2026年10月21日、PHPの実行環境に関する重大な脆弱性2件が公表され、修正版が公開されました。WordPressをはじめ、PHPを利用するWebサイトや業務システムの管理者は、利用中のPHPバージョンと更新状況を早急に確認してください。
何が起きたのか
対象はCVE-2026-109618とCVE-2026-109619です。いずれも、条件がそろうと認証していない第三者がサーバー上で任意のコードを実行できるおそれがあります。PHP本体の問題であり、WordPressのプラグインだけを更新しても対策完了にはなりません。
JPCERT/CCも2026年10月22日付で注意喚起を公表し、速やかな対策適用と侵害有無の調査を呼びかけています。
修正済みPHPバージョン
| PHP系列 | 修正済みバージョン |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
上記はPHP公式プロジェクトが2026年10月21日に公開した修正版です。PHP 8.1以前は公式サポートが終了しており、通常の公式セキュリティ更新は提供されません。ホスティング事業者独自のバックポートがある場合もありますが、原則としてサポート中の系列への移行を検討してください。
WordPressサイトにも影響する？
WordPressはPHPで動作するため、サーバーで稼働するPHPが影響対象であればリスクがあります。ただし「WordPressを使っている＝侵害された」という意味ではありません。実際の影響はPHPのバージョン、実行方式、サーバーの更新状況などによって異なります。
レンタルサーバーを利用している場合は、WordPress管理画面だけでなく、サーバー管理画面や事業者のセキュリティ告知も確認してください。マネージド環境では事業者側が修正版を適用している場合があります。
企業のWeb担当者が今すぐ確認する5項目
- 対象システムを洗い出す：公開Webサイト、WordPress、社内Webアプリ、検証環境を含めてPHP利用箇所を把握します。
- 稼働バージョンを確認する：WordPressの「ツール → サイトヘルス → 情報 → サーバー」やホスティング管理画面で確認します。
- 修正版を適用する：事前バックアップと互換性確認を行い、修正済みバージョンへ更新します。更新できない場合は公開範囲の制限などを検討し、提供事業者に相談してください。
- 不審な兆候を調査する：Webサーバーログ、WAFログ、管理者アカウント、未知のファイル、予期しない外部通信などを確認します。侵害が疑われる場合はログを保全し、専門家に相談します。
- 更新後に動作確認する：問い合わせフォーム、ログイン、決済、API連携、画像表示など主要機能を確認します。
注意：WAFだけでは更新の代わりにならない
アクセス制限やWAFは追加の防御として有効な場合がありますが、PHP公式は完全な回避策はないとして修正版への更新を推奨しています。WordPress本体・テーマ・プラグインの更新も引き続き必要ですが、今回のPHP本体の修正とは別に管理しましょう。
DX推進で見落としやすい「運用」の課題
企業のDXでは新しいツールの導入に注目が集まりがちですが、実際には「誰が稼働環境を把握し、脆弱性情報を受け取り、更新を判断し、動作確認するか」という運用体制も重要です。担当者や委託先が曖昧なままだと、重大な更新が後回しになる可能性があります。
まずはシステム台帳に、サービス名・PHPバージョン・保守担当・更新期限・バックアップ方法を記録し、定期点検につなげましょう。
参考情報（一次情報）
本記事は2026年10月23日時点の公開情報に基づきます。実際の対応は利用環境とホスティング事業者の案内を確認してください。