PHP重大脆弱性｜名古屋の中小企業がWordPressで今日確認すること 2026

結論から言うと、今日やることは「WordPressの管理画面でPHPのバージョンを見て、修正版以降になっているかをサーバー会社の案内とあわせて確認する」ことです。WordPress本体やプラグインの更新ボタンを押しても、この問題は解決しません。

名古屋市中川区でフリーランスのWebエンジニアをしている Will Give です。この記事は、情報が出た翌朝（2026年10月22日朝・日本時間）の時点で確認できた公的な情報だけを使って、「ITに詳しい担当者がいない中小企業が、今日何を確認すればいいか」を整理したものです。状況は変わる可能性があるため、末尾に出典を付けています。

結論：WordPressの更新ではなく、PHPのバージョンを確認する

今回のニュースで一番誤解されやすいのは、「WordPressを最新にすれば安心」という点です。WordPressの公式ニュースは、今回の脆弱性はWordPress固有のものではなくPHPを動かすすべてのサーバーに影響すると説明しており、WordPress本体の更新は不要で、予定もないとしています。

つまり、見るべき場所が違います。WordPressの管理画面で「更新」の通知が出ていなくても、サーバー側のPHPが古いままなら、問題は残ります。反対に、サーバー会社が自動でPHPを更新してくれる契約なら、利用者が何もしなくても済む場合があります。どちらなのかは契約先によって違うため、確認が必要になります。

この記事の流れは次のとおりです。まず何が起きたのかを短く整理し、次に今日確認することを3つに絞ります。そのあと、確認手順、誰が更新するのか、更新前後の注意点、古いPHPのまま動いているサイトの扱い、被害を疑うときの初動、自分でやるか頼むかの判断基準へ進みます。

何が起きたのか：2026年10月21日のPHPセキュリティリリース

PHPの開発プロジェクトは2026年10月20日（協定世界時）に、重大度の高い脆弱性2件を修正するセキュリティリリースを予告し、日本時間の10月21日23時に修正版を公開しました。2件はCVE-2026-109618（メモリ不足時の処理が原因でリモートコード実行につながる可能性）とCVE-2026-109619（古い内部状態が残ることが原因でリモートコード実行につながる可能性）で、どちらも共通脆弱性評価システムCVSS v4.0で9.2、最上位の「Critical」と評価されています。PHP公式の告知では、とくに「mod_php」という動かし方でリスクが最も高いとされ、認証なしのリクエストでも攻撃が成立することが実証されたと書かれています。一方、IPA（情報処理推進機構）は予告の時点（10月21日）で、この脆弱性を悪用した攻撃は確認していないと発表しています。

出典（いずれも一次情報です）：

• PHP公式 2026年のニュース一覧（10月20日の予告・10月21日のセキュリティアドバイザリ）
• WordPress公式ニュース「Critical PHP Security Release」
• IPA「PHPのセキュリティリリース公開予定に関する注意喚起」

今日確認すること3つ（所要10分）

難しい作業はありません。次の3つを、上から順に確認してください。

① 自分のサイトのPHPバージョンを確認する

WordPressの管理画面から確認できます。手順は次の節に書きました。見るのは「8.3.35のような細かい番号まで」です。大きな系列（8.3など）だけでなく、その後ろの数字まで控えておいてください。

② サーバー会社の案内を確認する

レンタルサーバーの管理画面やお知らせ、障害・メンテナンス情報のページに、今回の脆弱性への対応についての案内が出ているか確認します。共用サーバーでは、サーバー会社がPHPの更新を行う場合と、利用者が管理画面でPHPのバージョンを切り替える場合があります。どちらなのかは契約先で違うので、案内が見つからないときは問い合わせフォームで聞くのが確実です。

③ バックアップを今日の分として取っておく

更新の前後で何かあったときに戻せるよう、サイトのデータとデータベースのバックアップを取ります。サーバーの自動バックアップがある場合は、いつの分が残っているかだけでも確認してください。万一サイトが改ざんされた場合は、「改ざんされる前の時点」のバックアップでないと意味がありません。

PHPバージョンの確認方法（WordPress管理画面）

WordPressの公式ニュースが案内している手順です。管理者アカウントでログインして、次の順に進みます。

1. 左のメニューから「ツール」を開き、「サイトヘルス」を選びます。
2. 上のタブの「情報」を開きます。
3. 「サーバー」の項目を開くと、「PHPバージョン」が表示されます。

ここに「8.3.35」のように表示されます。表示された番号を、次の修正版の表と見比べてください。

注意点がひとつあります。LinuxなどのOSが用意しているPHPを使っているサーバーでは、バージョンの番号を上げずに修正だけを入れる運用がされる場合があります。その場合、表示が古い番号のままでも修正済みということがあり得ます。番号だけで判断がつかないときは、サーバー会社に「今回のCVE-2026-109618と109619への対応は済んでいますか」と聞くのが一番確実です。

修正版の一覧と、自分のサイトの当てはめ方

PHP公式が示した修正版は次のとおりです。自分のサイトの番号が、同じ系列の修正版より小さければ、更新が必要な状態です。

いま使っているPHP	修正版（PHP公式）	やること
8.5系	8.5.12	8.5.12以上になっているか確認
8.4系	8.4.27	8.4.27以上になっているか確認
8.3系	8.3.36	8.3.36以上になっているか確認
8.2系	8.2.35	8.2.35以上に。なお8.2は2026年12月31日でサポート終了予定のため、年内に新しい系列への移行も計画する
8.1以前（8.0、7.x など）	PHPプロジェクトからの公式な更新はありません	サーバー会社・OS提供元の対応を確認し、新しい系列への移行を急ぐ（詳しくは後述）

PHP公式の告知によると、PHP 7.4、8.0、8.1向けには最小限のソースバックポート（修正の移植）が提供されています。ただし、これは公式のリリースではないため、使えるかどうかはサーバー会社や提供元の対応次第です。自分でソースから入れ直すような作業は、中小企業の担当者の方がやるものではありません。

誰が更新するのか：契約の形ごとに整理する

PHPの更新は、サーバーの契約の形によって「誰の仕事か」が変わります。ここが曖昧なまま放置されるのが、いちばん危ないパターンです。

サーバーの形	PHPの更新は誰が	まず確認すること
共用レンタルサーバー	サーバー会社が行う場合と、利用者が管理画面で切り替える場合がある（契約先による）	サーバー会社のお知らせ。管理画面のPHPバージョン設定
VPS・クラウド（自分でサーバーを管理）	利用者（またはその委託先）	PHPのバージョン。8.2より前なら、新しい系列への更新が終わるまでの対応を早めに決める
制作会社が保守を請け負っている	契約内容による（PHPの更新が保守範囲に入っているか）	保守契約書の範囲。担当者に今回の件の対応予定を聞く
作った人と連絡が取れない・契約書がない	誰もやっていない可能性が高い	サーバーの契約名義とログイン情報が手元にあるか。なければ先にそこを整理する

3つ目と4つ目は、放っておくと「誰も見ていないまま古い状態で動き続ける」ことになりがちです。WordPressのサイトを作ったあと、サーバーの契約名義やログイン情報が手元に残っていないという相談は少なくありません。名義まわりの整理は、別の記事でも触れています。

PHPを更新する前後の準備と確認

修正が入ったPHPに切り替えるとき、同じ系列の中の小さな更新（たとえば8.3.35から8.3.36）であれば、多くの場合は大きな問題は起きにくいと考えられます。ただし、別の系列に上げる場合（たとえば7.4から8.3）は、古いテーマやプラグインが動かなくなることがあります。どちらにせよ、更新の前後で次の項目を確認しておくと安心です。

タイミング	確認すること	ポイント
更新前	サイト全体とデータベースのバックアップ	取った日時を控える。戻し方も確認しておく
更新前	使っているテーマとプラグインの一覧	何年も更新されていないものがないか。あれば、更新後に真っ先に動作確認する
更新前	問い合わせフォーム・予約・決済など、止まると困る機能	更新後に実際に操作して確認する項目として書き出す
更新直後	トップページ・主要ページの表示	スマホとパソコンの両方で。画面が真っ白になっていないか
更新直後	管理画面にログインできるか、投稿の保存ができるか	エラー表示があれば画面を保存しておく
更新直後	問い合わせフォームのテスト送信	自分宛てに送って、メールが届くまで確認する
更新から数日	サーバーのエラーログ、不審な動き	見方が分からなければ、サーバー会社か保守の担当者に任せる

更新したら画面が真っ白になった場合は、慌てて設定をいじらず、サーバー会社の管理画面でPHPのバージョンを一つ前に戻せるか確認してください。ただし、戻したあとは古いPHPのまま動くことになりますので、「戻して終わり」にはせず、原因（古いプラグインなど）を切り分けて、あらためて更新する計画を立てる必要があります。

古いPHP（8.1以前）のまま動いているサイトの場合

PHP 8.1以前は、PHPプロジェクトからの通常のセキュリティ更新が終わっています。今回の修正も公式には出ていません。WordPressの公式ニュースは、自分でサーバーを運用していて8.2より前のバージョンを使っている場合、新しいバージョンへの更新が終わるまでサーバーをオフラインにすることも検討するよう案内しており、複数の国のサイバーセキュリティ機関も同様の助言を出していると説明しています。

ただ、会社のホームページや予約の受付を止めるのは簡単な判断ではありません。現実的な選択肢は次の3つです。

• サーバー会社にPHPのバージョン切り替えの方法を確認し、新しい系列へ移す。テーマやプラグインが対応していなければ、その部分の修正を先に行う。
• どうしても移行に時間がかかる場合は、移行が終わるまでの間、サーバー会社やOS提供元が修正を提供しているかを確認する。
• サイトの公開を一時的に止める、またはメンテナンス表示に切り替えて、更新の準備ができるまでの間の被害を避ける。

PHP公式は、更新がすぐにできない場合の設定による緩和策も示していますが、これらは完全な対策ではなく、更新が唯一の完全な解決策だと明記しています。設定をいじって「対策した」と考えず、更新の予定を決めるまでの時間稼ぎとして考えてください。

被害を疑うときの初動（守る側の対応）

IPAが予告の時点で悪用を確認していないとしていても、公開された修正版をもとに攻撃が広がることは、これまでの脆弱性でも繰り返されてきました。次のような兆候があれば、被害を疑って動いたほうが安全です。

• 覚えのない管理者アカウントが増えている（WordPressの「ユーザー」一覧で確認）。
• 見覚えのないプラグインがインストールされている。
• サイトの表示が突然遅くなった、見知らぬ外部サイトへ飛ばされる。
• サーバー会社から、不審なアクセスや大量の通信についての連絡が来た。

疑わしい場合の初動は、順番が大事です。

1. サーバー会社に連絡し、状況を共有して指示を仰ぐ（ログの保全にも協力してもらえます）。
2. 管理画面とサーバーのパスワードを変更する。変更は、サーバー会社の案内に沿って、被害の範囲を確認しながら進める。
3. 改ざん前の時点のバックアップがあるか確認し、あれば復旧を検討する。
4. 復旧したあとに、PHPを修正版以降へ更新する（更新前に戻すと再び侵入されるおそれがあります）。

お客様の個人情報（問い合わせフォームの内容など）がサイトに残っている場合は、漏えいの可能性の確認も必要になることがあります。判断に迷う場合は、サーバー会社や専門の事業者に早めに相談してください。

自分でやるか、頼むか：判断基準と作業量の目安

確認だけなら、ご自身でできます。迷いやすいのは「更新してよいのか」「更新して動かなくなったらどうするのか」という点です。次の基準で考えてみてください。

• PHPのバージョンを確認でき、同じ系列内の更新だけで済む場合は、サーバー会社の案内に沿ってご自身で対応できることが多いです。
• 別の系列へ上げる必要がある場合、またはテーマ・プラグインが古い場合は、動作確認までを含めて専門家に頼んだほうが安全です。
• 問い合わせ・予約・決済など、止まると売上に直結する機能がある場合は、更新前に動作確認の計画を立てておくと安心です。

頼む場合の作業量の考え方も示しておきます。次の表は、私が見積もるときの考え方の目安です。実際は、サイトの状態（プラグインの数、カスタマイズの有無、サーバーの種類）によって変わります。

作業の内容	作業量の目安	費用の考え方（目安）
PHPバージョンとサーバー対応状況の確認・報告のみ	約1〜2時間	0.125〜0.25人日
同じ系列内の更新と、主要ページ・フォームの動作確認	約3〜6時間	0.4〜0.75人日
別の系列への移行（テーマ・プラグインの互換確認を含む）	約1〜3日（状態による）	1〜3人日＋互換性の修正が必要な場合は別途

費用の計算式は「人日 × 日額単価」です。フリーランスの日額単価は3万〜5万円程度が一つの目安ですので、たとえば0.5人日なら、1.5万〜2.5万円が考え方の目安になります（すべて目安で、サイトの状態を見たうえで見積もります）。保守契約を結んでいる場合は、この作業が契約の範囲に入っているかどうかを、まず契約書で確認してください。保守費用の相場そのものは、名古屋のホームページ保守費用の記事で整理しています。

フリーランスとして見てきたこと

私は大規模ECサイト開発のリーダーを経験し、いまは名古屋市中川区を拠点に、中小企業のWebサイト制作と集客支援をしています。ここでは、特定のお客様の話ではなく、「よくあるケース」として、この手のニュースが出たときに起きがちなことを書きます。

たとえば、ホームページを制作会社に作ってもらい、サーバーの契約も制作会社の名義のままになっているケースです。ニュースが出ても、事業者側の担当者は「業者がやってくれているはず」と考え、制作会社側は「保守契約の範囲外」と考えて、結果的に誰も確認しない、ということが起こり得ます。これは誰かが悪いというより、「PHPの更新は誰の仕事か」が最初に決まっていなかったことが原因です。

もう一つは、サイトが「動いているから大丈夫」と思われやすいことです。表示にも問い合わせの受付にも問題がないので、サーバーの中の古いPHPやプラグインに気づきにくいのです。ニュースの度に慌てるのは大変ですが、年に数回、管理画面のサイトヘルスを開いて「PHPのバージョン」「更新が止まっているプラグイン」「バックアップの日付」の3つを見るだけでも、状況はかなり変わります。ここまでは、ご自身でもできます。

ホームページ全体の費用や運用の考え方を知りたい方は、中川区のホームページ制作ガイドもあわせてどうぞ。放置のリスクを自己診断したい場合は、9項目の自己診断チェックが使えます。日頃のWordPressの点検項目は、WordPress保守の8項目チェックにまとめています。

よくある質問

Q. WordPressを最新にすれば、今回の問題は解決しますか？

いいえ、解決しません。WordPressの公式ニュースは、今回の脆弱性はPHPのもので、WordPress本体の更新は不要だと説明しています。確認するのは、サーバーで動いているPHPのバージョンです。

Q. 自分のサイトのPHPバージョンが分かりません。どこで見られますか？

WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で見られます。管理画面にログインできない場合は、サーバー会社の管理画面（PHPの設定のページ）か、サーバー会社への問い合わせで確認できます。

Q. PHPは自動で更新されますか？

契約先によって違います。サーバー会社が更新する場合と、利用者が管理画面で切り替える場合があります。サーバー会社のお知らせで、今回の脆弱性への対応が案内されているかを確認してください。

Q. 更新したらサイトが真っ白になりました。どうすればいいですか？

まず、サーバー会社の管理画面でPHPのバージョンを一つ前に戻せるか確認してください。そのうえで、古いテーマやプラグインが原因でないかを切り分け、あらためて更新する計画を立てます。戻したまま放置しないことが大切です。

Q. PHP 8.1以前のまま、しばらく使い続けても大丈夫ですか？

おすすめできません。PHP 8.1以前には、PHPプロジェクトからの公式な修正が出ていません。サーバー会社やOS提供元の対応を確認し、新しい系列への移行の予定を早めに決めてください。

まとめ：今日やることと、これから決めておくこと

今日の作業は、3つに絞られます。管理画面のサイトヘルスでPHPのバージョンを確認する、サーバー会社の案内を確認する、バックアップの日付を確認する。この3つです。そのうえで、PHPの更新が「誰の仕事か」を決めておくと、次に同じようなニュースが出たときに慌てずに済みます。

名古屋市中川区を拠点に、PHPのバージョン確認から、更新後の動作確認、保守の範囲の整理までお手伝いしています。「自分のサイトが対象か分からない」という段階でも構いません。お問い合わせフォームからご相談ください。

---

この記事を書いた人：Will Give 代表／名古屋市中川区のフリーランスWebエンジニア。大規模ECサイト開発のリーダー経験、マーケター視点での集客支援
公開日：2026年10月22日　最終更新日：2026年10月22日（情報は2026年10月22日朝・日本時間の時点のものです）