「PHPに重大な脆弱性というニュースを見たが、自社のWordPressサイトは大丈夫なのか」
「サーバーのことは制作会社に任せきりで、何を確認すればいいかわからない」
「サイトを作ってから何年も更新しておらず、PHPのバージョンもわからない」
「対応が必要だとしても、誰に頼めばいいのかわからない」
2026年10月21日、WordPressの土台となっているプログラミング言語「PHP」に、重大な脆弱性（セキュリティ上の欠陥）が見つかり、修正版が公開されました。
自社のホームページをWordPressで運用している中小企業様の中には、このような不安をお持ちの方も多いのではないでしょうか。
結論：WordPressサイトも、PHPの修正版が適用されるまでは影響を受ける可能性があります。
ただし、レンタルサーバーの多くはサーバー会社が修正を進めています。まずは「自社サイトのPHPバージョン」と「契約しているサーバー会社のお知らせ」の2点を確認しましょう。
この記事では、WordPressサイトの制作・保守を手がける弊社ビルドマーケティング合同会社が、専門知識がなくても自社サイトの状況を確認できる手順を中心に解説します。
※本記事は2026年10月22日時点で確認できた情報をもとに作成しています。状況は変化しているため、新しい情報が入り次第、追記・更新します。
PHPの重大な脆弱性「PHP2Shell」とは
PHPは、Webサイトの裏側で動くプログラムを書くための言語です。WordPressもPHPで作られており、非常に多くのWebサイトがPHPの上で動いています。
今回見つかった脆弱性は2件で、発見に関わった研究者の投稿から「PHP2Shell（php2shell）」という通称で呼ばれています。いずれもログインなしで、外部からサーバー上で任意のプログラムを実行される恐れがある深刻なものです。
| 項目 | 内容 |
|---|---|
| 脆弱性の識別番号 | CVE-2026-109618／CVE-2026-109619 |
| 深刻度 | CVSS v4.0でいずれも9.2（10点満点）。重要度は最も高い「緊急（Critical）」 |
| 想定される被害 | 外部からのプログラム実行による、サイトの改ざん・情報漏えい・サーバーの不正利用など |
| 影響を受ける環境 | Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi、LiteSpeedなど） |
| 修正版 | PHP 8.5.12／8.4.27／8.3.36／8.2.35 |
| 公開日 | 2026年10月21日（日本時間同日夜） |
PHPの開発チームは、すべての利用者に直ちにアップデートするよう強く呼びかけています。設定変更による暫定的な緩和策も示されていますが、完全な対策は修正版への更新のみとされています（PHP公式のセキュリティ勧告）。
なお、修正版の公開直後から、攻撃対象を探るような通信が観測されているとの報告もあります（Patchstack）。実際の被害状況はまだ明らかではありませんが、「様子見」は避けたほうが安全です。
PHP 8.1以前の古いバージョンは、PHPの開発チームからの更新提供がすでに終了しています。一部のサーバー会社やLinuxディストリビューションが独自に修正を提供している場合を除き、危険な状態が残る点に注意が必要です。
また、PHP 8.2も2026年12月31日でサポートが終了する予定です。
WordPressサイトへの影響
WordPressやプラグインの更新だけでは解決しない
今回の脆弱性はWordPress本体やプラグインの問題ではなく、その土台であるPHPの問題です。そのため、WordPressやプラグインを最新にしていても、PHPに修正が適用されていなければ影響を受ける可能性があります。
一方で、「すべてのWordPressサイトが今すぐ危険」というわけではありません。実際の影響は、サーバーの環境や、修正がすでに適用されているかどうかによって異なります。
「サーバー会社の修正」と「利用者のバージョン切り替え」は別のもの
レンタルサーバー（共用サーバー）では、PHPそのものの修正はサーバー会社がおこないます。ただし、どのバージョンのPHPを使うかは、利用者側の設定で決まっていることがほとんどです。
| 作業 | 誰がおこなうか | 内容 |
|---|---|---|
| 修正プログラムの適用 | サーバー会社 | サーバーに用意された各PHPバージョンに、修正を当てる |
| PHPバージョンの切り替え | 利用者（またはサイト管理を任せている会社） | サーバーの管理画面で、サイトが使うPHPのバージョンを選ぶ |
つまり、サーバー会社が修正を進めていても、サイトが古いPHPバージョンを使い続けていて、そのバージョンに修正が提供されない場合は、対策が届かないことがあります。VPSや自社サーバーでは、修正の適用そのものも管理者がおこなう必要があります。
自社サイトの状況を確認する3つのステップ
ステップ1：WordPressのサイトヘルスでPHPバージョンを確認する
WordPressには、サイトの環境を確認できる「サイトヘルス」という機能が標準で備わっています。
① WordPressの管理画面にログインする
② 左メニューの「ツール」→「サイトヘルス」を開く
③ 画面上部の「情報」タブを開く
④ 「サーバー」の項目を開き、「PHPバージョン」を確認する
表示されたバージョンを、同じ系列（先頭の「8.3」などが同じもの）の修正版と見比べてください。
| 系列 | 修正版 | 例 |
|---|---|---|
| PHP 8.5系 | 8.5.12以上 | 8.5.11なら未修正の可能性 |
| PHP 8.4系 | 8.4.27以上 | 8.4.26なら未修正の可能性 |
| PHP 8.3系 | 8.3.36以上 | 8.3.35なら未修正の可能性 |
| PHP 8.2系 | 8.2.35以上 | 8.2.34なら未修正の可能性 |
| PHP 8.1以前 | 公式の修正版なし | サーバー会社の独自対応を確認 |
ただし、サーバー会社やLinuxディストリビューションが独自に修正を当てている場合、表示されるバージョン番号が古いままでも対策済みのことがあります。番号だけで判断できない場合は、次のステップでサーバー会社の発表を確認しましょう。
ステップ2：契約しているサーバー会社のお知らせを確認する
国内の主要なレンタルサーバー各社は、10月21日から22日にかけて緊急メンテナンスや管理画面の一時停止などをおこなっています。2026年10月22日時点で確認できた状況は以下のとおりです。
| サーバー会社 | 主な対応（2026年10月22日時点） | 公式情報 |
|---|---|---|
| エックスサーバー | 10月21日16時から、予防的な安全対策として公式サイト・管理画面などを一時停止（サイトの表示とメールは継続） | 公式サイトのお知らせをご確認ください |
| さくらのレンタルサーバ | 10月21日23時から、PHPのバージョンアップを含む緊急メンテナンス。古いPHPの利用者にはPHP 8.3の利用を案内 | 緊急メンテナンスのお知らせ |
| ロリポップ！ | PHPの脆弱性への対応として、修正版の適用が完了するまで一部サーバーのサイトを一時停止すると告知 | 公式X |
| ConoHa WING | 10月21日19時〜22日10時に緊急メンテナンス（告知上の作業内容は「システムの保守作業」） | ConoHa WINGニュース |
| KAGOYA | CVE番号を明記して、レンタルサーバー・WordPress専用サーバーなどへの影響と対応方針を告知 | 影響についてのお知らせ |
各社の対応は刻々と変わっています。最新情報は、必ず契約しているサーバー会社の公式サイトやお知らせメールでご確認ください。
「どのサーバー会社と契約しているかわからない」という場合は、サイト制作を依頼した会社に問い合わせるか、サーバー料金の請求書・領収書を確認してみてください。
ステップ3：PHP 8.1以前なら、バージョンアップを検討する
ステップ1でPHP 8.1以前と表示された場合は、今回を機にPHPのバージョンアップを検討することをおすすめします。サーバー会社が独自に修正を提供していても、古いバージョンは今後の脆弱性への対応が受けられない可能性があるためです。
ただし、長期間更新していないサイトでPHPだけを急に新しくすると、古いテーマやプラグインが対応しておらず、表示が崩れることがあります。具体的な注意点は、後述の「PHPを更新する前に確認すべきこと」でご紹介します。
ご自身での確認が難しい場合はご相談ください
「管理画面にログインできず、PHPバージョンを確認できない」「古いPHPのまま運用している」「更新するとサイトが崩れないか心配」という方は、弊社にご相談ください。現在の状況を確認したうえで、必要な対応をご案内します。
▶ ビルドマーケティング合同会社へのお問い合わせはこちら
特に注意が必要なサイトの特徴
次のようなサイトは、今回のような脆弱性の影響を受けやすく、対応にも時間がかかりがちです。
- 公開してから数年間、WordPressやプラグインを更新していない
- PHP 7系など、サポートが終了したバージョンで運用している
- サイトを作った制作会社と連絡が取れない、または保守契約を結んでいない
- VPSや自社サーバーなど、サーバー会社がPHPを更新しない環境で運用している
- WordPressの管理画面やサーバーのログイン情報がわからない
特にVPSや自社サーバーの場合は、管理者がPHPを更新しない限り修正が適用されません。管理を任せている会社がある場合は、早めに対応状況を確認しましょう。
PHPを更新する前に確認すべきこと
PHPのバージョンアップは、正しい手順で進めれば決して難しい作業ではありません。ただし、準備をせずに切り替えると、サイトが正常に表示されなくなることがあります。事前に次の5点を確認しておきましょう。
| 確認すること | ポイント |
|---|---|
| ① サイト全体のバックアップ | WordPressのファイルとデータベースの両方を保存しておく。サーバー会社の自動バックアップの有無も確認 |
| ② 互換性の確認 | WordPress本体・テーマ・プラグインが、切り替え先のPHPバージョンに対応しているかを確認する |
| ③ テスト環境での動作確認 | 可能であれば、本番サイトのコピー（テスト環境）で先に切り替えて動作を確かめる |
| ④ 更新後の表示・機能の確認 | トップページや主要ページの表示、お問い合わせフォームの送信、管理画面へのログインを確認する |
| ⑤ 不具合時の戻し方 | 多くのサーバーでは管理画面からPHPバージョンを元に戻せる。戻し方とバックアップの復元方法を事前に把握しておく |
特に見落としやすいのが、お問い合わせフォームの動作確認です。表示は問題なくても、フォームのメールだけが届かなくなっているケースもあるため、実際に送信して確かめましょう。
緊急時に差が出る「作った後の保守」
ホームページは「作って終わり」と思われがちですが、実際にはサーバー、PHP、WordPress本体、プラグインなど、さまざまなソフトウェアの組み合わせで動いています。そのどれかに今回のような脆弱性が見つかれば、改ざんや情報漏えいにつながる恐れがあります。
日頃からバージョンを把握し、定期的に更新しているサイトであれば、今回のような緊急時も「確認して終わり」で済むことがほとんどです。逆に、長く放置していたサイトほど、いざというときの対応に時間と費用がかかります。
緊急時に慌てないための一番の備えは、「自社サイトの環境を把握している人がいる」状態をつくっておくことです。社内に担当者がいない場合は、保守を外部に任せるのも有効な選択肢です。
まとめ
2026年10月に公表されたPHPの重大な脆弱性（PHP2Shell）は、WordPressで運用している多くのサイトに関係する問題です。レンタルサーバーではサーバー会社が修正を進めていますが、自社サイトのPHPバージョンとサーバー会社の対応状況を、一度ご自身で確認しておくことが大切です。
以下に当てはまる方は、ぜひ一度ご相談ください。
- 自社サイトが今回の脆弱性の影響を受けているか、確認方法がわからない
- PHPが古いバージョンのままで、更新してサイトが崩れないか不安
- サイトを作った制作会社と連絡が取れず、誰に相談すればいいかわからない
- 今後のために、WordPressサイトの保守を任せられる先を探している
弊社ビルドマーケティング合同会社は、長野県東御市を拠点に、15年以上にわたりWordPressサイトの制作・保守に携わってきました。他社で制作したサイトのご相談や、PHPの更新に伴う不具合の確認・対応のご相談も承っています。
「自社サイトのPHPバージョンを確認してほしい」
「古いサイトを安全に更新したい」
という方は、現在のサイトの状況をお伺いしたうえで、必要な対応をわかりやすくご案内します。まずはお気軽にお問い合わせください。
▶ ビルドマーケティング合同会社へのお問い合わせはこちら
