無料相談はこちら

2026.10.23

【緊急】PHPに深刻な脆弱性！今すぐ確認すべきこと・対応方法

現在報道されているPHPの脆弱性について、弊社にも多くのお問い合わせがございますので、情報を整理した上で、「何をすべきなのか」をなるべく専門用語を使わずにお伝えします。

2026年10月21日、Webサイトの構築などに広く利用されているプログラミング言語「PHP」に、第三者がサーバー上で不正なプログラムを実行できるおそれのある、深刻な脆弱性が2件公表されました。

この問題は、Webサイトの見た目や記事を更新するだけでは解消できません。サイトを動かす土台であるPHP本体の更新が必要です。
WordPressを利用しているWebサイトや、長期間サーバーの設定を変更していないサイトは、まず現在のPHPのバージョンを確認しましょう。

1. 今回の脆弱性の概要

今回公表されたのは、PHPの内部処理に関する次の2つの脆弱性です。IPA（情報処理推進機構）も、2026年10月22日に注意喚起を公表しています。

CVE-2026-109618：ファイルのアップロードなどを処理する際、メモリ不足が発生した場合の処理に関する問題
CVE-2026-109619：エラー発生後に、以前の処理に関する情報が不適切に残る問題

これらの問題は、セキュリティ専門家や研究者の間で「PHP2shell」と呼ばれています。悪用された場合、攻撃者がインターネット経由でサーバー上に不正なプログラムを実行させる可能性があり、最悪のケースでは、Webサイトが乗っ取られてしまいます。深刻度を示す評価値は、いずれもCVSS v4.0で9.2（Critical：非常に深刻な脆弱性）です。

PHPの開発元は、2026年10月21日に修正済みバージョンを公開しました。

PHPの系列	修正済みバージョン
PHP 8.5系	8.5.12
PHP 8.4系	8.4.27
PHP 8.3系	8.3.36
PHP 8.2系	8.2.35

上記より前のバージョンは、今回の脆弱性の影響を受ける可能性があります。

なお、PHP 8.1以前は開発元による通常のサポートが終了していますが、利用環境によっては別の提供元から修正プログラムが提供される場合もあります。
利用中のサーバー会社やソフトウェア提供元の案内も確認することを推奨します。

【公式情報】

以下、公式サイトが提供しているデータです。

IPA（情報処理推進機構）：PHPの脆弱性対策について
PHP公式 (英語)：PHP公式サイト・セキュリティ情報
CERT-EUなど欧州のサイバーセキュリティ機関 (英語)：PHPの重大な脆弱性に関する共同声明

※脆弱性識別番号：CVE-2026-109618、CVE-2026-109619

2. なぜ危険なのか？

今回の問題で特に注意したいのは、攻撃者がWebサイトの管理画面にログインしなくても、攻撃できるという点です。
Webサイトへの不正アクセスというと、管理者のパスワードを盗み、管理画面にログインする手口をイメージするかもしれませんが、今回は異なります。
PHPは、Webサイトから送られてきた情報を処理、ページを表示したり、フォームの内容を受け取ったりする役割を担っています。今回の脆弱性は、その処理の仕組み自体に問題があるものです。

たとえば、次のような被害につながるリスクがあります。

Webサイトの改ざん：　企業サイトに不正な内容を表示させられる
情報漏えい：　サーバーに保存された顧客情報や業務データなどを盗まれる
不正なプログラムの設置：　サイトを利用して、別の攻撃や迷惑行為を行われる
サービス停止：　サーバーの動作を妨げられ、サイトが表示できなくなる

実際にどのような被害が発生するかは、サーバーの設定や保存されている情報などによって異なります。ただし、PHPの処理そのものを悪用されると、Webサイトの表示だけでなく、サーバー上のデータや機能にまで影響が及ぶ可能性があります。
脆弱性があるからといって、すべてのサイトがすでに被害を受けているわけではありません。
大切なのは、被害が起きてから対処するのではなく、修正プログラムを適用して攻撃される可能性を減らしリスク管理をすることです。

3. 影響を受けるサイトの特徴

今回の問題は、Webサイトを動かすPHP本体に関する問題です。特に、次のようなサイトは早急に確認、対策を講じることをおすすめします。

WordPressで構築したWebサイト

WordPressはPHPを利用して動作します。WordPress本体やプラグインを最新にしていても、サーバー側のPHPが脆弱なバージョンのままであれば、今回の問題への対策が完了したことにはなりません。

長期間、サーバーのメンテナンスをしていないWebサイト

公開してから数年間、問題なく動作している場合でも、PHPの更新が必要になることがあります。サイトが正常に表示されていることと、安全な状態であることは別です。

古いPHPを使い続けているWebサイト

PHP 8.1以前など、開発元による通常のサポートが終了したバージョンを使っている場合は、今回の修正だけでなく、今後の安全な運用も考えて移行を検討する必要があります。

PHPを利用しているか分からないWebサイトやサービス

PHPは、Webサイトだけでなく、各種システムやソフトウェアの内部でも利用されています。自社でPHPを使っている認識がなくても、利用中のサービスにPHPが組み込まれている可能性があります。レンタルサーバーや外部サービスを利用している場合は、提供元が今回の脆弱性への対応を実施しているか確認しましょう。

4. PHPのバージョンを確認する方法

PHPのバージョンは、Webサイトの管理画面ではなく、サーバーの管理画面で確認するのが基本です。

方法1：レンタルサーバーの管理画面で確認する

多くのレンタルサーバーでは、管理画面からPHPのバージョンを確認できます。

契約しているレンタルサーバーの管理画面にログインする
「PHP設定」「PHPバージョン」「スクリプト設定」などの項目を探す
対象ドメインに設定されているPHPのバージョンを確認する

※メニュー名はサーバー会社によって異なります。見つからない場合は、サーバー会社のサポートに問い合わせましょう。

方法2： WordPressの管理画面で確認する

WordPressの管理者権限がある場合は、次の手順でも確認できます。

WordPressの管理画面にログインする
「ツール」から「サイトヘルス」を開く
「情報」タブを選択する
「サーバー」の項目を開き、PHPのバージョンを確認する

方法3：サーバー管理を依頼している会社に問い合わせる

基本的にレンタルサーバー以外で管理している場合、サーバー内部でPHPのバージョンを管理しているため、サーバー管理会社に問い合わせましょう。

確認できたら、判断すべきこと

PHP 8.2系なら8.2.35以上、8.3系なら8.3.36以上、8.4系なら8.4.27以上、8.5系なら8.5.12以上が今回の修正済みバージョンです。
これより古い場合は、速やかに更新の対応を進めてください。

PHP 8.1以前の場合は、単純なバージョン更新では対応できないこともあります。サーバー会社や保守担当者に、修正プログラムの提供状況と、安全なバージョンへの移行方法を確認、自社での対応が難しい場合は依頼しましょう。

5. 今すぐ取るべき対応

対応は、次の順番で進めることをおすすめします。

優先度1：現在のPHPバージョンを確認する

まず、対象となるWebサイトのPHPバージョンを確認します。複数のサイトを運営している場合は、それぞれのサイトを確認してください。
自社で管理しているサイトだけでなく、外部の制作会社やサーバー会社に管理を委託しているサイトについても、対応状況を確認することが重要です。

優先度2：バックアップを取得し、修正済みバージョンへ更新する

利用中のサーバーで修正済みバージョンが提供されている場合は、速やかに更新作業を進めましょう。

ただし、PHPのバージョンを変更すると、Webサイトの表示や機能に不具合が発生する場合があります。古いWordPressテーマやプラグイン、独自に開発したプログラムが、新しいPHPに対応していないことがあるためです。

更新作業を行う際は、次の手順をおすすめします。

バックアップを取得する：万が一、不具合が発生した場合に備え、Webサイトのファイルとデータベースを保存します。バックアップから復元できることも、可能な範囲で確認しておきましょう。
PHPのバージョンを更新する：サーバーの管理画面などから、修正済みのバージョンへ変更します。
Webサイトの動作を確認する：トップページやお問い合わせフォーム、管理画面などが正常に動作するかを確認します。ECサイトの場合は、購入手続きなどの重要な機能も確認しましょう。

不具合が発生した場合は、速やかに対処する：バックアップを活用した復旧や、テーマ・プラグインの修正などを検討します。

可能であれば、本番環境を変更する前に、テスト用の環境で動作確認を行うとより安全です。
バックアップを取得していても、必ず元の状態に戻せるとは限りません。また、更新後に問題が発生したからといって、脆弱性のある古いPHPへ安易に戻すことはおすすめできません。復旧方法については、サーバー会社や保守担当者と相談しながら判断してください。

PHPの更新方法が分からない場合や、長期間更新していないサイトを運営している場合は、無理に作業を進めず、サーバー会社やWeb制作会社に相談しましょう。

優先度3： PHP本体が更新されたことを確認する

WordPress本体やプラグインの更新だけでは、今回のPHP本体の脆弱性は解消されません。
PHPは、WordPressなどのソフトウェアを動かすための基盤です。

例えるなら、WordPressが店舗の設備とすると、PHPはその設備を動かす仕組みにあたります。店舗の設備だけを新しくしても、仕組みの問題は解決しません。
そのため、WordPress側の更新とは別に、PHP本体が修正済みのバージョンになっているかを確認する必要があります。
なお、サーバー会社やOSの提供元が独自に修正プログラムを適用している場合、表示されるバージョン番号が公式の修正済みバージョンと異なることがあります。判断に迷う場合は、提供元に今回の脆弱性への対応状況を確認してください。

優先度4：すぐに更新できない場合は、早急に相談する

古いシステムとの互換性などの理由で更新できない場合でも、そのまま放置するのは避けましょう。
サーバー会社や保守担当者に、今回の脆弱性への対応方針と更新の可否を確認してください。

更新までに時間がかかる場合は、サーバーの設定や利用状況に応じて、外部からのアクセスを制限するなどの暫定対策を検討すべきです。安全性を確保できない場合には、一時的な公開停止も選択肢となります。

ただし、設定変更などの暫定対策だけで、今回の脆弱性が完全に解消されるわけではありません。PHPの開発元も、根本的な対策として修正済みバージョンへの更新を強く推奨しています。

6. 弊社の見解

Webサイトのセキュリティ対策というと、WordPress本体やプラグインの更新、管理画面のパスワード管理などを思い浮かべる方が多いかもしれません。

しかし、Webサイトは複数のソフトウェアやサーバー環境が組み合わさって動作しています。そのため、サイトの見た目や管理画面だけを確認していても、今回のような問題を見落とす可能性があります。

セキュリティ対策は、一度実施すれば終わりというものではありません。今回のように、Webサイトの土台となるソフトウェアに新たな問題が見つかることもあります。日頃から更新情報を確認し、必要な対策を継続する、もしくはしてくれるパートナーに依頼することが大切です。

今回の件きっかけに、PHPのバージョンだけでなく、WordPress本体、プラグイン、サーバー環境、バックアップ体制についても、あらためて確認することをおすすめします。

弊社では、Webサイトの安全な運用には、公開後の継続的な保守が重要だと考えています。
特に、企業のWebサイトは会社の信用や顧客との接点を担う重要な資産です。万が一、改ざんや情報漏えいが発生すれば、サイトの復旧だけでなく、顧客対応や企業イメージの毀損につながるおそれがあります。

7. まとめ

今回のPHPの脆弱性は、Webサイトの安全性に関わる重大な問題です。

まずは、次の3点を確認してください。

PHPのバージョンを確認する
バックアップと動作確認を考慮しながら、修正済みバージョンへの更新を進める
自社で対応が難しい場合は、サーバー会社やWeb制作会社に相談する

WordPress本体やプラグインを更新していても、PHP本体の対策が済んでいるとは限りません。
また、PHPの更新はセキュリティ対策として重要ですが、サイトの正常な動作を維持するための事前準備と更新後の確認も欠かせません。
Webサイトを安全に運用するためにも、今回の脆弱性への対応を後回しにせず、早めに確認・更新を進めましょう。

弊社もPHPのバージョン確認やバージョンアップは承っております。
順次ご対応いたしますので、お気軽にお問い合わせ下さい。

弊社へのお問い合わせは、 お問い合わせフォーム からお願い申し上げます。

※本記事は2026年10月23日時点で公表されている情報をもとに作成しています。
最新の情報や個別環境への対応については、各公式情報源およびサーバー提供元の案内をご確認ください。

Blog一覧