あなたのWordPressサイトは大丈夫？ PHPに重大な脆弱性2件 | レンタルサーバー各社の緊急対応と今すぐできる対策

2026年10月21日、PHPの開発チームが2件の重大なセキュリティ脆弱性を公表し、修正版の公開と即時のアップデートを呼びかけました。

いずれも認証なしでサーバー上でコードを実行されるおそれがある「Critical」レベルの問題です。

さくらインターネットやKAGOYAなど、国内のレンタルサーバー各社も同日中に対応に動き出しました。

WordPressでブログやサイトを運営している方や、レンタルサーバーを利用している方にとっては、自分の環境が影響を受けるのかどうかが気になるところです。

本記事では、何が起きたのか、自分の環境にどう影響するのか、そして何をすべきなのかを整理します。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

何が起きた？ PHPに「最も深刻」レベルの脆弱性2件が公表される

PHPの開発チームであるThe PHP Groupは、2026年10月21日（協定世界時）にセキュリティアップデートを実施しました。

修正されたのは、CVE-2026-109618とCVE-2026-109619の2件の脆弱性です（CVEは脆弱性ごとに付けられる世界共通の識別番号です）。

深刻度は4段階中最高の「Critical」とされており、深刻度を10点満点で示す共通指標であるCVSS 4.0の基本値は「9.2」と評価されています。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース、【事前準備のお願い】PHPのセキュリティリリース公開予定について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

修正版として公開されたのは、

の4バージョンです。

開発チームは

All PHP users are strongly encouraged to update immediately.

と述べ、すべての利用者に対して即時のアップデートを強く求めています。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

 

なお、情報処理推進機構（IPA）は、この脆弱性について

現時点でIPAが悪用した攻撃を確認しているわけではありません

と明記しています。

ただし、IPAは2024年7月にもPHPの脆弱性を悪用した攻撃に関する注意喚起を行っており、今回も悪用されるおそれがあるとして予防的に情報を発信しているとされています。

出典：【事前準備のお願い】PHPのセキュリティリリース公開予定について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

そもそもPHPとは？ なぜ今回の脆弱性は「重大」なのか

PHPとは、Webアプリケーションの開発に広く使われているオープンソースのスクリプト言語です。

多くのウェブサイトやブログの裏側で動作しており、閲覧者がブラウザでページを開いたとき、サーバー上でPHPが動いてページの内容を組み立てています。

WordPressもPHPを基盤として作られているため、WordPressで運営されているサイトはPHPの動作に依存しています。

出典：Get a faster, more secure website: update PHP today（WordPress.org Forums）

今回の脆弱性が特に深刻とされるのは、「認証なしのリモートコード実行（RCE）」が可能になる点です。

RCEとは、簡単にいえば、外部からサーバーに不正な命令を送り込み、サーバー上で任意のプログラムを実行できてしまうことを指します。

通常、サーバーに何かを実行させるにはログインなどの認証が必要です。

ところが今回の脆弱性では、認証手続きを一切経ずに攻撃が成立するおそれがあります。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

2件とも、PHPがサーバー内部でメモリを扱う処理の不具合に起因し、特定の条件で不正なデータが正常なものとして扱われてしまう問題とされています。

技術的な詳細はPHP公式の発表に記載されています。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

 

影響を受けるのは、PHPでWebページを配信しているほぼすべての構成です。

レンタルサーバーで広く使われている構成（PHP-FPMやApacheのmod_phpなど）も含まれます。

なかでもmod_phpは、サイト側のプログラムが動き出すより前の段階で攻撃が成立することが実証されており、特に危険性が高いとされています。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

また、EUのセキュリティ機関であるCERT-EUの注意喚起では、すでにサポートが終了した古いバージョンを含むPHP 5以降が影響を受けるとされています。

出典：【事前準備のお願い】PHPのセキュリティリリース公開予定について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構、PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

WordPressを使っている人はどうなる？ プラグインを更新しても直らない理由

WordPress公式は、PHPのバージョンを最新に保つことは、WordPress本体やテーマ、プラグインを最新に保つことと同じくらい重要だと説明しています。

出典：Get a faster, more secure website: update PHP today（WordPress.org Forums）

ここで注意したいのは、PHPはサーバー側にインストールされているソフトウェアであり、その更新はWordPressの管理画面から行うWordPress本体やプラグインの更新とは別の作業になるという点です。

WordPress公式の説明では、PHPの更新にはホスティング会社の設定を操作するか、プロバイダーに依頼する必要があるとされています。

つまり、WordPressのダッシュボードでプラグインを最新版にしても、PHP自体の脆弱性は解消されません。

出典：Get a faster, more secure website: update PHP today（WordPress.org Forums）

利用しているWordPressサイトのPHPバージョンを確認するには、WordPressの管理画面から「ツール」→「サイトヘルス」→「情報」タブを開き、「サーバー」セクション内のPHP versionの項目を見るとよいでしょう。

出典：Get a faster, more secure website: update PHP today（WordPress.org Forums）

 

ただし、今回の脆弱性はWordPress特有の問題ではなく、PHP自体の問題です。

WordPressを使っていないサイトでも、PHPで動いているWebサービスであれば影響を受けます。

自分のサーバー会社は対応している？ 主要6社の状況（10月22日10時時点）

脆弱性の公表を受け、国内のレンタルサーバー各社も対応を開始しています。

ここでは、2026年10月22日10時までに各社の公式サイトなどで確認できた情報をまとめます。

事業者	対応状況	対象プラン・備考
さくらインターネット	10月21日23時00分からの緊急メンテナンス（PHPのバージョンアップ）を10月22日6時30分に完了	対象はさくらのレンタルサーバ、さくらのメールボックス、さくらのマネージドサーバ、さくらのレンタルサーバ リセール向けサービス、さくらのビジネスメール。作業中は数秒程度ウェブに接続できない時間が発生。古いPHPの利用者にはPHP 8.3の利用を推奨。田中邦裕社長はXで、コントロールパネルで選べる過去のPHP（サポート終了版を含む）にも独自にバックポートで対策したため利用者側で行うことは特にないとしつつ、最新バージョンへの移行を呼びかけ
KAGOYA	修正版の公開を確認後、順次アップデートによる脆弱性対応を実施予定（10月21日18時20分時点の続報。10月22日10時時点で新しい続報は確認できず）	対象はレンタルサーバープランでPHP 8.2系・8.3系・8.4系・8.5系を利用中の顧客。マネージド専用サーバープラン、共用サーバープラン、WordPress専用サーバープラン、および上記以外のPHPバージョンは対応方針を調整中
エックスサーバー	PHP 8.2〜8.5について、対象となるすべてのサーバーへの修正パッチの適用を完了（10月22日6時45分時点）。旧バージョンは一部で修正パッチの準備が整い、検証・確認が完了したものから順次適用中	10月22日9時30分時点で、アカウント管理画面と各種機能の提供を再開（シンクラウドの各種サービスと一部機能を除く）。新規申し込みもドメイン関連を除き再開。各サービスの公式サイトは引き続き停止中で、同日中に再開予定。不正アクセスの発生によるものではないと説明
ロリポップ！	セキュリティ強化のため緊急メンテナンス中。修正版の公開に先立つ予防措置として10月21日から順次実施。10月22日10時時点でも公式サイトは停止中	サービスサイト、ユーザー専用ページ、おさいぽ！の自動更新、MCP・APIが利用不可。IPAの注意喚起とPHP公式の告知を案内
ConoHa WING	10月21日19時00分から10月22日10時00分（予定）まで、一部サーバーの緊急メンテナンス（システムの保守作業）。完了の告知は10月22日10時時点で未確認	一時的に接続できない事象が発生する可能性。終了時間は前後する可能性。10月22日にはファイルマネージャーとWebメール機能の一時停止も告知。いずれの告知にもPHPや脆弱性への言及はない
mixhost	10月21日22時10分からのマイページの緊急メンテナンス（予防的なセキュリティ強化・システム安全対策）を10月22日8時30分に完了	利用中のサーバーへの影響はなく、Webサイトの表示やメールの送受信は通常どおり。不正アクセス等によるものではないと説明。告知にPHPへの言及はない

出典：メンテナンス・障害情報・機能追加｜さくらインターネット公式サポートサイト、【KAGOYA】PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について | KAGOYA、予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ（エックスサーバー公式サイト、10月22日1時10分時点）、現在セキュリティ強化のため、緊急メンテナンス中です。（ロリポップ！公式サイト）、【緊急メンテナンス】ConoHa サーバーメンテナンス（ConoHa WING）、マイページ緊急メンテナンスのお知らせ（mixhost）、お客様のご利用サーバーへの安全対策について（エックスサーバー お知らせ、10月22日9時30分時点）、サービス稼働状況（mixhost ヘルプ）、田中邦裕社長＠さくらインターネットのX投稿（10月21日）、同（10月22日）

10月22日10時時点では、さくらインターネットとmixhostがメンテナンスの完了を、エックスサーバーがPHP 8.2〜8.5への修正パッチ適用の完了をそれぞれ公表しています。

エックスサーバーとmixhostは、今回の対応が不正アクセス等の発生によるものではないと説明しており、ロリポップ！も修正版の公開に先立つ予防措置と位置づけています。

ConoHa WINGも緊急メンテナンスを告知していますが、今回のPHPの脆弱性との関係は告知に明記されていません。

さくらインターネットの田中邦裕社長は、深夜の緊急メンテナンスでPHPをバージョンアップしたことに加え、サポート終了版を含む過去のPHPにも独自にバックポートで対策したため、利用者側で行うことは特にないとしたうえで、最新バージョンへの移行を呼びかけています。

さくらインターネットでは、コントロールパネルで選べる過去のPHPについても独自にバックポートし、EOL(サポート終了)を迎えたバージョンにおいても対策を行いました。
その為、お客様で行なって頂くことは特にありませんが、これを機に最新バージョンへのシステムの移行をお願いします。 pic.twitter.com/ZXPXYHGAX1

— 田中邦裕社長＠さくらインターネット (@kunihirotanaka) 2026年10月22日

対応の進み方や完了時期は各社で異なるため、利用中のサーバー会社の公式お知らせページを直接確認することをおすすめします。

以下は、10月22日未明にエックスサーバーとロリポップ！の公式サイトにアクセスした際に表示されていた告知です。

今すぐやるべきことは？ サーバーの種類別にチェック

今回の脆弱性への対応は、利用しているサーバーの形態によって大きく異なります。

共用レンタルサーバーを利用している場合、PHPのバージョン管理はサーバー会社が行います。

さくらインターネットやエックスサーバーのように、すでに修正の適用完了を公表している会社もあります。

この場合、利用者自身がPHPを直接更新する必要はなく、サーバー会社の対応を待つことが基本になります。

 

VPSや自社管理のサーバーを利用している場合は、自身でPHPを修正版に更新する必要があります。

PHP公式のダウンロードページから、

のいずれか、該当するバージョンを入手して適用してください。

Linuxディストリビューションを利用している場合は、提供元に修正パッチが事前に提供されているとされているため、各ベンダーから提供される更新パッケージの確認も有効です。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

 

PHP 8.1以前のバージョンを使っている場合、PHPプロジェクトからの通常のアップデートは提供されません。

ただし、今回の深刻さに鑑み、PHP 7.4、8.0、8.1向けにも、今回の修正だけを古いバージョンに移植したソースコード（バックポート）が用意されています。

可能であれば、サポート対象のバージョンへの移行を検討してください。

出典：PHP: News Archive – 2026、「PHP」の“致命的”な脆弱性2件が修正、ただちにアップデートを（窓の杜） – Yahoo!ニュース

 

すぐにアップデートできない場合の暫定的な緩和策も公表されていますが、PHP公式は

only an update is a complete solution

と明言しています。

緩和策は特定の攻撃経路への露出を減らすものであり、環境を完全に安全にするものではありません。

出典：PHP: News Archive – 2026

IPAも、

攻撃者はこれらの脆弱性を悪用し、極めて短時間で攻撃を実行する可能性もあるため、パッチの公表後、可及的速やかに適用できるよう準備をお願いします

と呼びかけています。

自社で開発・運用しているプログラムや利用している製品について、PHPの利用状況を可能な範囲で棚卸しし、修正プログラムの適用に向けた準備を進めておくことが推奨されています。

出典：【事前準備のお願い】PHPのセキュリティリリース公開予定について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

また、高市早苗首相も10月21日、自身のXアカウントで、修正パッチを可及的速やかに適用できるよう準備することを求め、速やかな適用が困難な場合はウェブサイト等を一時的に停止させることもリスク低減の有効策の一つと考えられるとしました。

皆様に、今夜に対応して頂きたい大至急のお願いです。 多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。 公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。 修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。 国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

— 高市早苗 (@takaichi_sanae) October 21, 2026

おすすめ記事：中国製AI「ARTEX」が日本企業を狙う本当の理由…生成AIが壊した「日本語の壁」

まとめ：冷静に、確実にアップデートを

ただし、現時点でIPAが実際の攻撃を確認したという情報はありません。

また、修正版はすでに公開されており、レンタルサーバー各社も対応を進めています。

 

共用レンタルサーバーを利用している方は、サーバー会社の公式アナウンスを確認し、対応の完了を待ってください。

VPSや自社管理サーバーの方は、修正版へのアップデートを速やかに実施してください。

情報が変化する局面ですので、PHP公式、IPA、利用中のサーバー会社の発表を随時確認し、最新の状況に基づいて判断することが大切といえるでしょう。

本記事の情報は2026年10月22日10時時点のものです。

サーバー各社の対応状況や脆弱性の詳細は、今後更新される可能性があります。

最新の情報については、PHP公式（php.net）、IPA（ipa.go.jp）、および利用中のサーバー会社の公式サイトをご確認ください。

今後も注視が必要ですので、続報を待ちましょう。

おすすめ記事：ホモグラフ攻撃とは何か？偽URLの見分け方と対策まとめ