【2026年10月】WordPressに影響するPHPの重大な脆弱性が発覚！対象バージョンと安全な更新方法
2026年10月21日、PHPの開発チームから重大なセキュリティ上の脆弱性2件が公表され、修正版が公開されました。
今回の脆弱性は、攻撃者がWordPressの管理画面にログインすることなく、サーバー上で不正なプログラムを実行できる可能性があるというものです。
WordPressを最新バージョンに更新していても、サーバー側のPHPが古い場合は影響を受ける可能性があります。
特に、長期間PHPを更新していないホームページでは早急な確認が必要です。
この記事では、WordPressのトラブル復旧を専門とするWPレスキューが、今回の脆弱性の対象バージョンと確認方法、安全な更新手順について解説します。
1. 今回発見されたPHPの重大な脆弱性とは？
PHPはWordPressを動かすために必要なプログラムです。
今回発見されたのは、以下の2件の脆弱性です。
- CVE-2026-109618
- CVE-2026-109619
いずれも深刻度はCVSS v4.0で9.2と評価され、最高区分の「Critical（緊急）」に分類されています。
これらの脆弱性が悪用されると、外部から不正なコードを実行され、Webサイトやサーバーが攻撃される恐れがあります。
今回問題となっているのはWordPress本体や特定のプラグインではなく、WordPressを動かしているPHPそのものです。
そのため、WordPress本体を更新するだけでは今回の脆弱性への対策にはなりません。
2. あなたのWordPressは対象？PHPのバージョンを確認
2026年10月21日に公開されたPHPの修正版は以下のとおりです。
| PHPのバージョン | 今回の修正が適用されたバージョン |
|---|---|
| PHP 8.5系 | 8.5.12以降 |
| PHP 8.4系 | 8.4.27以降 |
| PHP 8.3系 | 8.3.36以降 |
| PHP 8.2系 | 8.2.35以降 |
| PHP 8.1以前 | PHP公式のサポート終了 |
例えば、PHP 8.3.35を使用している場合は今回の脆弱性への対応が必要ですが、PHP 8.3.36では修正されています。
また、PHP 7.4.33やPHP 8.0など、すでに公式サポートが終了したバージョンにも注意が必要です。
ただし、レンタルサーバー会社やLinuxの提供元が独自にセキュリティ修正を適用している場合があります。この場合、表示されるPHPのバージョン番号が変わらないこともあります。
バージョン番号だけで安全性を断定せず、利用中のサーバー会社が今回の脆弱性に対応済みか確認することが重要です。
3. WordPressでPHPのバージョンを確認する方法
WordPressの管理画面にログインできる場合は、次の手順で確認できます。
- WordPress管理画面にログインする
- 左メニューの「ツール」をクリックする
- 「サイトヘルス」を選択する
- 「情報」タブを開く
- 「サーバー」の項目を開く
- 「PHPバージョン」を確認する
また、エックスサーバーやさくらインターネット、ConoHa WINGなどのレンタルサーバーを利用している場合は、サーバーの管理画面からもPHPのバージョンを確認できます。
PHPのバージョンが古い場合は、利用中のサーバー会社が提供する修正版や対応状況を確認しましょう。
4. PHPの脆弱性を放置するとどうなる？
今回の脆弱性が悪用された場合、次のような被害が発生する可能性があります。
ホームページが改ざんされる
Webサイトのファイルが書き換えられ、意図しない文章や不正なプログラムが埋め込まれる恐れがあります。
不審なサイトへ転送される
自社サイトにアクセスした利用者が、詐欺サイトや不審な外部サイトへ自動的に転送される可能性があります。
ホームページが表示されなくなる
ファイルの破損や削除、不正なプログラムの実行などによって、Webサイトが正常に表示されなくなる場合があります。
情報漏洩につながる
サーバー内に保存された情報や、お問い合わせフォームなどで取り扱う情報が不正に取得される恐れもあります。
ただし、PHPのバージョンが古いからといって、必ずしも攻撃を受けているわけではありません。
大切なのは、被害が発生する前に脆弱性を確認し、適切な対策を行うことです。
5. PHPを更新するとWordPressが壊れることもある？
今回の脆弱性に対しては、修正済みPHPへの更新、またはサーバー提供元による修正パッチの適用が必要です。
しかし、PHPのバージョンを変更すると、WordPressが正常に動かなくなるケースがあります。
例えば、以下のような不具合です。
- サイトが真っ白になる
- 「重大なエラーが発生しました」と表示される
- 管理画面にログインできなくなる
- お問い合わせフォームが送信できなくなる
- 一部のプラグインやテーマが動作しなくなる
主な原因は、使用しているテーマやプラグイン、独自に追加されたプログラムが新しいPHPに対応していないことです。
特に、何年も更新していないWordPressサイトでは注意が必要です。
セキュリティ対策のためにPHPを更新した結果、ホームページが表示できなくなってしまうこともあります。
そのため、PHPを更新する際は、事前にバックアップを取得し、可能であればテスト環境で動作を検証することをおすすめします。
PHP更新に不安がある方へ
WPレスキューでは、WordPressのPHP更新代行サービスを提供しています。
現在のPHPバージョンやテーマ・プラグインの互換性を確認したうえで、バックアップ取得、テスト環境での検証、PHP更新、動作確認まで対応します。
6. 今すぐPHPを更新できない場合は？
古いテーマやプラグインを使用しているなどの理由で、すぐにPHPを更新できない場合もあると思います。
その場合は、まずレンタルサーバー会社に、今回の脆弱性への修正パッチが提供されているか確認してください。
サーバー側のセキュリティ設定やアクセス制限によって一部の攻撃リスクを軽減できる場合もありますが、これらは完全な対策ではありません。
更新できない状態を長期間放置するのではなく、使用中のWordPressやプラグインの互換性を調査し、安全に更新できる環境を整えることが重要です。
7. すでにWordPressに異常が発生している場合
以下のような症状が確認されている場合は、単にPHPを更新するだけでは解決しない可能性があります。
- 知らないサイトへ勝手に転送される
- 身に覚えのないファイルや管理者ユーザーが増えている
- サーバー会社から不正アクセスやマルウェアに関する警告が届いた
- Google検索で不審なページが表示される
- ホームページの内容が勝手に書き換わっている
これらはハッキングやサイト改ざんで見られる症状ですが、今回のPHP脆弱性が原因とは限りません。
万が一、不正アクセスが疑われる場合は、被害拡大を防ぐための対応とあわせて、ファイルやログを調査し、侵入経路を特定する必要があります。
不審なファイルを自己判断で削除すると、調査に必要な情報まで失われる場合があります。まずは状況を保存し、専門家やサーバー会社へ相談してください。
8. WordPressのPHP更新・ハッキング復旧はWPレスキューへ
WPレスキューでは、これまで2,000サイト以上のWordPressトラブルに対応してきました。
PHP更新による不具合への対応をはじめ、WordPressのハッキング、サイト改ざん、表示エラー、管理画面へのログイン障害など、さまざまなトラブルに対応しています。
今回のPHP脆弱性についても、現在のサイト環境やご利用サーバーの状況を確認し、適切な対応方法をご案内します。
「PHPが古いけれど、更新してよいかわからない」
「制作会社との契約が終了していて、相談できる人がいない」
「PHPを更新したらサイトが表示されなくなった」
このような場合も、お気軽にご相談ください。
WordPressのセキュリティ対策は、問題が発生してからではなく、問題が起こる前の対応が大切です。
参考情報
※本記事は2026年10月22日時点の公開情報に基づいています。最新の修正状況はPHP公式サイトおよびご利用サーバー会社の案内をご確認ください。
