情報確認：2026年10月21日20時45分（日本時間）
「PHPに重大な脆弱性」「今夜、緊急のセキュリティ更新」と聞いて、WordPressでブログやホームページを運営している方は、何をすればよいか迷っているかもしれません。
PHPは、多くのWebサイトをサーバー側で動かすプログラミング言語です。今回は、サイト運営者向けの臨時記事として、PHPの脆弱性について確認できたことと、修正版の公開に備えてできる対策を整理します。
PHP公式は、重大な脆弱性2件に対応するセキュリティリリースを、2026年10月21日23時（日本時間）に予定しています。本記事の確認時点では、公式の詳細な影響バージョン・修正済みバージョンは未公表です。
以下は修正版の公開前の情報です。公開後に読む場合は、本文中のPHP公式・IPA・利用サービスの最新案内を確認してください。
今日のPHP脆弱性ニュースで何が分かった？
PHPセキュリティチームの事前告知によると、修正対象は2件のCritical（重大）な脆弱性で、深刻度の指標であるCVSS v4.0の基本値はいずれも9.2です。
予定時刻は10月21日14時UTC、日本時間では同日23時です。ただし、詳細の流出や悪用の証拠が確認された場合には、予定を早める可能性も示されています。詳細・影響バージョン・修正済みバージョンは、リリースと同時に公表するという案内です。
| 確認項目 | 分かっていること |
|---|---|
| 修正対象 | 重大な脆弱性2件 |
| 深刻度 | いずれもCVSS v4.0で9.2 |
| 修正版の予定 | 10月21日23時（日本時間）。前倒しの可能性あり |
| 詳細な対象・修正版番号 | PHP公式の事前告知では未公表 |
| CVE識別子 | CERT-EUはCVE-2026-109618、CVE-2026-109619として注意喚起 |
CVSSの数値は脆弱性の深刻さを評価する指標です。「自分のサイトが9割の確率で被害を受ける」という意味ではなく、個別の影響は利用環境や、今後公表される成立条件を確認する必要があります。
「PHP 5以降が対象」「遠隔からコード実行」は確定情報？
CERT-EUの注意喚起では、上記2件のCVE識別子と、遠隔からコードが実行される可能性に言及しています。また、複数の情報源に基づき、PHP 5以降が影響を受ける可能性を示しています。
ただし、これを「どの構成でも、PHP 5以降なら必ず攻撃が成立する」と読み替えることはできません。PHP公式の詳細発表前であるため、本記事では、対象となる設定や正確なバージョンの範囲を断定しません。
遠隔からのコード実行とは、外部の第三者がサーバー上で意図しないプログラムを動かせてしまう問題を指します。深刻な影響につながり得るため、管理者は、自分が担当する環境の対応状況を把握することが大切です。
WordPressを使っている人は何を確認する？
WordPress本体、テーマ、プラグインと、それらを動かすPHPは別のソフトウェアです。WordPressの更新ボタンを押しただけで、サーバーのPHPまで更新されたとは限りません。
WordPress公式のサイトヘルスの説明では、「情報」内の「サーバー」でPHPなどの環境情報を確認できます。管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」を開き、PHPバージョンを確認しましょう。
この数字を控えたら、契約しているレンタルサーバーや保守担当者の案内と照合します。サーバー会社によって、修正版の適用方法や、利用者による操作の必要性は異なります。
今から準備できること
- 対象サイトを整理する
運営しているサイト、利用サーバー、保守担当者、確認できるPHPバージョンをまとめる。 - バックアップと復元方法を確認する
サイトのファイルとデータベースのバックアップがあり、必要時に戻せるかを確認する。 - サーバー会社の障害・メンテナンス情報を見る
今回の2件について、対象サービス、適用予定、利用者側の作業を確認する。 - 修正版公開後に対応状況を確認する
自動適用か、自分での更新が必要かを確かめ、提供元の手順に沿って速やかに進める。 - 更新後の動作も確認する
トップページ、記事、管理画面、問い合わせや注文など、実際に使う機能を確認する。
WordPress公式のPHP更新ガイドも、事前のバックアップや互換性の確認、ホスティング会社への相談を案内しています。特にPHPの系列を変更する場合は、テーマやプラグインとの互換性にも注意が必要です。
すぐ更新できない場合はどうする？
詳細が分からないまま、SNSで見た設定を本番サイトへ一律に適用すると、必要な機能を止めてしまうことがあります。まずは管理者や提供元に、今回の脆弱性に対する正式な回避策・緩和策があるか確認しましょう。
CERT-EUは、すぐに修正できない場合、インターネットに公開しているアプリケーションを公衆ネットワークから隔離することも検討するよう勧告しています。サービス停止を伴う判断は、影響と業務上の必要性を踏まえ、運用責任者と進めてください。
また、PHP公式のサポート状況では、確認時点のサポート対象は8.2・8.3・8.4・8.5系です。サポート対象というだけで今回の修正が適用済みとは言えず、古い系列からの移行が必要な場合も、対応方針を確認する必要があります。
「攻撃を確認していない」と「安全」は違う
IPAの事前準備のお願いでは、情報発信時点でIPAが今回の2件を悪用した攻撃を確認しているわけではないと説明しています。一方、修正版の公開後に速やかに適用できるよう、PHPの利用状況を可能な範囲で整理するよう呼び掛けています。
これは世界中で攻撃が起きていないことを保証する表現ではありません。また、脆弱性のニュースが出たことだけで、自分のサイトの情報漏えいが確定するわけでもありません。脆弱性の存在、攻撃の観測、個別サイトの被害は分けて考えましょう。
今夜は公式発表と利用サーバーの案内を確認しよう
今回のPHP脆弱性で、サイト運営者がまず行いたいのは、利用環境と連絡先の把握です。そのうえで、修正版の公開後に対象や対応方法を確認し、速やかな適用につなげましょう。
記事執筆時点は公開予定時刻前です。最新の修正版番号や成立条件は、次の公式情報で確認してください。
コメントを残す