PHPの脆弱性で自分のサイトは大丈夫？WordPress・レンタルサーバーの確認手順

2026年10月21日、Webサイトを動かすPHPに重大な弱点が見つかり、修正版が公開されました。WordPressなどを使っている方は、今日、サーバー会社の公式案内で対応状況を確認し、不明なら制作会社や保守担当者へ問い合わせてください。利用中というだけで被害があったと決まるものではなく、確認の中心は「サーバーのPHPに修正が入ったか」です。

何が起きたのか

PHPは、サーバー側でページを作るためのプログラムです。今回の「PHP2Shell」は、そのPHP自体にある2件の脆弱性、つまり安全上の弱点を指します。識別番号はCVE-2026-109618とCVE-2026-109619です。

IPAの注意喚起では、悪用されると外部の第三者にプログラムを実行される可能性があるとしています。WordPressの記事や見た目の設定だけで直せる問題ではありません。

2026年10月時点の、PHP開発元が公開した修正版は次のとおりです。PHP公式の発表に基づきます。

ただし、サーバー会社が番号を変えずに修正だけを取り込むこともあります。古い番号が表示されても、それだけで未対応とは判断できません。PHP 8.1以前は開発元の通常サポートが終了しているため、会社独自の対応状況と、今後の更新方針を確認します。

自分のサイトが関係あるか見分ける

PHPのバージョンは、レンタルサーバーの管理画面で対象ドメインを選び、PHPに関する設定や情報の項目を探すと確認できる場合があります。画面名は会社ごとに異なります。見つからなければ、設定を変更せずサポートに問い合わせれば構いません。

複数のサイトを持つ場合は、それぞれのドメインを確認します。同じ契約でも設定が違う可能性があるためです。表示された番号、対象ドメイン、確認日を控えると、問い合わせがスムーズになります。

レンタルサーバー各社は対応している？

以下は2026年10月24日に確認した公式案内の要点です。ここにある完了案内が、自分の契約サービスに当てはまるかも確認してください。

レンタルサーバーの案内を、その会社のVPSへ当てはめないでください。VPSは利用者側がソフトウェアの更新を担当する契約もあります。

ロリポップは、脆弱性を狙ったとみられるアクセスを確認した一方、告知時点で、それによる不正アクセスや情報漏えいは確認していないと説明しています。「攻撃の試み」と「被害の確認」は分けて受け止めます。

今日やること

1. サイトと契約先を確認します。 ドメイン、サーバー会社、制作会社・保守担当をメモします。

2. サーバー会社の公式案内を読みます。 対象サービス、使用中のPHP、対応完了の範囲を照らし合わせます。

3. 分からない点を担当者へ聞きます。 修正の適用状況と日時、こちらで必要な操作を確認します。

4. 更新後の動作を確かめます。 トップページ、問い合わせ送信、予約・購入など、普段使う機能を確認します。

5. 結果を記録します。 回答と確認日、残っている作業の担当者を保存します。

PHPを別の系列へ変更すると、古いテーマやプログラムとの相性を確認する必要があります。公式案内を読む前に、番号だけを見て設定を切り替える必要はありません。更新を依頼する場合は、バックアップと動作確認、問題が出た場合の対応も一緒に相談してください。

IPAは、更新が難しく有効な暫定対策も取れない場合、業務への影響を踏まえてアクセス制限や一時停止の必要性を判断するよう案内しています。停止が必要か分からない場合も、担当者と相談します。

制作会社・サーバー会社への確認文（そのまま使えます）

お世話になっております。管理いただいているサイト（対象URL：＿＿）について、2026年10月に公表されたPHPの脆弱性（CVE-2026-109618／CVE-2026-109619）への対応状況を確認したく、ご連絡しました。

使用中のPHPに、開発元の修正版または提供元の修正が適用されているか、適用済みの場合はその日時を教えていただけますでしょうか。番号が変わらない修正の場合も、その旨をご案内いただけると助かります。

当方で必要な操作や動作確認、追加の調査があれば、あわせてお知らせください。よろしくお願いいたします。

パスワードや管理画面の認証情報を、この確認文へ書き足す必要はありません。対象サイトのURLから、担当者に契約を確認してもらいます。

今後、同じことで慌てないために

会社案内や記事中心のサイトには、あらかじめ作ったページを配る「静的出力」と、原稿管理を別にする「ヘッドレスCMS」を組み合わせる方法があります。公開ページへのアクセスごとにPHPやデータベースを動かさない設計にできますが、更新を反映する仕組み、プレビュー、フォームなどの保守は必要です。WordPressの管理画面や既存プラグインを活用できる現在の構成にも利点があります。今回の修正を済ませた後に、WordPressとの構成の違いと移行時の確認点を、次回の保守見直しの材料にしてください。

技術担当者へ渡す場合は、PHP2Shellの更新確認と構成設計も参照できます。

よくある質問

PHPの脆弱性でWordPressは大丈夫ですか？

WordPressを使っているだけで、安全とも被害があるとも判断できません。サーバーのPHPに今回の修正が入っているか、提供元か保守担当者に確認してください。

レンタルサーバーでもPHPのアップデートは必要ですか？

サーバー会社が修正を適用するサービスでは、自分で変更する必要がない場合があります。契約サービスに対応する公式案内を確認し、必要な操作と動作確認を行います。

PHPの番号が古いままですが、未対応ですか？

番号を変えずに修正する会社もあるため、番号だけでは判断できません。公式の完了案内と、自分のサーバーがその対象かを確認してください。

WordPressやプラグインを更新すれば直りますか？

今回確認すべきなのはPHP本体の修正です。WordPressなどの更新とは別に、サーバー側の対応を確認します。

出典

• PHP公式：2026年10月21日のセキュリティ告知

• IPA：PHPの脆弱性対策について

• エックスサーバー：対応状況

• さくら：PHPの脆弱性への対応状況

• ロリポップ：メンテナンス完了と経緯

• ConoHa WING：対応完了の終報