WordPressを動かしている「PHP」というプログラムに、重大なセキュリティ上の欠陥（脆弱性）が見つかりました。
外部からログインせずにサーバーを攻撃できる可能性があり、世界中に注意喚起が発信されています。
昨今、サイバー攻撃は自動化されており、企業の規模や知名度に関係なく、無差別に狙われる可能性があります。
「うちは盗られるものが無いから関係ない」とは思わないでください。
対象のPHPバージョン
2026年10月20日にPHP開発元が事前告知し、修正版が公開されました（CVE-2026-109618、CVE-2026-109619／深刻度 CVSS v4.0 で 9.2・最高区分のCritical）。
下の「修正済みの版」より番号が小さいPHPは、すべて対象です。
| 使用中のPHP | 修正済みの版（これ以上なら対策済み） |
|---|---|
| PHP 8.5 系 | 8.5.12 |
| PHP 8.4 系 | 8.4.27 |
| PHP 8.3 系 | 8.3.36 |
| PHP 8.2 系 | 8.2.35 |
| PHP 8.1 以前 | 開発元の修正版はなし（原則として対象） |
例：8.3.35 は対象、8.3.36 は対策済みです。
- PHP 8.1 以前は、Linux配布元やLTS事業者が独自に修正を取り込んでいる場合があります。サーバー提供元に確認してください
- 配布版・LTS版は、修正後も表示上の番号が変わらないことがあります。提供元のセキュリティ情報で確認してください
- PHP 8.2 は2026年12月31日でサポートが終了し、以降は修正が提供されません
想定される被害
- ホームページが表示されなくなる（真っ白になる）
- 詐欺サイトに自動転送される
- ファイルの削除、データ破壊、サービス停止
- 不正プログラムを設置され、継続的に悪用される
- 同じサーバー内の他のサイトやファイルにも被害が広がる
- 顧客情報や問い合わせ情報が流出する場合もあります
WordPressの更新だけでは解決しません
今回の問題はWordPress本体ではなく、サーバー側のPHPにあります。 そのため、WordPressを更新するだけでは解決しません。
対象かどうかは外部からの確認だけでは判断できません。次の確認が必要です。
- WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認する（またはサーバーの管理画面で確認する）
- レンタルサーバー会社の対応状況を確認する
対応方法と注意点
PHPの更新や修正パッチの適用で対応できます。ただし、PHPのバージョンを変更すると、WordPressやプラグインとの互換性の問題でサイトが壊れる場合もあります。バックアップを取って慎重に対応してください。
すぐに更新できない場合、被害経路を狭める一時的な緩和策がPHP公式の勧告に記載されています。ただし開発元は「完全な対処は更新のみ」としています。
ご不明な点はご連絡ください
ご不明な点があれば、メッセージをください。本日は動画撮影のロケに出ていますが、明日以降、対応可能です。
参考：Wordfence「PSA: PHP Security Updates Available for Two Critical Vulnerabilities, Update Now」（2026年10月21日）
