WordPressは最新なのに危ない？PHPの重大な脆弱性と確認方法【2026年10月】

ホームページは問題なく表示されている。
WordPressも定期的に更新している。

それなのに、セキュリティ上の問題が残っていることがあるのをご存じでしょうか。

2026年10月21日、PHPに見つかった2件の重大な脆弱性について、修正版が公開されました。
PHPはWordPressを動かすために使われているプログラミング言語です。

今回の問題は、WordPress本体を最新版にしているだけでは解決できません。

私が運営する生成AI未来創造スクールのホームページもWordPressで作っています。
ニュースを受けて実際にPHPの状態を確認し、バックアップやプラグイン更新、セキュリティ設定の見直しも行いました。

でも、PHPと言われても、何を確認したらよいのか分からない方も多いと思います。

ホームページは普通に表示されています。
それでも危険なことってあるんですか？

WordPressは更新していますが、PHPは確認したことがありません。
どこを見れば分かりますか？

自分で更新して、ホームページが壊れたら困ります。
どうすればいいのでしょうか？

結論から言うと、ホームページが正常に表示されていても、PHPの脆弱性が残っている可能性はあります。まず確認してほしいのが、WordPress管理画面の「サイトヘルス」です。

現在使っているPHPの番号を確認し、修正版が適用されているかを調べます。

修正版が入っていない場合は、利用しているサーバー会社の案内を確認し、必要な対応を進めることになります。

この記事では、WordPressでPHPのバージョンを確認する方法と、私が実際に行った対策を初心者の方にも分かるように紹介します。

PHPという名前だけ聞くと難しそうですが、バージョンの確認はWordPressの管理画面からできます。
まずは現在の状態を調べて、必要な対応を判断しましょう。

この記事でわかること

2026年10月に発表されたPHPの重大な脆弱性
WordPressでPHPバージョンを確認する手順
修正版が適用されているかの判断方法
ミライラボのホームページで実際に行った対策
PHPが古い場合の対処方法
AIが今回の脆弱性発見に関わった背景

WordPressを最新にしていても、なぜ危ないの？
1. 10月23日にPHP公式から追加の注意情報が公開された
2. 今回の脆弱性発見にはAIも関わっていた
まずはWordPressのPHPバージョンを確認しよう
1. PHPバージョンの確認手順
2. PHP SAPIという項目も確認しておこう
私のWordPressでは、PHP 8.3.36を確認できました
PHPのバージョンが古かったら、どうすればいい？
ホームページは作ったあとも管理が必要
まとめ｜WordPressだけでなくPHPも確認しよう
ホームページの管理や改善について相談したい方へ
参考情報

WordPressを最新にしていても、なぜ危ないの？

今回の問題は、WordPressそのものではなく、その土台となるPHPにあります。2

026年10月21日、PHP公式は次の2件の重大な脆弱性を修正したと発表しました。

CVE-2026-109618
CVE-2026-109619

脆弱性とは、プログラムに存在するセキュリティ上の弱点のことです。
今回の2件は、CVSS 4.0の深刻度評価で、いずれも10点満点中9.2とされています。
条件がそろうと、ログインしていない第三者が外部からサーバー上で不正なプログラムを実行できるおそれがあります。

専門用語では「認証不要のリモートコード実行」と呼ばれる問題です。
悪用されれば、ホームページの改ざんや情報の流出などにつながる可能性があります。

しかも今回の脆弱性は、PHPのメモリ管理やエラー処理という、プログラムの基本的な部分に関係しています。

そのため、WordPressの管理画面にパスワードを設定しているだけでは十分な対策になりません。WordPressを最新版にしていても、PHPに脆弱性が残っていれば、問題が解決したことにはならないのです。
WordPress公式も、2026年10月21日の発表で、サイト管理者に対してPHPを速やかに更新するよう呼びかけています。

参考：WordPress公式「PHPの重大なセキュリティリリース」

10月23日にPHP公式から追加の注意情報が公開された

10月21日の修正版公開後、PHP公式は10月23日、CVE-2026-115560に関する追加の注意情報を案内しました。
特定のアプリケーションがセッションのシリアライズ方式を実行時に切り替える設定で、アップロード進捗機能も有効な場合に、別の攻撃経路が成立する可能性があります。
完全な修正は次の通常リリースで予定されており、公式は当面の対策として session.upload_progress.enabled を無効にするよう案内しています。

サイトの利用者がこの設定を自分で変更する必要はありません。
PHPの更新を優先し、すぐに更新できない場合は、サーバー会社や保守担当者へ設定と対策状況を確認してください。

今回の脆弱性発見にはAIも関わっていた

ここで、生成AIを教えている立場として興味深かった話も紹介します。
今回のPHPの重大な脆弱性の発見や検証には、AIも活用されていました。

OpenAIが2026年10月21日に公表した情報によると、セキュリティ企業のCalifはGPT-5.6 Solを活用して重大な脆弱性を発見しました。
Wiz Researchも2件の脆弱性を独立して発見・報告したと説明されています。

脆弱性の検証と修正、リリースを主導したのはPHPのメンテナです。AIがセキュリティ上の問題を発見するために使われ、研究者や開発者が検証・修正へつなげた事例です。
AIというと、ChatGPTで文章を書いたり、画像を作ったりする使い方を思い浮かべる方が多いかもしれません。

でも、実際にはソフトウェアの安全性を調べるような専門的な分野でも活用されています。

ただし、AIが問題を見つけたからといって、それだけで対策が完了するわけではありません。
最後に修正内容を確認し、公開まで進めたのは人間の開発者やセキュリティチームです。

AIの活用範囲が広がっていることと、人による確認が欠かせないこと。
その両方が見える出来事でもありました。

参考：OpenAI「Patch the Planet」

まずはWordPressのPHPバージョンを確認しよう

では、自分のホームページを調べてみましょう。PHPのバージョンは、WordPressの管理画面から確認できます。
サーバーの専門的な設定を変更する必要はありません。

PHPバージョンの確認手順

WordPressの管理画面にログインする
左側のメニューから「ツール」をクリックする
「サイトヘルス」を選択する
上部の「情報」タブを開く
「サーバー」という項目を開く
「PHPバージョン」の数字を確認する

表示されるのは「8.3.36」のような数字です。

例えば、PHP 8.3の場合、今回の修正版は8.3.36です。8.3.35は修正前、8.3.36は今回の脆弱性に対応したバージョンになります。

2026年10月21日に公開された修正版をまとめると、次のようになります。

PHPの系列	修正版
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35
PHP 8.1以前	PHP公式のサポート終了

PHP 8.1以前は、PHP公式の通常のセキュリティサポートが終了しています。
PHP公式は一部の古い系列向けに限定的なソースコードの修正も公開していますが、適用できるかは利用環境によります。

サーバー会社が修正を提供しているか確認し、必要に応じてサポート中のバージョンへの移行を検討してください。

なお、利用しているサーバーやOSの提供元が、表示上のバージョン番号を変えずにセキュリティ修正を適用する場合もあります。

そのため、数字だけで判断できない場合は、サーバー会社の公式なお知らせも確認してください。

PHP SAPIという項目も確認しておこう

サイトヘルスの「サーバー」には、PHP SAPIという項目もあります。
SAPIは、PHPがWebサーバー上で動く方式を表すものです。

例えば、次のような表示があります。

fpm-fcgi
apache2handler

今回の問題では、特にApacheのmod_phpという方式で深刻な攻撃が実証されています。

ただし、PHP-FPMにも影響する経路が確認されています。
そのため、fpm-fcgiと表示されていれば安全、という意味ではありません。

まず優先したいのは、PHPの修正状況です。

私のWordPressでは、PHP 8.3.36を確認できました

私のホームページでも、WordPressのサイトヘルスを開いて確認しました。
2026年10月22日に確認した結果は、次のとおりです。

確認項目	結果
PHPバージョン	8.3.36
PHP SAPI	fpm-fcgi
今回のPHP修正版	適用されていることを確認

今回のPHP 8.3系列の修正版は8.3.36です。つまり、私のホームページでは、今回の2件の脆弱性に対応したPHPが使われていることを確認できました。では、修正版の番号を確認できれば、もう何もしなくてよいのでしょうか。

PHPが修正版になっていれば、もう安心していいんでしょうか？
ほかにも確認した方がいいことはありますか？

PHPの修正版が適用されていれば、今回の2件の脆弱性に対する重要な対策が済んでいると判断できます。ただし、ホームページ全体の安全性が保証されたわけではありません。
WordPress本体、テーマ、プラグインなどは、それぞれ別に保守管理が必要です。

そこで私は、PHPの確認とあわせて、普段のWordPress管理も見直しました。

① UpdraftPlusでバックアップを取得

最初に確認したのが、バックアップです。
私のホームページでは、UpdraftPlusというWordPressのバックアップ用プラグインを利用しています。

今回は、WordPressのファイルとデータベースのバックアップを取得しました。

データベースには記事の内容やサイトの設定などが保存されています。
更新作業で問題が発生した場合に備え、サイトを復旧できる状態にしておくことが大切です。

ただし、バックアップを取得しただけでPHPの脆弱性が直るわけではありません。

あくまで、不具合やトラブルに備えるための作業です。

② WordPressのプラグイン4件を更新

次に、WordPressのプラグインを確認しました。
今回は、Code SnippetsやRank Math SEOなど、更新対象となっていた4件のプラグインを更新しています。プラグインはWordPressに便利な機能を追加できますが、古いまま放置するとセキュリティ上の問題が残る場合があります。

一方で、更新によってほかの機能に影響が出る可能性もあります。
特にお問い合わせフォームや予約機能などを利用している場合は、更新後の動作確認が必要です。

なお、今回のプラグイン更新は、PHPの重大な脆弱性そのものを修正するための作業ではありません。

PHPの修正とは別に、WordPress全体を管理するために行っています。

③ Wordfenceのセキュリティ設定を見直し

続いて確認したのが、Wordfenceです。
Wordfenceは、不審なアクセスの検知や遮断などに利用できるWordPressのセキュリティプラグインです。私のホームページでは、今回ファイアウォールの設定を見直し、最適化を行いました。

ファイアウォールとは、不審な通信を検知して、必要に応じて遮断する仕組みのことです。

ただし、Wordfenceを導入しているからといって、PHPの更新が不要になるわけではありません。
今回のようにPHP自体に問題がある場合は、PHPの修正版を適用することが基本になります。

④ 更新後のホームページ表示を確認

最後に、作業後のホームページ表示を確認しました。
更新によってページが正常に表示されなくなることもあるためです。

今回は、作業後もサイトが正常に表示されることを確認しています。

なお、表示が正常でも、お問い合わせフォームなどの動作までは保証されません。

実際に更新するときは、サイトで使用している重要な機能も確認しておくとよいでしょう。
今回私が行ったのは、PHPの確認だけではありません。

バックアップ、プラグイン、セキュリティ設定、表示確認まで見直す作業でした。

私のサイトではPHPの修正版を確認できましたが、ほかの管理項目も見直しました。
PHPの更新とWordPress全体の保守は、分けて考えることが大切なんです。

PHPのバージョンが古かったら、どうすればいい？

ここまでの手順で確認して、PHPが古いバージョンだった場合はどうすればよいのでしょうか？

確認したら、PHPが古い番号のままでした。
自分で新しいバージョンに切り替えても大丈夫ですか？

PHPが古い場合は、更新が必要かどうかを早急に確認してください。

ただし、いきなりバージョンを変更すると、古いテーマやプラグインが新しいPHPに対応しておらず、不具合が発生することもあります。
最初に確認したいのは、利用しているサーバー会社の対応状況です。

レンタルサーバーを利用している場合

エックスサーバーやさくらのレンタルサーバなどを利用している場合、サーバー会社側でPHPの修正を適用していることがあります。
まずは契約しているサーバー会社の公式サイトを開き、今回の脆弱性への対応状況を確認しましょう。確認したいのは次の内容です。

自分が利用しているPHP系列が修正対象に含まれているか
すでに修正が適用されているか
未対応の場合、いつ対応する予定なのか

分からない場合は、サーバー会社のサポートに問い合わせてください。

例えば、次のように質問すると状況が伝わりやすくなります。

WordPressでホームページを運営しています。
2026年10月21日に公表されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、現在利用しているサーバーには修正が適用されていますか？
利用者側でPHPのバージョン変更などが必要かどうかも教えてください。

PHP 8.1以前を使っている場合

PHP 8.1以前は公式サポートが終了しています。
今回、PHP公式は一部の古い系列向けに限定的なソースコードの修正を公開しています。

また、サーバー会社やOSの提供元が独自に修正を適用する場合もあります。
利用環境への適用状況を、サーバー会社へ確認してください。
そのため、サポート中のPHPへの更新を検討する必要があります。

ただし、古いWordPressテーマやプラグインを利用している場合、PHPの切り替えによって画面が表示されなくなる可能性もあります。

更新前には、少なくとも次の内容を確認してください。

WordPressのバックアップを取得しているか
テーマやプラグインが新しいPHPに対応しているか
更新後の動作確認ができるか
問題が起きた場合の復旧方法が分かっているか

不安がある場合は、サーバー会社や制作担当者と相談しながら進めましょう。

すぐに修正できない場合

修正版が適用されておらず、更新まで時間がかかる場合は、脆弱な状態のまま放置しないことが重要です。IPAも、修正が難しい場合には暫定対策やアクセス制限を検討し、必要に応じてサービスの一時停止を判断するよう案内しています。

特に、公開中のサイトで重大な脆弱性への対策ができない場合は、サーバー会社や管理担当者へ早急に相談してください。

WordPressのメンテナンスモードを表示するだけでは、PHPへの攻撃を防げるとは限りません。
公開を一時停止する場合も、PHPへ外部からのリクエストが届かない方法を選ぶ必要があります。

参考：IPA「PHPの脆弱性対策について」

古いバージョンが見つかった場合は、放置せず早めに対応してくださいね。
自分で変更するのが不安なら、サーバー会社や管理担当者に確認してから進める方が確実です。

ホームページは作ったあとも管理が必要

今回のPHPの脆弱性をきっかけに、私自身もホームページの管理状況を見直しました。
普段は記事を書いたり、ページの内容を変更したりすることが中心です。
PHPの番号まで確認する機会は、それほど多くありません。

でも、ホームページは公開したら終わりではないんですよね。
WordPress本体の更新、プラグインの管理、バックアップ、セキュリティ設定など、継続的な対応が必要になります。

例えば、こんな状態になっていないでしょうか。

制作会社に作ってもらったまま、管理状況が分からない
WordPressの更新通知が出ても、そのままにしている
サーバー会社の名前は知っているけれど、管理画面を開いたことがない
バックアップが取れているか確認したことがない
何か問題が起きたとき、誰に相談すればよいか分からない

制作会社や管理会社にホームページの保守をお願いしていても、ほかの対応が重なり、なかなか確認や作業を進めてもらえないことがあります。

依頼したあとも状況が分からないままだと、「自分のサイトは今どうなっているのだろう」と不安になりますよね。
その場合は、PHPのバージョン、今回の脆弱性への修正状況、未対応の場合の予定日を具体的に尋ねてみましょう。

回答や時期が分からないときは、サーバー会社にも直接確認すると、状況を整理しやすくなります。

自分でPHPの設定を変更する必要はありません。

まずは状態と対応予定を把握し、必要なら別の保守担当者へ相談できるよう、依頼先や管理情報も確認しておきましょう。
専門的な設定をすべて自分で変更する必要はありません。
ただ、どこを確認すればよいのかを知っておくことは大切です。

特に事業用のホームページは、お客様がお問い合わせをする窓口にもなっています。

サイトが正常に表示されなくなれば、問い合わせや予約にも影響するかもしれません。セキュリティ対策だけでなく、ホームページが事業の中でどんな役割を果たしているかも考えておきたいところです。

ミライラボでは、生成AIスクールの運営に加え、ホームページなどの制作・開発サービスも行っています。

ホームページを作ることと、公開後も適切に管理し、必要に応じて改善すること。
どちらも事業にとって大切な仕事だと考えています。