公開日：2026年10月21日
情報確認：2026年10月21日午後・修正版公開前（日本時間）
本記事は修正版公開前の情報に基づきます。PHP公式は10月21日23時（日本時間）に修正版を公開予定としています。影響するバージョンや修正版番号は、公開後の公式発表とご利用のサーバー会社の案内を確認してください。
PHPのセキュリティチームが、深刻度「緊急」に相当する2件の脆弱性を修正するアップデートを予告しました。
PHPはWordPressを動かす基盤です。WordPressで企業サイトやブログを運営している方も、サーバー側の対応状況を確認する必要があります。
まず行いたいのは、使用中のPHPバージョンの確認、バックアップ、そしてサーバー会社の告知の確認です。修正版が提供されたら、速やかに適用できるよう準備しましょう。
PHPで何が見つかったのか
今回の識別番号は、次の2件です。
- CVE-2026-109618
- CVE-2026-109619
PHP公式によると、2件ともCVSS v4.0の評価値は9.2です。詳細、影響するバージョン、修正版番号は、セキュリティリリースとともに公表される予定です。[1]
CERT-EUは、認証なしのリモートコード実行につながる可能性を指摘しています。[2]
リモートコード実行とは、攻撃者が外部からサーバー上でプログラムを実行できてしまうことです。成立した場合には、サイト改ざんや情報の窃取などにつながるおそれがあります。ただし、今回の具体的な攻撃条件は、正式な技術情報を待って判断する必要があります。
修正版は10月21日23時に公開予定
PHP公式が予告した公開予定は、2026年10月21日14時UTC、日本時間では同日23時です。
公式は、情報の公開や実際の悪用を示す証拠が確認された場合には、予定を前倒しする可能性も示しています。修正版が出たら更新できるよう、今のうちに準備するよう呼びかけています。[1]
「23時まで対応を考えなくてよい」という意味ではありません。管理しているサイトと担当者、更新方法を先に確認しておきましょう。
どのPHPバージョンに対応が必要？
影響範囲と修正版番号は、まだ正式発表前
本記事の確認時点では、PHP公式による正確な対象バージョンの一覧と修正版番号は未公表です。
CERT-EUは外部情報を基に「PHP 5以降の全バージョンに影響する可能性」を示していますが、確定した対象一覧とは区別する必要があります。[2]
「PHP 8系だから安全」「最近更新したから対策済み」とは、現時点では判断できません。
サポート中の系列でも今回の修正適用を確認する
2026年10月21日時点の、PHP公式のサポート状況は次のとおりです。[3]
| PHPの系列 | 公式のセキュリティサポート期限 | 対応方針 |
|---|---|---|
| PHP 8.2 | 2026年12月31日 | 今回の修正版を確認。サポート終了に備え移行も計画 |
| PHP 8.3 | 2027年12月31日 | 今回の修正版とサーバー側の適用状況を確認 |
| PHP 8.4 | 2028年12月31日 | 今回の修正版とサーバー側の適用状況を確認 |
| PHP 8.5 | 2029年12月31日 | 今回の修正版とサーバー側の適用状況を確認 |
| PHP 8.1以前 | 公式サポート終了 | 影響確認とともに、サポート中の系列への移行を優先 |
この表は、今回の脆弱性の確定した影響一覧ではありません。サポート状況と準備の目安です。
また、サーバー会社やOSの提供元が、バージョン表示を大きく変えずに修正を取り込む場合もあります。表示番号だけで判断せず、「今回の2件への修正が適用されているか」を提供元に確認してください。
WordPress運営者が今行うこと
1. 使用中のPHPバージョンを確認する
WordPress管理画面で、次の順に確認できます。
- 「ツール」を開く
- 「サイトヘルス」を開く
- 「情報」タブを選択する
- 「サーバー」内の「PHPバージョン」を確認する
レンタルサーバーの管理画面でも確認できます。複数サイトを管理している場合は、ドメインごとに設定が異なることがあるため、それぞれ確認しましょう。
2. ファイルとデータベースをバックアップする
更新に備えて、サイトのファイルとデータベースを保存します。取得日時と復元方法も確認しておくと、障害時の対応が進めやすくなります。
バックアップは復旧のための備えです。脆弱性そのものを解消するものではないため、修正適用も必要です。
3. サーバー会社の対応状況を確認する
共有レンタルサーバーでは、PHP本体の修正は通常サーバー会社が管理します。次の点を確認してください。
- 今回の2件について告知が出ているか
- 利用中のPHP系列も修正対象に含まれるか
- 自動適用か、利用者による設定変更が必要か
- 対応予定と完了が確認できるか
問い合わせる際は「CVE-2026-109618とCVE-2026-109619への対応状況を確認したい」と伝えると、確認対象が明確になります。
VPSやクラウドなどでPHPを自分で管理している場合は、管理担当者が提供元の修正版を適用し、必要なサービス再起動などを行います。
4. 修正適用後は、主要な動作を確認する
更新後は、トップページだけでなく、業務に必要な機能を確認しましょう。
- 管理画面へのログイン
- 記事の編集・保存
- 問い合わせフォームの送信とメール受信
- ACFなどのカスタムフィールドの編集・保存
- 予約・購入・会員ログインなど、サイト固有の機能
PHPの系列を変更する場合には、テーマやプラグインの互換性にも注意が必要です。現在の系列に今回の修正版が提供される場合は、その修正適用と、将来の系列移行を分けて計画できます。
Xserver利用者も「今回の対応」を確認しよう
Xserverなどのレンタルサーバーでは、公式のお知らせやメンテナンス情報を確認しましょう。
過去のPHPアップデート告知があることだけで、今回の脆弱性への対応完了とは判断できません。確認するのは、今回の識別番号に対する対応状況と、自分が利用しているPHP系列への適用状況です。
サーバー会社が修正を自動適用する場合でも、利用者側で別のPHP系列への切り替えが必要な場合があるため、案内の「利用者の作業」を確認してください。
WordPressやWordfenceの更新だけで解決する？
WordPress本体、テーマ、プラグイン、PHPは、それぞれ更新の対象が異なります。
WordPressやWordfenceを最新版にしても、通常それだけでサーバーのPHP本体が更新されるわけではありません。
Wordfenceなどのセキュリティ対策は継続しつつ、今回についてはPHPの修正適用を確認する必要があります。WAFやセキュリティプラグインだけで防げると判断することも避けましょう。
修正をすぐ適用できない場合は？
CERT-EUは、直ちに修正できない場合、修正が適用できるまでインターネットに公開しているアプリケーションを外部ネットワークから隔離することも検討するよう勧告しています。[2]
業務への影響を踏まえ、管理担当者やサーバー会社と、アクセス制限や一時停止の必要性を相談してください。
WordPressのメンテナンス画面を表示するだけでは、PHPへのアクセス自体を遮断できるとは限りません。必要な制限は、サーバーやネットワークの段階で検討します。
まずは確認し、修正版の適用につなげる
今回の注意点は、影響範囲の正式発表を待つ間も、更新の準備を進めておくことです。
使用中のPHPバージョン、バックアップ、サーバー会社の告知を確認し、修正版が提供されたら速やかに適用できる状態にしておきましょう。
制作会社や保守担当者に管理を依頼している場合は、「今回のPHPの脆弱性について、利用環境への影響と対応予定を確認したい」と連絡してください。
参考情報
- PHP公式：Upcoming Critical PHP Security Release
- CERT-EU：Critical Vulnerabilities in PHP
- PHP公式：Supported Versions
