情報は、PHP公式および契約先サーバー会社の案内をご確認ください。
