PHPに緊急レベルの脆弱性2件でWordPress運営者とサービス利用者が確認したいこと

2026年10月26日更新
PHPの重大な脆弱性2件に対応する修正版は10月21日に公開済みです。WordPressなどのサイト運営者は、契約サーバーで今回の修正が適用されているかを確認してください。さらに10月23日には特殊な設定で起こる別の問題について追加案内が出ており、本文に追記しました。

「PHPに緊急レベルの脆弱性」と聞いても、普段使うスマホやブログに何が関係するのか分かりにくいですよね。PHPはWebサイトの裏側で使われる仕組みの一つ。WordPressでブログやお店のサイトを運営している方にも関係する話です。

『ひとやすみっけ』のかおかーさんです。PHP公式とIPAなどの続報をもとに、修正版の番号と今確認したいことを整理しました。サービスを使う方とサイトを運営する方では、必要な対応が違います。

PHPの修正版は10月21日に公開済み

PHPの開発チームは10月21日、重大な脆弱性2件に対応する修正版を公開しました。当初の記事で紹介した公開前の予告から状況が変わり、現在は実際に更新を進める段階です。IPAも10月22日に対策を知らせる続報を出しています。

対象は「CVE-2026-109618」と「CVE-2026-109619」の2件で、まとめてPHP2Shellとも呼ばれています。悪用されると、ログインなどの認証を経ずに外部からサーバー上で不正なプログラムを実行されるおそれがあります。

使用している系列	2件の修正が入ったバージョン
PHP 8.2系	8.2.35
PHP 8.3系	8.3.36
PHP 8.4系	8.4.27
PHP 8.5系	8.5.12

表は10月21日に公開された2件の修正版です。例えばPHP 8.3系なら、8.3.35以前は対象となります。単に「PHP 8を使っている」だけでは判断できません。なお、10月23日に案内された別の問題は後の見出しで説明します。

出典：IPAのPHP脆弱性対策情報／PHP公式の修正版公開案内

PHPはWebサイトを裏側で動かす仕組み

PHPはプログラミング言語の一つです。Webサイトを動かすサーバー側で使われ、ブログや企業サイトを作るWordPressもPHPを利用しています。普段サイトを読んでいるだけなら、名前を知らなくても不思議ではありません。

ここで気になるのが、スマホにも更新が必要なのかという点。一般の利用者が、利用先のサーバーにあるPHPを自分のスマホから更新することはできません。対応するのは主にサービス運営会社やサーバーの管理者です。

深刻度と被害の有無は別の情報

今回の2件はどちらもCVSS v4.0で9.2とされています。これは脆弱性の深刻度を表す評価です。「9.2」という数字から、自分の情報が漏れた確率や被害件数を読み取ることはできません。

公開前のIPAの案内には、発信時点では悪用した攻撃を確認していないとありました。一方、サイバーセキュリティクラウドは10月22日、今回の脆弱性を狙ったとみられる通信を観測したと発表しています。古い予告だけで安心しないことが大切です。

ただし、その発表から個々のサイトの侵害や情報漏えいまで確定するわけではありません。脆弱性があること、攻撃を受けたこと、情報が漏れたことはそれぞれ別の事実として読む必要があります。

言葉	読み取れること
脆弱性	悪用されるおそれのある弱点がある
不正アクセス	権限のないアクセスなどが行われた
情報漏えい	情報が本来認められない相手に渡るなどの事実がある

参考：サイバーセキュリティクラウドの観測情報

古いPHPや提供元独自の修正も確認

今回の対象はWebサイトのリクエストを処理するPHP環境に広く及びます。レンタルサーバーやサービスでPHPを使っている場合も、利用者側の画面からは構成が分からないことがあります。提供元の対応案内を確かめましょう。

PHP 8.1以前はPHPプロジェクトの通常サポートが終了しています。一部の古い系列には今回に限った修正用のソースコードも提供されていますが、通常サポートの再開ではありません。保守担当者とサポート中の系列への移行も相談してください。

一方、OSや保守サービスの提供元が古いバージョンに修正を組み込んでいる場合もあります。表示番号だけで未対策と決めず、今回のCVE番号に対応済みかを確認するのが確実です。利用環境によって確認方法は異なります。

参考：CERT-EUの対象バージョンと更新方法の案内

10月23日の追加案内も確認

PHP公式は10月23日、別の脆弱性「CVE-2026-115560」についても案内しました。セッション管理の設定とプログラムの処理が特殊な形で組み合わさった場合の問題です。PHPを使うすべてのサイトで同じ条件が成立するわけではありません。

公式は次の通常修正版までの対応として、アップロードの進捗管理機能を無効にする設定session.upload_progress.enabled=0を案内しています。すでに設定済みなら維持する方針です。対象の判断と設定の適用はサーバー管理者に確認してください。

10月21日の2件の修正版と、10月23日の追加確認は分けて考えます。先の更新を済ませた方も追加案内の対象かを確認しましょう。まだ更新していない方は、次の通常版を待つ理由にせず2件への対策を進める必要があります。

出典：PHP公式の10月23日付追加案内

WordPressの更新だけではPHPの修正にならない

WordPressを使う方が混同しやすいのが、本体の更新とPHPの更新です。WordPress・テーマ・プラグインを更新しても、それだけでサーバー側のPHPが今回の修正版に置き換わるわけではありません。

PHPの更新方法は契約しているサーバーによって異なります。事業者側の対応で済むのか、利用者による設定変更も必要なのかを確認しましょう。制作会社に管理を任せている場合は、契約先へ対応予定を聞くのが近道です。

使用中のPHPの番号は、WordPress管理画面の「ツール」から「サイトヘルス」へ進み、「情報」の「サーバー」で確認できます。ただし番号を見ただけで対策済みと決めず、サーバー会社の今回の対応案内と照らし合わせてください。

運営者は更新と動作確認を進める

IPAは公開された修正版への更新を案内しています。まずは管理しているサイトと契約サーバー、更新を担当する人を整理しましょう。制作会社に任せている場合も、対応予定だけでなく完了したかまで確認しておくと状況を把握できます。

自分でPHPを変更する場合は、サイトのバックアップと動作確認の準備も必要です。特に大きくバージョンを変えると、古いテーマやプラグインが動かなくなることがあります。バックアップは攻撃を防ぐものではなく、更新時の不具合に備えるものです。

対策を急ぐことと、分からないまま設定を変えることは同じではありません。わたしなら担当者への連絡とバックアップの確認を先に済ませます。今回の修正が含まれる更新を適用したら、表示やフォームなどの動作を確かめます。

参考：WordPress公式のPHP更新ガイド

更新と侵害の確認は別に行う

修正版への更新は弱点をふさぐための対応です。更新前に不正な操作が行われていた場合、その影響まで自動的になくなるとは限りません。JPCERT/CCも速やかな対策とあわせて、侵害の有無を調べるよう呼びかけています。

管理担当者には不審な通信やファイルの作成、想定外のエラーなどの確認を相談しましょう。普段どおり表示されているだけでは判断できず、ログに痕跡がないことも被害がない証明にはなりません。疑わしい場合は記録を残して調査につなげます。

参考：JPCERT/CCの対策と侵害調査の案内

すぐ更新できない場合の対応

CERT-EUは修正をすぐに適用できない組織に対し、対策が済むまでインターネットに公開しているアプリケーションを外部ネットワークから切り離すことも検討するよう求めています。影響を受ける環境を守るための対応です。

これは一般利用者がスマホを機内モードにするという話ではありません。WordPressで「メンテナンス中」と表示するだけで十分な防御になるとも限りません。公開停止やアクセス制限の方法はサーバー管理者と相談する必要があります。

攻撃を検知・遮断するWAFを使っていても、PHP自体の修正は必要です。暫定的な設定変更で防げる攻撃経路には限りがあります。防御機能を有効にしたから更新を省けるとは考えず、提供元の案内に沿って対応を進めてください。

サービスを使う人は提供元の案内を確認

サービスの利用者は、運営会社が出すメンテナンス情報や必要な手続きの案内を確認しましょう。今回のPHPの脆弱性を理由に、スマホの初期化やアプリの削除、すべてのパスワード変更を一律に行うよう求められているわけではありません。

IPAはPHPがソフトウェア製品やネットワーク機器の内部で使われる場合もあると説明しています。一方で、利用している全製品について内部のPHP利用を個別に調べるよう求めているわけではありません。提供元の案内を見て対応する形です。

難しい言葉が並ぶと、何から手をつければよいか迷いますよね。利用する側ならサービスのお知らせ、運営する側ならサーバーの対応状況へ。自分の立場に合う確認先を押さえて、必要な対応を進めていきましょう。

※2026年10月26日にPHP公式・IPA・JPCERT/CCなどの公開情報を確認して更新しました。契約サーバーや個別サイトの修正適用状況、侵害の有無を調査したものではありません。実際の対応は提供元や管理担当者の案内をご確認ください。