2026年10月21日、PHPに見つかった2件の重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」の修正版が公開されました。
攻撃試行はすでに始まっているようです。AWSは公開前の10月17日から攻撃の試みを観測し、Cloudflareも攻撃通信や、セキュリティ対策を回避するための攻撃パターンの変形を確認しています。
一方、2026年10月23日時点では、今回の脆弱性による大規模な侵害・被害は公表情報から確認されていません。Wordfenceが保護する500万以上のWordPressサイトでは、今回の脆弱性による侵害成功は確認していないとしています。
ただし、これは「被害がまったくない」「今後も安全」という意味ではありません。本記事では、主要レンタルサーバー会社の対応状況、現在の攻撃状況、今後注意すべき点をまとめます。
1．レンタルサーバー各社の対応状況
※2026年10月23日確認時点です。各社の案内は今後更新される可能性があります。
ロリポップ！
2026年10月22日15時33分にサイトなどを再開し、16時57分にすべてのメンテナンスを完了しました。
安全対策として、PHPのファイルアップロード進捗情報を記録する機能を無効にしています。アップロード自体は可能ですが、この機能を利用する独自プログラムなどでは進捗表示に影響する可能性があります。
公式URL：
https://lolipop.jp/info/news/8237/
グーペ
2026年10月22日10時40分に管理画面と利用者のホームページに関する作業が完了し、12時30分に関連するすべてのメンテナンスが完了しました。
公式URL：
https://goope.jp/info/maintenance/?id=852
お名前.com レンタルサーバー
10月22日20時45分に、次の3プランでメンテナンスが完了しました。
・レンタルサーバー ベーシック
・RSプラン
・AIホームページパック
公式URL：
https://www.onamae.com/news/article/11594/
エックスサーバー
PHPのバージョンごとに順次対応が行われました。
・PHP 8.2～8.5：10月22日6時45分に完了
・PHP 7.4～8.1：12時に完了
・PHP 5.6～7.3：14時に完了
・PHP 5.5以下：公式案内の最終確認時点では対応中
PHP 5.5以下を利用している場合は、公式案内の続報を確認してください。
公式URL：
https://www.xserver.ne.jp/news_detail.php?view_id=19734
さくらのレンタルサーバ
コントロールパネルで選択できるすべてのPHPバージョンについて、サポートが終了した旧バージョンを含めて対策が完了しています。
停止していた機能は10月22日8時15分から順次再開され、phpMyAdminを含む個別機能も15時15分までに復旧しました。
利用者による緊急作業は不要と案内されていますが、今後の安全性を考え、サポート中の新しいPHPへの移行が推奨されています。
公式URL：
https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/
2．攻撃の状況と今後の見通し
攻撃試行はすでに始まっています
Wordfenceは、今回の脆弱性や関連するPHPの処理を狙った攻撃・探索とみられる通信を7万4,000件以上遮断したと報告しています。
これは「7万4,000サイトが被害を受けた」という意味ではありません。攻撃や探索を行った通信の件数です。
AWSは、修正版の公開後、数時間以内に複数の攻撃コードが登場し、直後から攻撃に使われたと報告しています。Cloudflareも、セキュリティ対策を回避するために攻撃内容を変形させる動きを確認しています。
なぜ、まだ大規模な被害が確認されていないのか
今回の攻撃は、PHPのバージョンやサーバー構成、メモリの状態などに応じた調整が必要とみられています。
そのため、攻撃通信が届いただけでは侵害が成功するとは限りません。現在観測されている通信には、探索や失敗した攻撃も多く含まれていると考えられます。
ただし、攻撃コードが改良され、誰でも使える形で自動化されれば、状況が変わる可能性があります。
今後数日から数週間
自動化された探索や攻撃試行は、さらに増える可能性があります。
大手レンタルサーバーなど、管理者によって修正された環境ではリスクが下がります。一方、次のような環境は引き続き狙われる可能性があります。
・使っていないのに公開されたままのサイト
・管理者や保守会社が分からないサイト
・古いPHPを利用する自主管理サーバー
・更新されていないVPSや古いコンテナ
・本番とは別に残された検証用サイト
攻撃が成功した場合、サイトの改ざん、詐欺サイトへの転送、情報窃取、迷惑メール送信、別の攻撃への踏み台などに利用される可能性があります。
その後の動向
ニュースや話題としては沈静化しても、未修正サイトを探す自動スキャンは長期間残る可能性があります。
「騒いだ割には何もなかった、今後も何も起きないだろう」という思いになる事が一番危険です。
しっかりメンテナンスされているサイトでは、放置されたサイトが長期的に狙われ続ける「二極化」が考えられます。
今回は「実戦を伴う避難訓練」
今回は本物の重大な脆弱性と攻撃試行が発生した事案です。
しかし、大規模被害が公に確認される前に、多くのサーバー会社が修正や予防停止を実施しました。その意味では、自社が保有するサイト、管理者、PHPのバージョン、緊急連絡先を把握できているかを確認する実戦的な避難訓練にもなりました。昨今続いているサイバー攻撃に対するセキュリティ意識がより高まったのではないかと思います。
今回の脆弱性発見にはAIが利用されています。AWSも、AIによって修正内容から攻撃コードを作るコストが下がり、公開から攻撃までの時間が数時間、場合によっては数分へ短縮される可能性を指摘しています。
今後は注意喚起の増加を前提に、警報のたびに慌てるのではなく、サイトの棚卸し、更新、バックアップ、停止判断を日常業務として仕組み化する必要があります。
3．問い合わせの多い質問をまとめました
今回のPHP脆弱性について、お問い合わせの多かった質問にお答えします。
Q1．小さな会社だから狙われませんよね？
A．いいえ。攻撃の多くは自動化されており、会社の規模に関係なく、公開中の全サイトが対象です。
Wordfenceが遮断した7万4,000件以上という数字も、特定の大企業だけが狙われているわけではないことを示しています。
Q2．PHPとは何ですか？
A．Webサイトをサーバー側で動かすためのプログラミング言語です。
WordPressも主にPHPで動いており、サーバー上でページを生成して、利用者のブラウザへ表示します。
Q3．なぜPHPにはバージョンがあるのですか？
A．セキュリティ上の問題や不具合の修正、機能や処理速度の改善が続けられているためです。
「8.3」は更新の系列、「8.3.36」の最後の数字は、同じ系列内の修正版を示します。
Q4．PHPのバージョンはどう調べればいいですか？
A．サーバーのコントロールパネルか、WordPressの「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。
ただし、サーバー会社が古いPHPへ独自に修正を追加した場合、表示されるバージョン番号が古いままのことがあります。番号だけで判断せず、サーバー会社の公式案内も確認してください。
Q5．サーバー会社がパッチを当てたので大丈夫ですよね？
A．サーバー会社が今回の2件への修正を適用し、PHPを再起動していれば、今回の脆弱性への対策は完了しています。
PHP公式の修正版は次のとおりです。
・PHP 8.2.35
・PHP 8.3.36
・PHP 8.4.27
・PHP 8.5.12
古いPHPでも、サーバー会社が独自に修正を追加している場合があります。利用者がPHPを管理している場合は、更新後にApacheやPHP-FPMなども再起動してください。
なお、今回の修正は該当のパッチのみです。ほかの脆弱性や修正前の侵害まで解消するものではありません。
Q6．PHP 8.2系なら更新すれば、しばらく安心ですか？
A．今回の脆弱性はPHP 8.2.35で修正できます。
ただし、PHP 8.2の公式サポートは2026年12月31日に終了します。互換性を確認したうえで、PHP 8.3以降で可能な限りサポート期間の長いPHP 8.4または8.5への移行も検討してください。
Q7．なぜサーバー会社が自動で新しいPHPへ切り替えてくれないのですか？
A．同じ系列内の修正は自動適用されることがあります。
一方、PHP 8.1から8.3のような系列変更では、WordPress本体、テーマ、プラグイン、独自プログラムとの相性により、サイトが動かなくなる可能性があります。そのため、事前に互換性の確認が必要です。
Q8．自分でPHPを切り替えるときの注意点は？
A．バックアップを取り、WordPress本体、テーマ、プラグインの対応状況と、元のPHPへ戻す方法を確認してください。
切り替え後は、サイトの表示、管理画面へのログイン、問い合わせフォーム、予約・購入機能、ファイルのアップロード、メール送信などを実際に操作して確認を行ってください。
不安な場合は、制作会社やサーバー管理者へ相談してください。
Q9．WordPressも更新しないとだめですか？
A．今回の対策はPHPの更新のみです。
WordPress本体、テーマ、プラグインを更新しただけでは、今回のPHPの脆弱性は解消しません。
ただし、新しいPHPへの対応や別の脆弱性対策のため、バックアップと互換性確認を行ったうえで、WordPress本体、テーマ、プラグインも最新の安定版に保ってください。
Q10．いたちごっこではないですか？ 今後は大丈夫ですか？
A．今回発見された脆弱性の対策（パッチ）を更に上を超える攻撃は無いと思われます。しかし、対策がされていない場合は攻撃の影響を受ける可能性があります。
今後も新しい脆弱性が見つかり、公開から攻撃までの時間が短くなる可能性があります。一度対応して終わりではなく、更新、バックアップ、監視を日常業務として続けることが重要です。
特に、公開されたままの旧サイトや、管理者が分からないサイトは、更新するか、不要であれば停止してください。
Q11．サーバー会社の対応後、サイトに影響はありますか？
A．通常は大きな影響はありませんが、緊急対策の内容によっては一部機能に影響することがあります。
例えばロリポップ！では、PHPのアップロード進捗情報を記録する機能を無効にしています。アップロード自体を止める設定ではありませんが、この機能を利用する独自プログラムなどでは、進捗表示に影響する可能性があります。
対応後は、サイト表示、管理画面、フォーム、予約・購入、ファイルアップロードなど、実際に利用する機能を確認してください。
主な参考情報
PHP公式
PHP公式（2026年10月21日のお知らせ）
Wordfence
Wordfence（攻撃の継続と侵害未確認の報告）
AWS
AWS（公開前の攻撃観測）
Cloudflare
Cloudflare（WAFによる保護）
OpenAI
OpenAI（脆弱性の協調開示）
JPCERT/CC
JPCERT/CC（注意喚起）
注記
本記事は2026年10月23日時点の公表情報をもとに作成しています。各サービスの最新状況については、必ず各社の公式案内をご確認ください。
