【緊急】PHPに重大な脆弱性｜WordPressサイト運営者が今すぐ確認すべきバージョンと対応手順

2026年10月21日、PHPの開発チームから「重大なリモートコード実行の脆弱性」に関するセキュリティ勧告が発表されました。PHPはWordPressをはじめ、多くのホームページを動かしているプログラミング言語です。つまり、中小企業や店舗のホームページの多くが影響を受ける可能性があるということです。

「専門的な話はよくわからない」という方でも、今回の件は放置すると、ホームページの改ざんや検索順位の大幅な低下につながりかねません。この記事では、品川区戸越のホームページ制作会社Humax Webが、今回の脆弱性の概要と、サイト運営者が今すぐやるべき対応をわかりやすく解説します。

今回公表されたPHPの脆弱性とは

今回明らかになったのは、次の2件の脆弱性です。

• CVE-2026-109618：メモリ不足（OOM）の処理中に内部データが壊れた状態になり、悪用される恐れがあるもの
• CVE-2026-109619：処理済みのリクエストのデータが解放後も残り、次のリクエストで悪用される恐れがあるもの

どちらも深刻度の指標であるCVSS v4.0で**9.2（緊急レベル）**と評価されています。最大の問題は、ログインなどの認証なしに、外部から不正なプログラムを実行される可能性がある点です。PHP公式は、すべての利用者に「直ちにアップデートする」よう強く呼びかけています。

影響を受けるのは、Webページを表示するために動いているほぼすべてのPHP環境です。PHP-FPM、Apache（mod_php）、php-cgi、FrankenPHP、LiteSpeedなどが対象で、特にApacheのmod_phpでは、サイト側のプログラムが動く前の段階で攻撃が成立する実証例が確認されており、最もリスクが高いとされています。

対象バージョンと修正版

修正済みのバージョンは以下のとおりです。

ご利用中のPHP	修正版（このバージョン以上に更新）
PHP 8.5系	8.5.12
PHP 8.4系	8.4.27
PHP 8.3系	8.3.36
PHP 8.2系	8.2.35
PHP 8.1以前	公式の修正版なし（サポート対象バージョンへの移行を推奨）

注意が必要なのはPHP 8.1以前を使っているサイトです。これらはすでにPHP公式のサポートが終了しており、通常のアップデートは提供されません。事態の深刻さから、PHP 7.4〜8.1向けにも最小限の修正コードが特別に公開されていますが、これは自分でPHPを組み立てられる技術者向けのものです。一般的なサイト運営者の方は、サポート中のバージョンへの移行を検討してください。

なぜWordPressサイトへの影響が大きいのか

WordPressはPHPで動いています。普段「WordPressの本体やプラグインは更新しているから大丈夫」と考えている方も多いですが、今回の脆弱性はWordPressよりも下の層、サーバー上のPHPそのものにあります。

そのため、WordPressやプラグインをいくら最新にしていても、PHPが古いままでは防げません。しかも前述のとおり、サイトのプログラムが動く前に攻撃が成立するケースもあるため、セキュリティ系プラグインだけに頼るのも危険です。

放置するとSEOにも深刻な影響が出る

「セキュリティの問題」と「SEO」は別物だと思われがちですが、実は密接に関係しています。サイトが乗っ取られた場合、次のような被害が考えられます。

• 身に覚えのないスパムページや不正なリンクが大量に作られる
• 訪問者が詐欺サイトやウイルス配布サイトへ転送される
• Googleの検索結果やブラウザに「このサイトは危険です」という警告が表示される
• Googleから手動による対策（ペナルティ）を受け、検索順位が大きく下落する

一度こうした状態になると、復旧作業に加えて、Googleへの再審査リクエストや評価の回復に数週間から数か月かかることもあります。せっかく積み上げてきた検索順位やお客様からの信頼を守るためにも、早めの対応が最大のSEO対策です。

今すぐやるべき4つの対応

1. 現在のPHPバージョンを確認する

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」の項目を確認すると、PHPのバージョンが表示されます。レンタルサーバーの管理画面からも確認できます。

2. レンタルサーバー会社のお知らせを確認する

共用のレンタルサーバーを使っている場合、PHPの更新はサーバー会社が行うのが一般的です。主要なLinuxディストリビューションやサーバー事業者には事前に修正が共有されているため、すでに対応済みのケースもあります。サーバー会社のお知らせやメンテナンス情報を確認し、必要に応じて管理画面からPHPのバージョンを切り替えましょう。

3. VPS・専用サーバーは修正版へアップデートする

VPSや専用サーバーなど自社でサーバーを管理している場合は、OSのパッケージ更新などで修正版のPHPへアップデートしてください。更新後はPHP-FPMやWebサーバーの再起動も忘れずに行いましょう。

4. 更新前のバックアップと、更新後の動作確認

PHPのバージョンを切り替えると、古いテーマやプラグインが正しく動かなくなることがあります。作業前に必ずサイト全体のバックアップを取り、更新後はトップページ・お問い合わせフォーム・予約機能などが正常に動くか確認してください。

すぐに更新できない場合の暫定策

PHP公式は、アップデートできない場合の被害軽減策として、session.upload_progress.enabled=0 の設定や、post_max_size を小さめに設定することなどを挙げています。ただし、これらはあくまで一部の攻撃経路を減らすだけで、安全になるわけではないと明記されています。暫定策はつなぎと考え、できるだけ早く修正版へ更新することが唯一の確実な対策です。

PHP 8.2は2026年12月末でサポート終了

あわせて押さえておきたいのが、PHP 8.2のサポートが2026年12月31日で終了するという点です。今回は8.2向けにも修正版が出ましたが、来年以降は同じような脆弱性が見つかっても修正されません。PHP 8.2以前をお使いの方は、今回の対応をきっかけに、8.3以降への移行計画を立てておくことをおすすめします。

まとめ：ホームページは「作って終わり」ではありません

今回のPHPの脆弱性は、WordPressで作られた多くのホームページに関わる重大な問題です。まずはPHPのバージョンを確認し、修正版への更新を最優先で進めてください。

とはいえ、「自分のサイトがどのサーバーで動いているかわからない」「バージョンを上げてサイトが崩れたら困る」という方も多いはずです。Humax Webの更新・運用サポートでは、PHPやWordPressのバージョン管理、バックアップ、更新後の動作確認まで、サイトの安全な運用をまるごとお任せいただけます。

他社で制作したホームページの診断も承っています。品川区・東京エリアのお客様は訪問でのご相談も可能です。少しでも不安があれば、まずはお問い合わせからお気軽にご相談ください。

※本記事は2026年10月23日時点のPHP公式発表をもとに作成しています。