🌐 For international visitors, you can change the language using the flag icon at the top right.
（※外国の方は右上の国旗で言語を変えられます）
本記事にはアフィリエイト広告およびプロモーションが含まれています。
みなさん、こんにちは。
今回は、ウェブサイトを運営している方に向けた、セキュリティに関する重要なお知らせです。
2026年10月21日、PHPの開発チームが、重大な脆弱性2件を修正するセキュリティアップデートを公開しました。
PHPは、WordPressをはじめ、多くのウェブサイトやウェブサービスで利用されているプログラミング言語です。
今回の問題はWordPressだけに限ったものではなく、PHPを利用しているサーバーやウェブサービスに関係します。
私自身もWordPressでブログを運営しているため、このニュースを見て心配になりました。
「WordPressを使っているけど、大丈夫なの？」
「レンタルサーバーを使っている場合、何を確認すればいいの？」
そんな疑問を持つ方もいるのではないでしょうか。
この記事では、PHP公式、WordPress公式、IPA（情報処理推進機構）などの情報をもとに、今回の脆弱性の概要と、WordPress利用者が確認しておきたいポイントを整理します。
※私はセキュリティの専門家ではありません。本記事では、公式発表で確認できた内容と、一般利用者として確認しておきたい対策を分けて紹介します。個別のサイトが安全かどうかを保証するものではありません。
PHPに重大な脆弱性が見つかる
PHP公式は2026年10月21日、重大な脆弱性2件を修正するセキュリティリリースを公開しました。
今回の脆弱性は、条件によっては、認証されていない外部の攻撃者がサーバー上で任意のコードを実行できる可能性があるものです。
このような攻撃は、一般に「リモートコード実行（RCE）」と呼ばれます。
サーバー上で不正なコードを実行されると、環境や権限などによっては、ウェブサイトの改ざんや情報への不正アクセスなどにつながるおそれがあります。
今回修正された脆弱性
PHP公式が公表した脆弱性識別番号は、次の2件です。
- CVE-2026-109618
- CVE-2026-109619
いずれも深刻度の高い問題として公表され、修正版へのアップデートが推奨されています。
ただし、脆弱性が公表されたからといって、すべてのサイトが被害を受けたという意味ではありません。
実際のリスクは、利用しているPHPのバージョンや実行環境、サーバー側の対応状況などによって異なります。
修正版として公開されたPHPのバージョン
PHP公式が公開した修正版は、以下のとおりです。
| 系列 | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1以前については、PHP公式による通常のセキュリティサポートが終了している系列があります。古いPHPを利用している場合は、利用中のサーバー会社やOSの提供元に、修正の提供状況を確認してください。
公式情報：
WordPressを使っているサイトも確認が必要？
今回のニュースで気になるのが、WordPressへの影響です。
WordPressはPHPを利用して動作するため、WordPressでブログやウェブサイトを運営している場合も、サーバー側のPHPの状況を確認する必要があります。
ここで大切なのは、WordPress本体の更新と、PHPの更新は別のものだという点です。
WordPress公式も、今回の脆弱性はWordPress固有の問題ではなく、PHPを利用するサーバー全般に関係する問題だと説明しています。
そのため、WordPress本体やプラグインを最新版にするだけでは、今回のPHPの脆弱性への対策が完了したことにはなりません。
WordPress利用者が確認しておきたいこと
まずは、次の3点を確認しましょう。
- 利用しているレンタルサーバー会社から、今回の脆弱性に関する案内が出ているか
- 使用中のPHPのバージョンと、サーバー会社による修正対応の状況
- WordPress本体、テーマ、プラグインにも更新が必要なものが残っていないか
PHPの更新方法や更新できるバージョンは、サーバー会社や利用環境によって異なります。
自分でPHPのバージョンを変更する場合は、サイトやプラグインの互換性を確認してから作業してください。操作に不安がある場合は、サーバー会社のサポートに相談するのも方法のひとつです。
公式情報：
レンタルサーバー利用者は何をすればいい？
レンタルサーバーを利用している場合、PHPの管理やアップデートの一部をサーバー会社が担っています。
ただし、サーバー会社が対応しているかどうかは、利用しているサービスやプラン、サーバー環境などによって異なる可能性があります。
「レンタルサーバーだから自動的に大丈夫」と決めつけず、公式のお知らせを確認することが大切です。
エックスサーバーを利用している場合
私が確認したエックスサーバーの公式情報では、障害・メンテナンス情報や各種アップデートのお知らせが公開されています。
ただし、一般的なメンテナンス情報があることだけで、今回のPHPの脆弱性への対応が完了したとは判断できません。
利用者は、次のページから最新情報を確認してください。
公式案内で対応状況が分からない場合は、サポート窓口に「今回公表されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況」と「自分の契約環境で必要な操作があるか」を問い合わせるとよいでしょう。
※この記事の作成時点で、私からは個々の契約サーバーのPHP更新状況までは確認できません。ご自身のサーバーで対応が完了しているかどうかは、公式案内やサポートで確認してください。
パスワードの変更も必要？
今回の話題に関連して、パスワードの使い回しを避けるよう呼びかける投稿もありました。
パスワードを複数のサービスで使い回さず、それぞれ異なるものにすることは、日頃から重要なセキュリティ対策です。
もし、どこかのサービスからパスワードが漏えいした場合、同じパスワードを使っている別のサービスにも不正ログインを試みられる可能性があるためです。
ただし、今回のPHPの脆弱性については、パスワードを変更するだけで修正できるものではありません。
まずは、サーバー側のPHPが修正済みかどうかを確認することが重要です。
そのうえで、普段から次のような対策も心がけましょう。
- サービスごとに異なるパスワードを設定する
- 対応しているサービスでは多要素認証を利用する
- 不審なメールやSMSのリンクを安易に開かない
- 見覚えのないログイン通知やアカウント変更がないか確認する
これらは今回のPHPの脆弱性を直接修正する方法ではありませんが、アカウントを守るための基本的な対策です。
今回の件で、私たちが確認しておきたいこと
ここまでの内容を、一般のWordPress利用者向けに整理します。
- レンタルサーバー会社の公式発表を確認した
- 使用中のPHPのバージョンを確認した
- 今回の脆弱性への修正対応が済んでいるか確認した
- 自分でPHPを更新する必要がある場合、手順と互換性を確認した
- WordPress本体、テーマ、プラグインの更新状況を確認した
- バックアップの取得状況を確認した
- パスワードの使い回しや多要素認証など、普段の対策も見直した
すべてを一度に自分だけで判断する必要はありません。
PHPやサーバーの管理に詳しくない場合は、サーバー会社の案内を確認し、分からない点はサポートに問い合わせることが大切です。
また、PHPの更新対応が済んでいることと、サイトが絶対に安全であることは同じではありません。
WordPress本体やプラグインの管理、バックアップ、不審な変更の確認なども、継続して行いましょう。
公式情報を確認し、必要な対策を速やかに
2026年10月21日、PHP公式は重大な脆弱性2件を修正するセキュリティリリースを公開しました。
WordPressもPHPを利用するため、WordPressでサイトを運営している方は、サーバー側のPHPのバージョンと対応状況を確認することが大切です。
今回の件で重要なのは、不確かな情報に過度に不安を感じることでも、反対に「自分のサイトは大丈夫」と決めつけることでもありません。
公式情報を確認し、自分の利用環境で必要な対応を進めることです。
私自身も、ブログを運営する一人として、こうした情報を確認しながら、できることから対策していきたいと思います。
この記事が、WordPressやウェブサイトを運営している方の確認に少しでも役立てば幸いです。
最後まで読んでいただき、ありがとうございました。
参考・確認先
- PHP公式サイト
- PHP公式：2026年のニュース一覧
- WordPress公式：PHPの重大なセキュリティリリースについて
- IPA：PHPのセキュリティリリース公開予定について
- エックスサーバー公式：障害・メンテナンス情報
- エックスサーバー公式：サポートニュース
※セキュリティ情報は更新される場合があります。最新の対応状況については、各公式サイトをご確認ください。
🔗 あわせて読みたい 最新の個人情報流出情報まとめ
最近も、企業やサービスから個人情報流出や不正アクセスに関する発表が相次いでいます。
「自分が使っているサービスは大丈夫だろうか？」
そんな不安を感じている方に向けて、2026年9月以降に公表された情報流出・不正アクセスの事例をまとめました。
利用しているサービスが含まれていないか、ぜひ一度確認してみてください。
【2026年10月15日まで】個人情報流出・不正アクセス情報一覧まとめ｜利用者が確認したい対策
上記の記事が長くなりましたので分割しました。
こちらでは、2026年10月16日以降に公表・更新された個人情報流出や不正アクセスに関する情報を、確認できた範囲で一覧にまとめています。
【随時更新】個人情報流出・不正アクセスを公表した企業一覧｜2026年10月の最新情報と対策
個人情報流出が相次ぐなか、私自身も不正利用をされてクレジットカード2枚を作り直しました。
その体験をもとに、不正利用への対応や、私たちが日頃から気をつけたいポイントを紹介しています。
【個人情報流出】相次ぐ情報漏えい、私たちは何をすべき？クレカ2枚を作り直した私の体験談
「パスワードはメモでも大丈夫？」
そんな疑問をお持ちの方に向けて、パスワードを紙に控えるときの注意点や、安全に管理するためのポイントを、私自身の経験も交えながら紹介しています。
【パスワードは紙に書いてもいい？】安全な保管方法と管理の注意点
パスワードの管理だけでなく、個人情報流出や不正ログインを防ぐために、ほかにもできる対策があります。
二段階認証の設定など、今すぐ取り組める対策については、こちらの記事で紹介しています。
【今すぐできる】個人情報流出・不正ログインから身を守る3つの対策
電子書籍サービスの停止や終了が起きたとき、購入した漫画はどうなるのでしょうか？
Renta!やコミックシーモアの事例をもとに、電子書籍への影響や、私たちができる備えについてまとめました。
コメント