【2026年10月】PHPの重大な脆弱性とは？WordPressへの影響と必要な対策を解説

情報確認日：2026年10月22日
サーバー各社の対応状況は、同日10時14分に取得した公式告知を基に記載しています。

「緊急メンテナンスの案内が届いたけれど、自分のWordPressサイトでは何をすればよいのだろう？」

まず確認したいのは、利用中のPHPに今回の修正が適用されているかです。WordPress本体の更新とPHPの修正は、分けて確認しましょう。

この記事では、最初に取り組むことを2つに絞って紹介し、その後に脆弱性の概要、サーバー各社の告知、更新・点検・ログイン保護の手順を解説します。

いま優先して確認・対応したい2つのこと

PHPの確認 → バックアップの取得・保存 → 必要な変更の順で進めます。PHPの切り替えやWordPressの更新を行う前に、バックアップと復元方法を確認してください。

❶ PHPのバージョンと修正状況を確認する

PHPの番号は、WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。WordPress公式のサイトヘルス解説

WordPressを更新しても、PHP自体の脆弱性が修正されるわけではありません。今回の修正を含むPHP公式バージョンは、次の4つです。

PHPの系列	今回の修正を含む公式バージョン
8.5系	8.5.12
8.4系	8.4.27
8.3系	8.3.36
8.2系	8.2.35

出典：PHP公式のセキュリティ告知

サーバー会社が、表示番号を変えずに修正パッチを適用している場合もあります。番号だけで判断せず、利用サーバーの修正適用状況と追加作業の有無を確認してください。

PHPを変更する場合は、バックアップを取得したうえで、サーバー管理画面または保守担当者を通じて進めます。利用中のWordPress・テーマ・プラグインとの互換性を確認し、変更後はサイト表示やフォームの送受信も点検しましょう。

❷ バックアップを取得し、自分のPCなどへ安全に保存する

バックアップは、WordPressのファイルとデータベースの両方を取得します。自分のPCや外付けストレージなど、アクセスを制限できる場所にも保存しておきましょう。WordPress公式のバックアップガイド

取得日時、保管場所、復元できる範囲と手順を確認します。バックアップには機密情報が含まれる場合があるため、誰でも閲覧できる公開フォルダーには置かないでください。

今回のPHPのセキュリティ問題で何が起きたのか

PHPは、WordPressを動かすために使われるプログラミング言語です。サーバー側で提供されるPHPの実行環境と、WordPress本体・テーマ・プラグインには、それぞれ保守が必要です。WordPress公式のPHP更新ガイド

2026年10月21日、PHP公式は、認証されていない第三者によるリモートコード実行につながる重大な脆弱性2件と修正版を公表しました。

リモートコード実行とは、外部の第三者がサーバー上でプログラムを実行できてしまう問題です。今回の2件は、次のとおりです。

脆弱性の識別番号	問題の概要
CVE-2026-109618	メモリー不足時の内部データの扱いに関する問題
CVE-2026-109619	処理を終えた後に残る内部状態の扱いに関する問題

いずれも深刻度は「Critical」、CVSS v4.0の評価は9.2です。悪用の条件は、PHPの動作方式や設定、アプリケーションの処理によって異なります。PHP公式：CVE-2026-109618／CVE-2026-109619

PHP公式は、Webリクエストを処理する環境を広く対象に注意を呼びかけています。「特定の動作方式だから安全」と判断せず、提供元の修正状況を確認してください。PHP公式のセキュリティ告知

PHPの修正状況を判断するときの注意点

系列別の公式修正バージョンは、冒頭の表にまとめています。「PHP 8を使っている」という確認だけでなく、系列と修正適用の状況まで確認することが大切です。PHP公式の影響・修正バージョン情報

サーバー会社やOSの提供元が、既存のバージョンへ修正を適用する場合もあります。表示番号とあわせて、今回の脆弱性への対応を明示した公式案内を確認しましょう。

PHP 8.1以前は、PHPプロジェクトによる通常のセキュリティ更新の対象外です。提供元による修正の有無を確認し、サポート対象のPHPへの移行も検討してください。PHP公式の更新案内

エックスサーバー・ロリポップの対応状況

以下は、2026年10月22日10時14分に取得した公式告知の記録です。作業時点の状況は変わるため、各社の最新案内を優先してください。

サービス	取得した告知の要点
エックスサーバー	PHP 8.2〜8.5は修正パッチ適用完了。旧バージョンは対応継続中。管理機能は一部を除き再開。
ロリポップ！レンタルサーバー	利用停止対象に「お客様のサイト」も掲載。取得した告知では、修正適用完了や対象PHPの記載は未確認。

エックスサーバーの補足
6時45分の告知では、PHP 8.2〜8.5を利用する対象サーバーすべてへの修正パッチ適用完了が案内されていました。旧バージョンは、同時点では引き続き対応中です。

9時30分の更新では、シンクラウドの各種サービスを除くアカウント管理画面・各種機能の再開が案内されていました。一部機能のメンテナンスと公式サイトの停止は継続中で、利用者のWebサイト表示とメールソフトによる送受信は通常利用可能とされていました。エックスサーバー公式告知

ロリポップの補足
PHPの重大な脆弱性に伴う予防的メンテナンスとして、「お客様のサイト」、ユーザー専用ページ、FTPなどが利用停止対象に掲載されていました。取得した告知では、修正適用完了や対象PHPバージョンは確認できませんでした。ロリポップ公式告知

エックスサーバーの案内を、旧PHPや自主管理のVPSなどを含む「すべての環境が対応済み」と読み替えることはできません。ロリポップでも、サービスごとに利用停止の範囲が異なります。

WordPress利用者が進める4つの確認

1．利用サーバーの修正状況と追加作業を確認する

冒頭で確認したPHPの番号と、契約サービス名を手元に用意し、次の3点を確認します。

• 利用中のPHPに、今回の修正が適用されているか。
• 自分の契約サービスやサーバーが、対応完了の対象に含まれるか。
• PHPの切り替えなど、利用者側の追加作業が必要か。

管理画面が再開したことと、利用中のPHPへの修正適用は、別々に確認しましょう。PHPの確認方法はWordPress公式のサイトヘルス解説も参考になります。

2．バックアップと復元手順を確認する

更新・設定変更の前に、取得したバックアップの日時・保管場所・内容・復元方法を確認します。サーバー上のコピーだけでなく、自分のPCなどにも安全に保管しておきましょう。WordPress公式のバックアップガイド

バックアップは復旧に備える手段です。脆弱性を修正する作業も必要になるため、緊急対応を長期間先延ばしにせず、サーバー会社や管理担当者と連携して進めてください。

3．WordPress・テーマ・プラグインを更新する

PHPの修正状況とあわせて、WordPress本体・テーマ・プラグインの更新も確認します。PHPの修正とWordPress側の更新は、それぞれの弱点に対応するための作業です。PHP公式のセキュリティ告知／WordPress公式の安全対策

【推奨】バックアップと互換性を確認して更新し、作業後は次の機能を点検しましょう。

• トップページと主要な下層ページの表示。
• 管理画面へのログイン。
• お問い合わせフォームの送信と受信。
• 予約・購入など、業務に必要な機能。

ページが表示されるかだけでなく、訪問者が使う操作まで確認することが大切です。

4．不審な変更がないか点検する

PHPへの修正適用と、過去に侵害されていないかの確認は、別の作業です。見覚えのない管理者アカウント、意図しない転送、不審な広告やコンテンツがあれば、調査が必要です。

公開ページの確認に加え、権限の範囲でファイル・データベース・ログなどを調べて判断します。WordPress公式の侵害時対応ガイド

パスキーや二段階認証の役割は？

パスキーや二段階認証は、管理者アカウントのログイン保護に役立ちます。特にパスキーは、フィッシングに強い認証方法として紹介されています。WordPress公式のログイン保護対策

PHP自体の脆弱性の修正や、すでに存在する不正ファイルの除去には、それぞれの対応が必要です。対策ごとの役割を整理しておきましょう。

対策	主な役割
PHPの更新・修正パッチ	PHP自体の脆弱性を修正する。
WordPress・テーマ・プラグインの更新	それぞれのソフトウェアの弱点を修正する。
パスキー・二段階認証	ログイン経路を保護する。
ファイル・ログなどの調査	改ざんや侵害の痕跡を確認する。
バックアップと復元手順	障害や被害からの復旧に備える。

【推奨】WordPress管理画面に加え、サーバー管理アカウントと、パスワード再設定に使うメールの認証も強化します。予備の認証手段と復旧方法を準備してから導入しましょう。

管理者が1人の場合

【推奨】本人の管理者アカウントに認証アプリを設定し、復旧コードを安全に保管します。現在のログインを維持したまま、別のブラウザーなどで再ログインを確認してから、設定に使った画面を閉じましょう。

管理者が複数いる場合

【推奨】管理者全員が、それぞれ自分のアカウントで認証アプリと復旧手段を設定します。管理者アカウント、登録用の秘密情報、認証コード、復旧コードは共有しない運用にします。

1. 設定手順と期限を案内し、必要に応じて猶予期間を設ける。
2. 各管理者が登録・復旧コードの保管・再ログイン確認を行う。
3. 全員の登録完了を確認し、対応したツールで管理者権限への必須化を適用する。

導入ツールとパスキーの選び方
【提案】本人の認証を個別に設定するならTwo Factor、管理者全員への必須化や猶予期間を管理したいならWP 2FAが候補です。導入前に、利用環境との互換性と復旧方法を確認してください。

パスキーは、利用サービスやプラグインが対応する認証方式を確認し、認証アプリや復旧手段との組み合わせを整理して導入します。別プラグインの追加が必要かどうかも、利用する仕組みによって異なります。

改ざんや感染が疑われるときは

不審な症状に気づいたら、発見日時・表示内容・直前に行った変更を記録し、サーバー会社や保守担当者へ連絡してください。WordPress公式の侵害時対応ガイド

【推奨】被害拡大を防ぐ対応と並行して、取得可能なアクセスログ・エラーログ・操作履歴、ファイル・データベースの現状を保全します。調査前に不審なファイルを手当たり次第に削除・上書きすると、原因を確認しにくくなるためです。

保存したログやバックアップは、第三者が閲覧できる公開領域に置かず、管理担当者と安全な保管方法を決めましょう。

復旧は、不正ファイルの除去、侵入経路の修正、必要な認証情報の更新、復旧後の動作確認まで進めます。

よくある質問

メンテナンス中ということは、すでに攻撃されたのでしょうか？

メンテナンスの実施だけでは、個別サイトの侵害有無は判断できません。取得したエックスサーバーの告知では、今回の停止は不正アクセスの発生に伴うものではないと説明されていました。エックスサーバー公式告知

自分のサイトの被害については、公式案内と、サイト・ログの調査結果を確認してください。

PHPの設定を変更すれば、更新しなくても大丈夫ですか？

設定変更だけで、対応完了とは判断できません。PHP公式は一部の設定変更による緩和策を案内していますが、完全な対策には修正を含む更新が必要としています。サーバー会社や管理担当者に確認してください。PHP公式アドバイザリ

サイトが普通に表示されていれば、安全でしょうか？

通常表示できることだけでは、修正適用や侵害の有無は確認できません。修正状況、管理者アカウント、ファイル、ログなどを組み合わせて確認します。

セキュリティプラグインを入れれば、今回の問題は解決しますか？

プラグインの導入で、PHP自体の修正を代替することはできません。セキュリティプラグインは、機能に応じてログイン保護や調査を補助するものとして活用します。

自分のサイトの対応状況が分からない方へ

「サーバー側の修正は済んでいるのか」「WordPressでも作業が必要なのか」「気になる症状があるが、改ざんか判断できない」。そんなときは、現在の環境と症状を整理して点検を進めましょう。

ご相談の際は、サイトURL・利用サーバー・気になる症状・気づいた日時を、分かる範囲でお知らせください。最初のご相談でパスワードを送っていただく必要はありません。

確認できた問題と未確認の項目を分け、必要な対策を判断することが、安全なサイト運営につながります。

WordPressの安全性点検・改善について／サイトの状況を相談する