2026年10月、PHP公式から認証なしでリモートコード実行につながる可能性がある2件の重大な脆弱性が公表されました。
PHPはWordPressを動かすためにも使われているため、「自分のサイトも危ないのでは？」と不安になった人もいると思います。
結論からいうと、WordPressを使っている人も、まず自分のサイトが利用しているPHPバージョンと、契約中のサーバー会社の対応状況を確認した方がよい状況です。
PHP公式は2026年10月21日に、修正版としてPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、利用者へ速やかな更新を呼びかけています。
さらに10月23日には、特定条件下の追加リスクについても補足情報が出ています。
2026年10月にPHPで何が起きたのか、どのバージョンへ更新すればよいのか、WordPressで現在のPHPバージョンを確認する方法、レンタルサーバー利用者が安全に対応するための考え方を解説します。
2026年10月にPHPで何が起きた？
PHPのセキュリティチームは2026年10月20日、翌21日に重大なセキュリティリリースを予定していると事前告知しました。
その時点で、対象となる2件の脆弱性はいずれもCVSS v4.0で9.2と案内されていました。
そして10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されました。
PHP公式は、今回の2件について認証されていない外部からのリクエストによってリモートコード実行につながる可能性があると説明しています。
対象となった脆弱性は次の2件です。
| 脆弱性 | 概要 |
|---|---|
| CVE-2026-109618 | メモリ不足時の処理をきっかけに内部状態が壊れ、リモートコード実行につながる可能性がある問題 |
| CVE-2026-109619 | 解放済みの内部状態が後続リクエストで使われることで、リモートコード実行につながる可能性がある問題 |
細かな仕組みまで理解する必要はありません。
サイト運営者として重要なのは、PHP本体側の問題であり、PHP公式が「更新が安全な選択」と明確に案内していることです。
「自分のWordPressには怪しいプラグインを入れていないから大丈夫」とは言い切れません。今回の問題はWordPressプラグイン単体の脆弱性ではなく、Webリクエストを処理するPHP側の問題です。
どのPHPバージョンへ更新すればいい？
2026年10月21日に公開された修正版は、利用しているPHP系列によって異なります。
| 利用中の系列 | 今回の修正版 | 対応の考え方 |
|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5系を使っている場合は8.5.12以降へ |
| PHP 8.4 | 8.4.27 | 8.4系を使っている場合は8.4.27以降へ |
| PHP 8.3 | 8.3.36 | 8.3系を使っている場合は8.3.36以降へ |
| PHP 8.2 | 8.2.35 | 8.2系を使っている場合は8.2.35以降へ。あわせて将来の系列更新も検討 |
| PHP 8.1以前 | PHP公式から通常の更新なし | サーバー会社のバックポート対応を確認するか、サポート中の系列へ移行 |
PHP公式によると、2026年10月時点でサポート対象となっているのはPHP 8.2、8.3、8.4、8.5です。
ただしPHP 8.2は2026年12月31日でセキュリティサポート終了予定なので、8.2を使っている場合は今回の修正版へ更新するだけでなく、8.3以降への移行も計画しておく方がよいでしょう。
WordPress.orgは現在、WordPressを動かす環境としてPHP 8.3以上を推奨しています。
そのためWordPressサイトなら、互換性に問題がないことを確認したうえで、PHP 8.3以上のサポート中バージョンを使うのが基本的な考え方になります。
WordPressで現在のPHPバージョンを確認する方法
WordPressを利用している場合は、管理画面の「サイトヘルス」から現在のPHPバージョンを確認できます。
- WordPressの管理画面へログインします。
- ツールを開きます。
- サイトヘルスを選びます。
- 情報タブを開きます。
- サーバーの項目を展開します。
- PHP バージョンを確認します。
たとえば「8.3.35」と表示されているなら、今回の修正版である8.3.36より前のバージョンです。
ただし共用レンタルサーバーでは独自にセキュリティ修正をバックポートしている場合もあるため、最終的には契約中のサーバー会社の案内も確認してください。
レンタルサーバー利用者が最初にやること
WordPressをレンタルサーバーで運営している場合、自分でPHPそのものをインストールしているケースは多くありません。
サーバー会社側がPHPの更新を行い、利用者は管理画面からPHPの系列を選ぶ形が一般的です。
そのため、今回の問題を知ったからといって、いきなりPHP設定ファイルを書き換える必要はありません。
次の順番で確認するのが安全です。
- 契約中のサーバー会社のお知らせを確認する
- 現在のPHPバージョンを確認する
- 今回の修正版が適用済みか確認する
- 必要ならサイトとデータベースのバックアップを取る
- サーバー会社が用意した方法でPHPを更新する
- 更新後にサイト表示と管理画面を確認する
「PHP公式の情報」だけでなく、「自分が契約しているレンタルサーバーの障害・メンテナンス・セキュリティ情報」を確認するのが重要です。サーバー側ですでに修正が適用されている可能性もあります。
PHPを更新する前にバックアップと互換性を確認する
今回の脆弱性は早めの対応が必要ですが、WordPress利用者がPHPの系列を大きく変更すると、テーマやプラグインとの互換性で問題が起きる場合があります。
たとえばPHP 8.2から8.4へ変更する場合は、単なるセキュリティパッチ適用より影響範囲が大きくなります。
そのため、可能であれば次を確認してから変更します。
- WordPress本体が最新の安定版になっているか
- テーマとプラグインが更新されているか
- 使用中のテーマ・プラグインが変更先のPHPに対応しているか
- サイトファイルとデータベースのバックアップがあるか
- 可能ならステージング環境で事前確認できるか
PHP更新後に不具合が出た場合でも、セキュリティ問題が残る旧バージョンへそのまま戻して放置するのは避けましょう。原因となるテーマやプラグインを確認し、必要ならサーバー会社や制作者へ相談してください。
10月23日に追加されたPHP公式の注意情報とは？
今回の件では、10月21日の修正版公開後もPHP公式から追加情報が出ています。
2026年10月23日、PHP公式はSession upload progressに関する補足を公開しました。
特定の珍しい設定とアプリケーションコードの組み合わせで発生する可能性がある追加のリモートコード実行経路について、次回の通常バグ修正版が出るまでの間、サーバー管理者向けに
session.upload_progress.enabled=0
を推奨しています。
共用レンタルサーバーではPHP設定やワーカー再起動をサーバー会社が管理しています。ネット上の対策をそのままコピーするのではなく、まずサーバー会社の公式対応を確認してください。VPSや専用サーバーを自分で管理している場合は、PHP公式の最新アドバイザリに従って対応します。
「WordPressが普通に表示されているから大丈夫」ではない
今回のようなセキュリティ問題では、サイトが正常に表示されていることと、安全な状態であることは別です。
逆に、今回の情報を見ただけで「自分のサイトはすでに攻撃された」と考える必要もありません。
まずは現在のPHPバージョンとサーバー会社の対応状況を確認することが先です。
PHP 8.6へ上げれば安全？
2026年10月時点ではPHP 8.6はまだ正式リリース前のRelease Candidate段階です。
10月21日に公開されたPHP 8.6 RC4にも今回の重大脆弱性の修正は含まれていますが、PHP公式は本番環境で使わないよう案内しています。
そのため、「最新だから」という理由だけでWordPressの本番サイトをPHP 8.6 RCへ変更するのはおすすめできません。
PHP 8.1以前を使っている場合はどうする？
PHP公式は、PHP 8.1以前について通常のセキュリティ更新を提供していません。
レンタルサーバーやLinuxディストリビューションによっては、独自にセキュリティ修正をバックポートしている場合があります。
- サーバー会社やOSベンダーが今回の修正を提供しているか
- PHP 8.3以降など、サポート中の系列へ移行できるか
今回のPHP問題でWordPress利用者がやることを整理
| 順番 | 確認すること |
|---|---|
| 1 | WordPressのサイトヘルスでPHPバージョンを確認 |
| 2 | レンタルサーバーの公式お知らせを確認 |
| 3 | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35以降が適用されているか確認 |
| 4 | 必要ならバックアップを取る |
| 5 | サーバー会社の手順でPHPを更新 |
| 6 | トップページ、記事、管理画面、問い合わせフォームなどを確認 |
PHPの重大脆弱性についてよくある質問
WordPressを使っているだけでも関係ありますか？
はい。WordPressはPHPで動作するため、WordPressサイトでも利用中のPHP環境を確認する必要があります。
PHP 8.3なら安全ですか？
「8.3」という系列名だけでは判断できません。今回の修正版はPHP 8.3.36です。
PHP 8.2.35にすればそのまま使い続けていい？
今回の修正版はPHP 8.2.35ですが、PHP 8.2は2026年12月31日にPHP公式のセキュリティサポート終了予定です。
PHPを更新するとWordPressが壊れることはありますか？
PHPの系列を大きく変更した場合、古いテーマやプラグインが対応しておらず不具合が出る可能性があります。
PHP 8.6 RC4へ変更した方がいいですか？
本番サイトではおすすめしません。PHP公式も本番環境で使わないよう案内しています。
サーバー会社から何も案内がない場合は？
サポート窓口へ「CVE-2026-109618とCVE-2026-109619への対応状況」を問い合わせると確認しやすいでしょう。
まとめ
- 修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35
- PHP公式は速やかな更新を推奨している
- WordPressではサイトヘルスからPHPバージョンを確認できる
- WordPress.orgは現在PHP 8.3以上を推奨している
- PHP 8.2は2026年12月31日にセキュリティサポート終了予定
- 共用レンタルサーバーでは、まずサーバー会社の公式対応を確認する
- 10月23日にはSession upload progressについて追加の注意情報も出ている
- PHP 8.6 RCは本番サイトへ導入しない