PHPの脆弱性、WordPressのホームページは管理会社に何を聞けばいい？

2026年10月21日に、ホームページを動かしている「PHP（ピーエイチピー）」という部品に重大な欠陥が見つかり、修正版が出ました。この記事は、WordPress でホームページを持っている医院・事務所・工務店などの方に向けて書いています。読み終わったときに、ホームページを管理している相手に何を聞けばいいかが分かって、そのまま送れる質問の文が手元に残るのが目標です。

私は中小企業の手作業を自動化する仕事をしているエンジニアで、自分の仕事では PHP を使っていません。それでも、エンジニアとしてこの件をスルーするのは落ち着かなかったので、PHP の公式の発表と国の注意喚起を読んで、エンジニアではない方向けに書き直しました。内容は 2026年10月22日 1時時点のものです。

なお、この記事では、ホームページの制作会社やレンタルサーバーの会社など、サイトを管理している相手をまとめて「管理会社」と呼びます。

何が起きたのか

WordPress で作ったホームページは、サーバー（ホームページのデータを置いて、24時間動かしているコンピューター）の上で、PHP という部品を使って動いています。今回見つかったのは、その PHP の欠陥（専門用語で「脆弱性」）です。外から誰でも、パスワードなしでサーバーを操れてしまう可能性があるという種類のもので、PHP の公式も「すべての利用者に、すぐに更新することを強く勧める」と書いています。国の情報セキュリティの機関である IPA も、修正版が出る前から、すぐ当てられるよう準備するよう呼びかけていました。政府の国家サイバー統括室は、修正をすぐに当てるのが難しい場合は、ウェブサイトを一時的に止めることも有効な策の一つだ、としています。

たとえると、部屋のドアの鍵（WordPress のパスワード）ではなく、ビルの壁そのものに、外から入れてしまう隙間が見つかったようなものです。部屋の鍵を丈夫にしても、新しい鍵に替えても、壁の隙間からは入られてしまいます。入られると、部屋の中のものを書き換えたり、のぞいたりできてしまいます。

海外のセキュリティ会社からは、10月21日にこの欠陥を狙った攻撃を観測したという報告も出ています。国内でも、大手のネットのサービスがいくつも、緊急のメンテナンスでサービスを一時的に止めて対応しました。

WordPress を最新にしても直らない理由

ここが一番まぎらわしいところだと思います。今回の欠陥は WordPress ではなく、その下で動いている PHP の側にあります。なので、WordPress の管理画面で「更新」ボタンを押しても直りません。

壁の隙間をふさぐのは、部屋を借りている側ではなく、ビルの管理会社の仕事です。PHP も同じです。レンタルサーバーなら、サーバーの会社が PHP を更新します。制作会社がサーバーごと管理しているなら、その制作会社が対応します。

もう1つ、名前の似た話があります。今回の PHP の欠陥は、海外のニュースで「PHP2Shell」と呼ばれています。今年の夏に話題になった WordPress 本体の欠陥「wp2shell」と名前が似ていますが、別物です。あちらは WordPress を更新すれば直るものでした。

放っておくと何が起きうるか

サーバーを外から操られると、次のようなことが起きえます。

ホームページが書き換えられる。偽のページや、ウイルスを配るページにされることもあります
お問い合わせや予約のフォームに入力された内容を、盗み見られるかもしれません
自分のサイトが、ほかの人を攻撃するための踏み台にされることがあります

修正版に更新すれば、この欠陥を使った攻撃はそれ以降防げます。サーバーの会社がすでに直していることもありますが、自分のサイトがどうなっているかは、今日のうちに確かめてください。

やることは1つ: 管理会社に聞く

ご自身でサーバーを触る必要はありません。管理会社に、次のように聞いてください。メールやお問い合わせのフォームに貼って使えます。「当方」は「弊社」「当院」などに、URL はご自分のホームページのものに置き換えてください。

いつもお世話になっております。
2026年10月21日に修正版が公開されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、当方のホームページ（https://〜）のサーバーは対応済みでしょうか。
未対応の場合は、対応のご予定を教えていただけますと助かります。あわせて、現在のPHPのバージョンと、この対応が保守の契約に含まれているかも教えていただけますでしょうか。
よろしくお願いいたします。

「CVE-…」は、この欠陥につけられた世界共通の番号です。この番号を伝えれば、調べてもらえます。保守の契約のことも聞いておくのは、対応の費用を誰が持つのかで、あとから行き違いになりやすいためです。契約に含まれていなければ、見積もりをもらってから決めれば大丈夫です。今日中に返事がなければ、電話で聞いてみてください。

「すぐには直せない」と言われたら、直るまでの間、サイト（少なくとも問い合わせや予約のフォーム）を一時的に止められないかも相談してください。上で書いたとおり、政府もこれを有効な策の一つとしています。

返事が「対応済み」なら、それで終わりです。「使っている PHP が古くて、今回の修正版の対象外」と言われることもあります。PHP の公式は、8.2 より古いバージョンにはもう正式な修正版を出していません。その場合は、同じバージョンの中での更新ではなく、バージョンそのものを上げる相談になります。古いバージョンから上げると、プラグインが動かなくなることもあるので、作業は管理会社に任せるのが安全です。なお 8.2 も、今年の12月31日で修正が出なくなる予定です。8.2 を使っている場合は、上げる相談も早めにしておくと安心です。

制作会社がいなくて、レンタルサーバーと直接契約している場合は、サーバーの会社の案内ページかサポートで確かめてください。古いバージョンから上げる作業は、契約している側が管理画面で切り替える形のことが多いです。管理会社がどこか分からない、もう連絡がつかない、という場合は、サーバーの契約の書類やメールを探すところから始めることになります。

自分でも確かめてみたい方へ

WordPress の管理画面から、いま動いている PHP のバージョンを見ることができます。管理者のアカウントで入った場合だけ表示されるので、アカウントを持っていなければ、ここはとばして構いません。

管理画面の「ツール」から「サイトヘルス」を開く
「情報」のタブに切り替える
下のほうの「サーバー」を開くと、PHP のバージョンが書いてあります

今回の修正版は「8.2.35」「8.3.36」「8.4.27」「8.5.12」です。最初の2つの数字が同じで、最後の数字がこれと同じか大きければ修正済みです。8.1 や 7.4 のように 8.2 より小さければ、上で書いた「古くて対象外」の場合にあたります。ただ、サーバーの会社によっては、番号はそのままで中身だけ直していることもあります（よくあるやり方です）。番号だけで判断せず、最後は管理会社に聞くのが確実です。

便乗した詐欺に気をつける

こういう話題が広まると、それに便乗した連絡が来やすくなります。知らない相手から「あなたのホームページが危険です」「今すぐ対応が必要です」と、メールや電話が来ても、そこに書かれたリンクを開いたり、言われるままに支払ったりしないでください。

確かめるときは、もともと付き合いのある管理会社に、自分から連絡するのが安全です。

自分でサーバーを管理していて、AI に直させたい方へ

ここからは、VPS（さくらの VPS や ConoHa VPS のように、サーバーを丸ごと借りて自分で管理するもの）を借りて、Claude Code のような AI エージェントにサイトを作ってもらった方向けです。AI がサーバーに入ってコマンドを動かしているなら、こちらです。レンタルサーバーで動かしている場合は、AI に頼んでもサーバーの PHP は触れないので、上の「管理会社に聞く」のほうを見てください。

AI に「PHP の脆弱性を直して」とだけ頼むと、いきなり本番のサーバーで更新を始めて、サイトが止まることがあります。サーバー全体を更新したり、知らない入手先を足したりすることもあります。なので、まず調べて報告させ、作業は自分が確かめてから許可する形で頼むのがおすすめです。

作業の前に、VPS の管理画面でスナップショット（サーバーまるごとの控え）を取っておいてください。失敗しても、これで戻せます。AI はサーバーの中からは取れないので、ご自身で取ってください。戻すと、取ったあとに届いたお問い合わせや投稿も消えるので、そこだけ気をつけてください。

Claude Code が「このコマンドを実行してよいか」と聞いてくる確認は、切らずにおいてください。切っていると、下の文で頼んだ「許可するまで待つ」が、AI の自制だけに頼ることになります。

次の文をそのまま渡せます。中の専門用語は AI 向けなので、分からなくて大丈夫です。最初の行の「ここにサーバーの名前かIPアドレス」だけ、ご自分のものに置き換えてください。

2026年10月21日に公開されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に、本番のサーバー（ここにサーバーの名前かIPアドレス）が対応できているかを確かめてください。手元のパソコンのPHPではありません。本番のサーバーに入れない場合は、何もせずにそう伝えてください。

公式の発表は https://www.php.net/archive/2026.php#2026-10-21-5 です。この脆弱性はあなたの知識より新しい可能性があるので、知識ではなく発表を読んで判断してください。発表を読めないときは、推測で進めず、そう伝えてください。

進め方:
1. まずは調べるだけにして、読むだけのコマンドに限ってください。パッケージの一覧の更新（apt update など）、インストールや更新、設定の変更、サービスの再起動や再読み込み、サイトの公開フォルダにファイルを置くこと（phpinfo を表示するファイルなど）はしないでください。wp-config.php や .env の中身は表示しないでください。パッケージの一覧が古くて判断できないときは、apt update を走らせてよいか私に聞いてください。
   - 動いているPHPのバージョンと、どこから入れたものか（OSのパッケージ、外部のリポジトリ、Dockerのコンテナ、自分でビルドしたもの など）
   - PHPの動かし方（PHP-FPM、Apacheのmod_php、LiteSpeed など）。コマンドラインの php -v と、サイトを動かしているPHPは別のことがあるので、サイトを動かしている側を確かめてください。判断できないときは、WordPress の管理画面のサイトヘルスで見るよう私に頼んでください
   - 同じサーバーで、ほかにPHPが動いていないか
2. 修正済みかどうかを、根拠と一緒に報告してください。OSのパッケージで入れたPHPは、番号が上がらずに中身だけ直る（バックポート）ことがあります。その場合は番号ではなく、OSのセキュリティ情報やパッケージの変更履歴に、上のCVE番号があるかで判断してください。OSの修正がまだ出ていないときは、そう報告してください。OS自体のサポートが切れていれば、それも報告してください。
3. 修正が必要なら、作業の計画を出してください。計画には次を含めてください。
   - 作業の前に取るバックアップ（空き容量を確かめてから。PHPとWebサーバーの設定、入っているパッケージとその版の一覧、サイトのファイルとデータベース）。バックアップはサイトの公開フォルダの外に置いてください
   - 実行するコマンドと、サイトが止まる見込みの時間
   - 作業のあとの確かめ方
   - うまくいかなかったときの戻し方。古い版に戻す場合は、その版が実際に手に入るかも確かめてください
4. 私が計画を確かめて「進めて」と言うまで、作業は始めないでください。作業の途中で計画と違うことが起きたら、そこで止まって報告してください。
5. 更新するのはPHPに関係するパッケージだけにしてください。サーバー全体の更新（apt upgrade など）や、サーバーの再起動はしないでください。Dockerで動いている場合も、ボリュームやデータを消す操作（down -v、volume rm、prune など）はしないでください。sudoers、SSH、ファイアウォール、ユーザーの設定は変えないでください。sudo のパスワードを求められたら、そこで止まって私に伝えてください。
6. 次のことは、必要だと考えても計画に書いて提案するだけにして、理由と影響を添えて私の判断を待ってください。
   - バージョンを上げること（例: 8.1 → 8.3）
   - 外部のリポジトリを新しく足すことや、PHPの入れ方を変えること
   - 発表にある一時的な緩和策（設定の変更）を当てること
   - すぐに直せない場合に、直るまでサイトを一時的に止めること
7. 作業のあとは、PHPを動かしているサービス（PHP-FPMならphp-fpm、mod_phpならApache、LiteSpeedならLiteSpeed本体など）を再起動して古いプロセスが残っていないことと、更新したPHPで動いていることと、サイトが表示されることを確かめてください。
8. 最後に、実行したコマンドとその結果をまとめて報告してください。

パスワードや鍵などの秘密の情報は、画面や報告、作業の記録に出さないでください。

AI が出してきた計画で分からないところがあれば、そのまま AI に聞き返して大丈夫です。分からないまま「進めて」と言わないことだけ気をつけてください。AI が「外部のリポジトリを足す」「バージョンを上げる」と言ってきたときは、その場で決めずに詳しい人に相談するのが安全です。

まとめ

2026年10月21日に、ホームページを動かす PHP の重大な欠陥が修正された
WordPress を更新しても直らず、サーバーを管理している会社の対応が必要
やることは、今日のうちに管理会社に「対応済みか」「保守の契約に含まれるか」を聞くこと。すぐに直せないなら、直るまでサイトを止められないかも相談する
知らない相手からの「危険です」という連絡には乗らず、自分から管理会社に確かめる

詳しい内容は、次のページに書かれています。

PHP の公式の発表（英語）
IPA【事前準備のお願い】PHPのセキュリティリリース公開予定について（修正版の公開前に出たものです）
国内のサービスの緊急メンテナンスと、政府の呼びかけ（Impress Watch）

表紙の PHP のロゴは Colin Viebrock 氏の作品で、CC BY-SA 4.0 のもとで使っています（出典: php.net）。WordPress のロゴは WordPress Foundation の商標で、改変せずに使っています。この記事は WordPress Foundation や WordPress のプロジェクトとは関係ありません。