2026年10月21日、Webサイトの多くで使われているプログラミング言語「PHP」に、緊急レベルの脆弱性（セキュリティ上の弱点）と、それを修正したバージョンが公開されました。WordPressもPHPで動いているため、WordPressで作ったホームページの多くが対象になります。
国内でも、大手のWebサービスや企業のサイトが一時停止し、レンタルサーバー各社も緊急メンテナンスを行いました。Cruwでも、保守管理しているサイトを、基本的に10月21日の20時にメンテナンス画面に切り替え、対応ができたサイトから順に公開を再開しています。
この記事では、WordPressのサイトを持つ会社の方に向けて、今すぐ確認してほしいことをまとめました（2026年10月22日時点の情報です）。
結論：PHPを修正版に更新するまで、サイトは危険な状態です
今回の脆弱性は、PHPを修正版に更新することでしか完全には防げません。修正版は次のとおりです。
| 使っているPHPのバージョン | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 7.4・8.0・8.1 | サポートは終了しているが、今回は特例として、公式の修正パッチが公開されている（サーバー会社の対応を確認） |
| PHP 7.3以前 | 修正の提供なし（新しいバージョンへの移行が必要） |
まずは、サーバー会社のお知らせと、サイトで使っているPHPのバージョンを確認しましょう。ご自身で判断が難しい場合は、ホームページを作った制作会社や、保守を任せている会社に、対応状況を問い合わせてください。
何が起きたのか：認証なしで遠隔からプログラムを実行されるおそれ
PHPの開発元によると、今回の脆弱性は2件で、どちらもログインなどの認証なしに、外部から任意のプログラムを実行されるおそれがある（リモートコード実行）という、深刻なものです。海外では「PHP2Shell（php2shell）」という通称でも呼ばれています。
| 項目 | 内容 |
|---|---|
| 公開日 | 2026年10月21日 |
| 対象 | Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi など） |
| 特に危険な環境 | Apacheのmod_php。アプリケーションのプログラムが動く前に、攻撃を引き起こせることが確認されている |
| 脆弱性の番号 | CVE-2026-109618、CVE-2026-109619 |
| 深刻度 | CVSS v4.0 で 9.2（0〜10の点数で、9.0以上は最も高い区分の「緊急」） |
| 対策 | 修正版への更新。開発元は「すべてのPHPユーザーは直ちに更新を」と呼びかけ |
プログラムを実行されると、ホームページの書き換えや、お問い合わせフォームに送られた情報の流出などにつながるおそれがあります。WordPressのプラグインやテーマの問題ではなく、その土台であるPHPの問題なので、WordPressやプラグインを最新にしても、この脆弱性は防げません。
報道によると、国内では、予防のためにサービスを一時停止する企業が相次ぎ、さくらインターネット、XServer、GMOペパボなどのレンタルサーバー各社も緊急メンテナンスを行っています。
WordPressのサイトを持つ会社が確認すること
1. サーバー会社のお知らせを確認する
レンタルサーバーを使っている場合は、まずサーバー会社のお知らせを確認しましょう。PHPの更新がいつ、どのように行われるか、利用者側で必要な作業があるかが案内されていることが多いです。
管理画面にログインして、お知らせの欄や、登録しているメールアドレスに届いている連絡も確認してください。
2. サイトで使っているPHPのバージョンを確認する
WordPressの場合、管理画面から確認できます。
- WordPressの管理画面にログインする
- 「ツール」→「サイトヘルス」を開く
- 「情報」タブの「サーバー」を開き、「PHP バージョン」を確認する
レンタルサーバーの管理画面の「PHPのバージョン設定」などからも確認できます。
3. PHP 8.1以前なら、修正の有無を確認し、新しいバージョンへの移行も計画する
PHP 7.4・8.0・8.1は、すでにサポートが終わったバージョンですが、今回は特例として、PHPの開発元から修正パッチが公開されています。ただし、通常の新しいバージョンとしてではなく、修正パッチ（プログラムの元となるソース）での提供のため、サーバー会社や配布元が取り込んで提供する形になります。お使いのサーバー会社のお知らせで、修正が当たっているかを確認しましょう。
PHP 7.3以前には、修正は提供されていません。セキュリティ企業のTenableによると、今回の問題のあるプログラムは、PHP 5.4のころから含まれていたとされています。PHP 7.3以前のサイトは、新しいバージョンへの移行を急ぐ必要があります。
また、サポートが終わったバージョンでは、今後また別の脆弱性が見つかっても、修正が出るとは限りません。今回修正が出たPHP 7.4・8.0・8.1も、新しいバージョンへの移行を計画しておきましょう。
移行するときは、古いテーマやプラグインが、新しいPHPで動かないことがある点に注意が必要です。いきなり本番のサイトで切り替えず、テスト用の環境で表示や問い合わせフォームの動作を確認してから切り替えるのが安全です。
なお、PHP 8.2も2026年12月31日でサポートが終わり、それ以降はセキュリティの修正が提供されなくなります。今回の対応とあわせて、PHP 8.3以降への移行も計画しておきましょう。
4. 自社でサーバーを管理している場合は、すぐにPHPを更新する
VPS（仮想専用サーバー）などで、自社でサーバーを管理している場合は、OSのパッケージを更新してPHPを修正版にし、PHP-FPMやApacheを再起動します。
なお、Linuxのディストリビューション（UbuntuやAlmaLinuxなど）のPHPは、バージョン番号が8.3.36などと同じにならず、配布元が独自に修正を当てていることがあります。番号だけで判断せず、配布元のセキュリティ情報で、今回の脆弱性（CVE番号）が修正済みかを確認しましょう。
PHPの開発元は、すぐに更新できない場合の一時的な設定変更も案内しています。ただし、「一部の攻撃経路を減らすだけで、安全にはならない」「更新だけが完全な解決策」とされています。設定変更で済ませず、更新を優先しましょう。
5. 制作会社・保守会社に対応状況を確認する
サーバーの管理を制作会社や保守会社に任せている場合は、対応状況を確認しましょう。「どのサーバーで、PHPのバージョンはいくつか」「更新は済んでいるか」を聞いておくと、今後の判断にも役立ちます。
Cruwが保守管理しているサイトで行った対応
Cruwでは、保守管理しているお客様のサイトについて、次のように対応しています。
- 10月21日の20時に、保守管理しているサイトを基本的にメンテナンス画面に切り替えました
- サイトごとに、脆弱性への対応を進めています
- 対応ができたサイトから、順に公開を再開しています（10月22日時点で進行中）
今回の脆弱性は、認証なしで、外部からプログラムを実行されるおそれがあるものです。対応が終わるまでの間にサイトが書き換えられたり、お問い合わせの情報が流出したりするリスクを考え、一時的にサイトを止める判断をしました。
メンテナンス画面の間は、ホームページを見られず、お問い合わせもいただけなくなります。それでも、改ざんや情報流出が起きた場合は、復旧や関係者への連絡に、より長い時間と費用がかかります。「一時的に止めてでも、確実に直してから再開する」ことを優先しました。
お客様には、ご不便をおかけしております。順次公開を再開していますので、もうしばらくお待ちください。
よくある質問
WordPressやプラグインを最新にすれば大丈夫ですか？
いいえ。今回の脆弱性は、WordPressではなく、サーバーで動いているPHPの問題です。WordPressやプラグインを最新にしても防げないため、PHPの更新が必要です。WordPressやプラグインの更新は、それとは別に、日ごろから続けておきましょう。
レンタルサーバーなら、何もしなくていいですか？
サーバー会社がPHPを更新してくれる場合も多いですが、利用者がPHPのバージョンを選ぶしくみのサーバーでは、古いバージョンには修正が提供されない場合があります。サーバー会社のお知らせと、サイトのPHPのバージョンを必ず確認しましょう。
自分のサイトが攻撃されたかどうかは、どうすればわかりますか？
見た目では気づけないこともあります。見覚えのないページやファイル、管理者アカウントが増えていないか、サイトの表示がおかしくないかを確認し、不安な場合は制作会社や保守会社に調査を依頼しましょう。
まとめ
- 2026年10月21日に、PHPの緊急レベルの脆弱性が公開されました。WordPressのサイトの多くが対象で、修正版（8.5.12、8.4.27、8.3.36、8.2.35）への更新が唯一の確実な対策です
- まずは、サーバー会社のお知らせと、サイトのPHPのバージョンを確認しましょう。サポートが終わったPHP 7.4・8.0・8.1にも、今回は特例で修正パッチが出ていますが、PHP 7.3以前には修正がなく、移行を急ぐ必要があります
- Cruwでは、保守管理しているサイトを基本的にメンテナンス画面に切り替え、対応ができたサイトから順に公開を再開しています
「自社のサイトのPHPのバージョンがわからない」「サーバーの更新や、PHPのバージョンの移行を相談したい」という方は、Cruwまでご相談ください。ホームページ制作・保守のご相談は、お問い合わせからお気軽にどうぞ。
参照元：
- ITmedia NEWS『PHPの「緊急」レベルの脆弱性、開発元が修正バージョン公開 「直ちにアップデートを」』https://www.itmedia.co.jp/news/article/2610/22/2000002480/
- PHP公式サイト『Security advisory: Critical remote code execution vulnerabilities, update now』https://www.php.net/archive/2026.php#2026-10-21-5
- GitHub セキュリティアドバイザリ（CVE-2026-109618）https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- GitHub セキュリティアドバイザリ（CVE-2026-109619）https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- Tenable『php2shell (CVE-2026-109618, CVE-2026-109619): Frequently asked questions about critical PHP remote code execution vulnerabilities』https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
