【2026年10月】PHPに重大な脆弱性が発覚｜WordPressへの影響と対処法

PHPの開発チームは10月20日付で、PHPの重大な脆弱性2件に対応する修正版の公開を予告し、10月21日に修正版を公開しました。修正版の公開前に技術情報が流出し、海外では悪用の試みも報じられているため、WordPressなどPHPで動くホームページは早めの対応が必要です。

※公開日：2026年10月21日／情報の最終確認：2026年10月21日22時44分（PHP公式の修正版公開を確認済み）

今回のPHP脆弱性で押さえておきたいポイント

• PHP本体に、危険度（CVSS v4.0）9.2の重大な脆弱性が2件見つかった
• PHP公式によると、いずれもログインなしで外部から不正なプログラムを実行されるおそれがある
• 修正版の公開前に技術情報が流出し、「php2shell」と呼ばれるこの脆弱性を悪用するための検証コードも出回った
• 修正版はPHP 8.5.12・8.4.27・8.3.36・8.2.35として10月21日に公開済み
• WordPressやプラグインの更新では直らず、サーバー側のPHPを修正版にする必要がある

日本の情報セキュリティ専門機関であるIPA（情報処理推進機構）も、修正版の速やかな適用に向けた準備を呼びかけていました。

PHPとは？WordPressを動かしているプログラミング言語

PHPは、ホームページやインターネットサービスを動かすためのプログラミング言語です。WordPressで作られたホームページでは、記事の表示やお問い合わせフォームの送信など、裏側の多くの処理をPHPが担っています。

Web技術の調査会社W3Techsによると、2026年10月20日時点で、サーバー側の言語が判明しているWebサイトの約69.3％がPHPを利用しています。今回の脆弱性も幅広い環境に関わりますが、実際の影響はPHPのバージョンやサーバーの構成によって異なります。

今回の脆弱性はどのくらい危険なのか

PHP公式のセキュリティ情報では、CVE-2026-109618とCVE-2026-109619の2件について、いずれも「認証不要のリモートコード実行」、つまりログインなしで外部からプログラムを実行される脆弱性としています。危険度の評価は2件とも10点満点中9.2で、最も深刻な「Critical（緊急）」の区分です。

対象は、Webのアクセスを処理するPHP環境全般です。PHP公式は、Apacheに組み込むタイプ（mod_php）のリスクが特に高く、アプリケーションのコードが動く前に攻撃が成立することも実証されているとしています。

なお、プログラムを実行されることと、サーバー全体の管理者権限まで奪われることは同じではありません。悪用された場合に考えられるのは、次のような被害です。

• ホームページの文章や画像を勝手に書き換えられる
• お問い合わせ内容などの情報を盗み取られる
• 悪意のあるプログラムを設置される
• 訪問者を不正なサイトへ転送される

いずれも想定される被害で、どのサイトでも一律に攻撃が成功するわけではありません。攻撃の状況は、後半の「自分のホームページはすでに乗っ取られている？」で整理しています。

10月20日から21日にかけて何が起きたのか

重大な脆弱性は、ふつう修正版と詳細情報を同じタイミングで公開し、対策できるようになる前に悪用される危険を抑えます。今回はその順番が崩れ、次のように進みました。

1. 本来は伏せられていた技術情報が流出し、調査していたセキュリティ企業watchTowrが情報は本物と認める
2. PHP開発チームが10月20日付（PHP公式の表記）で、修正版を10月21日23時（日本時間）に公開すると予告
3. 10月21日、悪用できると主張する検証コードが公開され始め、海外では悪用の試みも報じられる
4. 10月21日、PHP公式が修正版を公開（日本時間22時44分に公開を確認。予定の23時より前）

米セキュリティ企業Huntressのまとめによると、watchTowrは2件のうち1件（CVE-2026-109618）の再現に成功したとしています。一方、日本のGMO Flatt Securityが10月21日14時の追記で報告した一般公開のコードについては、すべての有効性が確認されたわけではありません。

「php2shell（PHP2Shell）」は、研究者のあいだで使われているこの脆弱性2件の通称です。SNSでは「CVSS 10.0」という数字も見かけますが、PHP公式の評価は2件とも9.2です。

修正版が公開されたPHPのバージョン

PHP公式が10月21日に公開した修正版は、次の4つです。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

番号は同じ系列どうしで比べます。たとえばPHP 8.4を使っているなら8.4.27以降、8.3なら8.3.36以降が公式の修正版です。修正版が公開されても、各サイトのサーバーに適用されるまでは脆弱なままです。

PHP 8.1以前の扱い

ただし今回は例外的に、PHP 7.4・8.0・8.1向けに最小限の修正パッチ（ソースコード）が公開されました。これは自分でPHPをビルドする人などに向けたもので、レンタルサーバーの利用者がそのまま使うものではありません。

PHP公式は、OSの提供元やサーバー会社が独自に修正済みのパッケージを提供している場合があるとして、提供元に確認するよう案内しています。なお、PHP 8.2も2026年12月31日で公式サポートが終わる予定です。

国内でもサービスを一時停止する動き

国内でも、被害を防ぐための予防措置として、サービスや一部の機能を止める企業が出ています。

• コドモンが全サービスを一時停止
• さくらインターネットのサービスでも停止やメンテナンス
• ゲームやECサービスでも緊急メンテナンス

コドモンが全サービスを一時停止

同社のお知らせでは、コドモンで利用しているPHPに脆弱性の報告が入る予定で、攻撃対象になりかねない状況のため停止すると説明しています。同日の続報では、10月22日早朝の再開を見込み、今回の件による不正アクセスや情報漏えいは確認されていないとしています。

さくらインターネットのサービスでも停止やメンテナンス

さくらのクラウドでは、PHPの脆弱性への対応に伴い、「データベース アプライアンス」の管理用Web画面（phpMyAdminなど）の提供を10月21日に停止したと公式に発表しています。再開時期は未定で、その間はSQLクライアントでの操作が案内されています。

これとは別のサービスである「さくらのレンタルサーバ」でも、10月21日13時から22日8時頃までの緊急メンテナンスが告知されています。お知らせ本文に理由は書かれていませんが、報道ではPHPの脆弱性への対応とされています。

ゲームやECサービスでも緊急メンテナンス

ITmedia NEWSによると、「Shadowverse: Worlds Beyond」やネットショップ作成サービス「BASE」なども、PHPの影響による緊急メンテナンスに入っています。

サービスが止まった＝被害を受けた、ではありません。危険がなくなるまでいったん止めるのは、被害を防ぐための予防措置です。

WordPressでホームページを運営している人がやるべきこと

今回の脆弱性はPHP本体にあるため、WordPress本体やプラグインを最新にしても解決しません。サーバー側のPHPが修正版になっているかを、次の順で確認していきましょう。

1. PHPのバージョンを確認する
2. レンタルサーバー会社の対応を確認する
3. 古いPHP（8.1以前）だった場合
4. 事前準備をしてPHPを切り替える
5. 修正版の適用と動作を確認する
6. 更新できないときは早めに相談する

1. PHPのバージョンを確認する

現在使っているPHPのバージョンは、WordPressの管理画面から確認できます。

1. WordPressの管理画面にログインする
2. 左側メニューの「ツール」→「サイトヘルス」を開く
3. 「情報」タブを開き、「サーバー」の項目を開く
4. 「PHPバージョン」に表示された数字を「8.4.27」のような細かい番号まで確認する

管理画面に入れない場合は、レンタルサーバーの管理画面にある「PHPバージョン設定」などの画面でも確認できます。どちらも難しければ、サーバー会社や制作会社に問い合わせてください。

2. レンタルサーバー会社の対応を確認する

修正版の適用には、大きく分けて2つのパターンがあります。

• サーバー会社が自動で適用する：利用者の操作は基本的に不要だが、自分のサイトが使っているPHPまで適用されたかは確認する
• 利用者自身が切り替える：修正済みのPHPが用意されたら、レンタルサーバーの管理画面で設定を変更する

どちらになるか、いつ適用されるかはサーバー会社ごとに違うため、公式の案内に従ってください。WordPressの管理画面でできるのはPHPバージョンの確認までで、変更はレンタルサーバーの管理画面（サーバーパネルなど）で行います。

3. 古いPHP（8.1以前）だった場合

サーバー会社によっては、古いPHPにも独自に修正済みのパッケージを提供している場合があります。次の2点をサーバー会社の案内で確かめましょう。

• 今使っているPHPに、修正済みのパッケージが提供されるか
• 新しいバージョンのPHPへの移行が必要か

移行する場合は、サーバー会社が提供するPHPのうち、公式サポート中で修正済み、かつ自分のサイトのテーマやプラグインが対応しているバージョンを選びます。長く更新していないサイトや、制作会社に作ってもらったサイトは、自分で切り替える前に制作会社や保守担当者に相談してください。

4. 事前準備をしてPHPを切り替える

自分でPHPを切り替える場合は、次の順で進めましょう。

1. ファイルとデータベースのバックアップを取り、保存先と復元方法も確かめる
2. テーマとプラグインが、今のPHPと移行先のPHPの両方に対応しているかを配布元の情報で確認する
3. 対応状況を確かめたうえで、必要なWordPress本体・テーマ・プラグインの更新を行う
4. レンタルサーバーの管理画面でPHPのバージョンを切り替える

5. 修正版の適用と動作を確認する

サイトヘルスで見たPHPの番号が、使っている系列の修正版（8.4なら8.4.27以降など）になっているかを確認します。サーバー会社が独自に修正を当てている場合は番号が変わらないこともあるため、「適用完了」のお知らせや、対象に自分のプランが含まれているかもあわせて確かめてください。

適用後は、次の動作と、エラーが出ていないかを確認します。

• トップページや記事ページの表示
• 管理画面へのログイン
• お問い合わせフォームとメール送信
• 予約機能や決済機能（使っている場合）
• サーバーのエラーログに異常が記録されていないか、WordPressから「重大なエラー」の通知メールが届いていないか

不具合が出ても、脆弱なままの古いPHPへ戻してサイトを公開し続けるのは避けてください。原因のテーマやプラグインを直すか、直るまでサイトを止めるかを、サーバー会社や保守担当者と相談して決めます。

修正版の適用で脆弱性は解消できますが、すでに侵入されていた場合、不正なファイルなどは更新しても消えません。侵害が疑われるときは、専門家による調査と復旧対応が別途必要です。

6. 更新できないときは早めに相談する

すぐにPHPを更新できない場合も、そのまま放置するのは避けてください。CERT-EUも、すぐに修正できない場合は、修正が適用されるまでインターネットに公開しているシステムを外部から切り離すことを検討するよう呼びかけています。

サイトを止めるときは、WordPressのメンテナンス表示だけでは不十分です。メンテナンス画面を出していても裏ではPHPが動いているため、サーバー会社に相談して、サーバー側でアクセスを遮断する方法をとってください。

PHP公式は一時的な回避策としてPHPの設定変更も示していますが、完全な対策ではないとしています。また、PHP公式によるとアプリケーションのコードが動く前に攻撃が成立する構成もあるため、WordPressのセキュリティプラグインでは防げない場合があります。WAF（Webアプリケーションファイアウォール）なども製品ごとに対応範囲が違うので、提供元の案内を確認してください。いずれも修正版の適用の代わりにはなりません。

自分のホームページはすでに乗っ取られている？

IPAは10月21日時点で、今回の脆弱性を悪用した攻撃を確認しているわけではないとしています。一方、ロイター通信は、CloudflareのCTOがX上で「初期段階の攻撃が現れ始めている」と述べたと報じました（10月21日付）。同CTOは自社のファイアウォールでの対策はあくまでつなぎで、修正版が出たらすぐ適用するよう呼びかけています。

ただし、攻撃の試みが観測されたことと、実際にサーバーへの侵入や情報漏えいが成功したことは別です。報道時点で、侵害が成功した事例の詳細は明らかになっていません。

次のような異変に気づいた場合は、PHPを更新するだけで済ませず、レンタルサーバー会社や専門家に調査を相談してください。不審なファイルを自分で消す前に、ログやファイルを保存しておくと原因を調べやすくなります。

• 見覚えのない管理者アカウントが増えている
• サーバー内に知らないファイルがある
• ページの内容が勝手に書き換えられている
• サイトを開くと別のサイトへ転送される

被害に気づく前に取ったバックアップでも、すでに不正なファイルが紛れ込んでいれば、復元すると一緒に戻してしまうおそれがあります。どの時点のバックアップを使うかも、専門家と相談して決めてください。

まとめ｜PHPのバージョンとサーバー会社の対応を確認しよう

すべてのホームページが攻撃を受けているわけではありませんが、今回の問題は深刻です。修正版の公開前に情報が流出し、海外では悪用の試みも報じられています。

慌てて操作する必要はありません。ただ、PHPのバージョンとレンタルサーバー会社の対応状況は速やかに確認し、使っている系列の修正版（8.5.12・8.4.27・8.3.36・8.2.35以降）、またはサーバー会社による修正が自分のサイトに適用されるまで見届けてください。

参考情報・公式発表

• PHP公式｜Security advisory: Critical remote code execution vulnerabilities, update now
• PHP公式｜Upcoming Critical PHP Security Release
• PHP公式｜サポート対象バージョン
• IPA｜PHPのセキュリティリリース公開予定について
• CERT-EU｜Critical Vulnerabilities in PHP
• GMO Flatt Security｜PHPの重大な脆弱性「php2shell」の概要と対応指針
• Huntress｜php2shell, Leaked Critical PHP Vulnerabilities
• ロイター通信（転載）｜Cyber agency warns websites may need to go dark as PHP prepares critical patch
• コドモン｜緊急メンテナンスのお知らせ
• さくらのクラウド｜データベース アプライアンスにおける一部機能の提供停止のお知らせ
• さくらインターネット｜緊急メンテナンス実施のお知らせ
• ITmedia NEWS｜著名ITサービス相次いで緊急メンテへ
• W3Techs｜PHPの利用状況

※本記事は2026年10月21日22時44分時点で確認した情報をもとに作成しています。各社の対応状況などは、今後変わる可能性があります。