Sorabun

セキュリティ

PHPに「緊急」の脆弱性2件、日本時間21日23時に修正版。WordPressのサイトで今やること【2026年】

公開 ・ 読了の目安 約11分 ・ Sorabun 編集部

PHPに「緊急」の脆弱性2件、日本時間21日23時に修正版。WordPressのサイトで今やること【2026年】

WordPressは、PHPというプログラムの上で動いています。そのPHPに、深刻度がいちばん高い「Critical（緊急）」の脆弱性が2件あると、PHPのセキュリティチームが発表しました。直した版は、日本時間2026年10月21日（水）23時に公開される予定です。

この記事は、10月21日17時の時点で分かっていることをまとめたものです。修正版が出たら、対象の版と直った版を書き足します。

先に結論を書きます。

1. PHPの公式が予告したこと

PHPのセキュリティチームは2026年10月20日、公式サイトとメーリングリストで、セキュリティリリースの予告を出しました。

PHP 公式サイトの「Upcoming Critical PHP Security Release」。2026年10月21日（水）14:00 UTC に公開予定、CVSS v4.0 で 9.2 の重大な脆弱性2件を直す、すべての利用者は今から準備を、詳細が公になったり悪用が見つかったりすれば早めることがある、影響を受ける版と直った版は公開と同時に出す、と書かれている
PHP 公式サイト「Upcoming Critical PHP Security Release」（2026年10月20日）

書かれていることを並べます。

項目 公式の告知
公開の予定 2026年10月21日（水）14:00 UTC（日本時間 21日 23:00）
中身 重大な（Critical）脆弱性2件。深刻度は2件とも CVSS v4.0 で 9.2
呼びかけ すべての利用者は、出たらすぐ上げられるよう、今から準備を
早まる場合 どちらかの詳細が公になったとき、実際の悪用が見つかったとき
まだ出ていないもの 詳しい中身・影響を受ける版・直った版（公開と同時に出す）

告知には、CVE番号も、脆弱性の種類も書かれていません。

2. IPAとCERT-EUの呼びかけ

IPA：「事前準備のお願い」

日本では、IPA（情報処理推進機構）が10月21日に「事前準備のお願い」を出しました。

IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」の冒頭。2つの脆弱性について、現時点でIPAが悪用した攻撃を確認しているわけではない、セキュリティリリースの公開後、速やかに適用できるよう事前準備をお願いする、PHPの脆弱性については2024年7月にも悪用した攻撃に関する注意喚起を行っている、と書かれている
IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）

IPAは、PHPを使っているプログラムや製品を棚卸しするよう呼びかけ、こう書いています。

IPAの「推奨対応」。IPAが確認したところでは、サポート終了の古いPHPを利用し続けているウェブサイト・ウェブサービスも見受けられる、攻撃者はこれらの脆弱性を悪用し、極めて短時間で攻撃を実行する可能性もあるため、パッチの公表後、可及的速やかに適用できるよう準備を、と書かれている
IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」の推奨対応

CERT-EU：「遠隔でコードを実行される恐れ」

EUの機関のサイバーセキュリティの対応チーム、CERT-EUも注意喚起を出しています。

CERT-EU Security Advisory 2026-018「Critical Vulnerabilities in PHP」の概要。ほかから漏れた情報によると、リモートでコードを実行される恐れがある2件の重大な脆弱性、技術的な詳細はまだ公開されていない、すぐに修正を当てる準備を、すぐ当てられない場合はインターネットに公開しているアプリケーションを切り離すことを検討、と書かれている
CERT-EU Security Advisory 2026-018（2026年10月20日）

「リモートでコードを実行される恐れ」は、CERT-EUが「ほかから漏れた情報によると（according to other leaks）」として書いているもので、PHPの公式の告知には書かれていません。 CERT-EUは、深刻度の高さから、ログインしなくても狙える可能性があるともみています。

すぐに直せない場合の勧めも、組織に向けたものです。

CERT-EU の Recommendations。PHPを使っているアプリケーションを洗い出し、修正版が出たらすぐ当てる準備を、すぐに直せない場合は、インターネットに公開しているアプリケーションを、直せるまで公開のネットワークから切り離すことを検討、と書かれている
CERT-EU Security Advisory 2026-018 の Recommendations

3. 出回っている話の、どこまでが公式？

告知の前から、ネットではいろいろな話が出回っていました。出どころをたどった結果です。

出回っている話 出どころ 公式は？
「PHP 5以降のすべての版が対象」 Hacker News の投稿（10月20日 15:20 UTC）。CERT-EU・IPA も「とされている」と載せた 未発表（対象の版は公開と同時）
「CVSS 10.0」 同じ投稿 公式は 9.2（2件とも）
CVE番号（CVE-2026-109618・109619） 同じ投稿。CERT-EU が載せた 公式の告知には無い。CVE.org にもまだ記録が無い（17時時点）
「php2shell」 研究者が付けた呼び名 公式の名前ではない
「session.upload_progress.enabled を 0 にすれば防げる」 日本のセキュリティ会社のブログ 同社が14時に「単体では完全な対策にならない」と訂正。公式の回避策は無い
「すでに攻撃されている」 — IPA・セキュリティ会社は「確認していない」。悪用できると主張するコードが出回り始めた、という報告はある

Hacker News の投稿者は「証拠は『信じてくれ』だけ」と書いていました。一方、セキュリティ会社の watchTowr は、脆弱性そのものは本物だと確認した、と投稿しています。中身と対象の版は、23時の公式の発表を待つのが確実です。

4. WordPressのサイトは関係ある？

PHPは、WordPressの外にある

WordPressの本体も、プラグインも、テーマも、PHPで動くプログラムです。そのPHPは、WordPressの外、サーバーに入っています。

PHPを直すのは
レンタルサーバー サーバーの会社（どの版のPHPを使うかは、管理画面で選べることが多い）
VPS・自分のサーバー 自分（サーバーの管理者）

WordPressの自動更新をオンにしていても、PHPは新しくなりません。

WordPressのサイトの約36%は、サポートの終わったPHP

WordPress.org の統計（更新の確認をしてくるサイトの、PHPの版の割合。10月21日に取得）を、サポート期間で分けました。

PHPの版 割合 サポート
8.5 3.9% サポート中
8.4 9.3% サポート中
8.3 26.6% セキュリティの修正のみ（2027年12月31日まで）
8.2 23.8% セキュリティの修正のみ（2026年12月31日まで）
8.1 10.7% 終了（2025年12月31日）
8.0 3.8% 終了
7.x 19.8%（うち 7.4 が 16.1%） 終了
5.x 以前 2.0% 終了

サポート中の8.2〜8.5は約63.6%、8.1以前は約36.4% です（試験版の8.6の0.02%は除く）。WordPressの公式の推奨は PHP 8.3以上 で、7.4でも動きますが、公式は「サポート終了を迎えており、セキュリティの脆弱性にさらされる可能性がある」と書いています。

PHP公式サイトのサポート期間の図。8.0と8.1は赤（サポート終了）、8.2と8.3はオレンジ（セキュリティの修正のみ）、8.4と8.5は緑。下に End of life の定義：もうサポートされていない版、使っている人はできるだけ早く上げるべき、直されていない脆弱性にさらされている恐れがある
PHP 公式サイト「Supported Versions」（2026年10月21日に表示）

PHPの開発者の1人は、「8.0や8.1にも修正が出るのか」という質問に、「PHPのチームからは出さない。ほかが出すかもしれない」と答えています。

5. 自分のサイトのPHPを確かめる

WordPressの管理画面で確かめられます（管理者のアカウントで）。

  1. 管理画面の「ツール」→「サイトヘルス」を開く
  2. 「情報」のタブを開く
  3. 「サーバー」の欄を開く
  4. 「PHP バージョン」の行を見る
WordPressの管理画面。ツールのメニューのサイトヘルス、情報のタブ、サーバーの欄、PHP バージョンの行（8.3.6）に赤い枠
手元の WordPress 7.1.3（日本語）の画面

この例は 8.3.6 です。8.1以前なら、サポートが終わった版です。

6. レンタルサーバーの動き（10月21日17時時点）

会社 お知らせ
KAGOYA PHPの脆弱性について告知。23時の公開内容を確かめたうえで、影響と対応方針を案内する
エックスサーバー 16時から「予防的な安全対策」として、公式サイトと管理画面（サーバーパネルなど）を一時停止。再開の見込みは21日深夜〜22日未明。どのソフトウェアかは書かれておらず、お客様のサーバー（サイトの表示・メール）には影響しない、としている

私たちが調べた範囲では、「自動でPHPを直す」と明言した会社は、まだありません。ほかの会社は、契約しているサーバーの会社のお知らせを確かめてください。

7. 今夜までにやること

  1. サイトヘルスで、PHPのバージョンを見る
  2. 8.1以前なら、バックアップを取ってから、8.3以上に切り替える（レンタルサーバーなら、管理画面でサイトごとに選べることが多い）。古いプラグインやテーマが動かなくなることがあるので、切り替えたら、表側のページと管理画面を確かめる
  3. サーバーの会社のお知らせを確かめる
  4. VPS・自分のサーバーなら、修正版が出たらすぐ更新する（予定より早まることもある）
  5. 23時の公式の発表で、どの版で直ったかを確かめる
ソラブンの「バックアップ / 復元」の画面。いまバックアップするのボタンと、作ったバックアップの一覧（データベース + ファイル、14.7 MB）
ソラブンを入れた手元の WordPress（バックアップ / 復元の画面）

PHPの版を上げる前のバックアップは、ソラブンなら「バックアップ / 復元」の画面で「いまバックアップする」を押すだけです。データベースと、画像・テーマ・プラグイン（wp-content）を1つの zip にまとめます。戻すときは、今の状態を先に残してから戻します。

よくある質問

WordPressの自動更新をオンにしていれば、大丈夫ですか？

いいえ。WordPressの自動更新で新しくなるのは、WordPressの本体（とプラグイン・テーマ）です。PHPはサーバーの側にあるので、レンタルサーバーの会社かサーバーの管理者が更新します。

PHP 7.4 や 8.1 のままだと、どうなりますか？

今回の脆弱性の影響を受けるかどうかは、まだ公表されていません。ただ、8.1以前はサポートが終わっていて、PHPのチームの修正は出ません。PHPの公式は、サポートが終わった版は直されていない脆弱性にさらされている恐れがあるので、できるだけ早く上げるよう呼びかけています。

設定を変えれば、修正版の前に防げますか？

公式の回避策はありません。「session.upload_progress.enabled を 0 にする」という話は、言い出した会社が「単体では完全な対策にならない」と訂正しています。修正版が出たら、すぐに当てるのが確実です。

ソラブンでPHPを直せますか？

直せません。PHPはサーバーの側で直すものです。ソラブンでは、PHPの版を上げる前のバックアップや、入っているプラグインの既知の脆弱性の毎日のチェックができます。

出典

関連するコラム

セキュリティ 【2026年】WordPressの保守・セキュリティ対策を徹底解説！ 2026年はWordPress本体の重大な脆弱性（wp2shell・CVE-2026-87902）が続きました。数字で見るいまの状況、まず5分でできる確認、今日からの基本の対策、保守のスケジュール、乗っ取りのサインと初動まで、一次情報をもとに解説します。 セキュリティ WordPressはオワコン？ 脆弱性を実際に数えて、初期設定も検査してみた【2026年10月】 「WordPressはオワコン」は本当か。プラグインを作る私たちが、都合の悪い数字も含めて検証しました。シェアの推移、開発の状況、脆弱性を年ごとに数えた結果（本体は1%未満）、2026年の本体の悪用と強制更新、初期設定のWordPress 7.1.3の検査、乗り換え先との比較まで。 セキュリティ 「GLM-5.3」が相次ぐハッキングの原因？ 公開日と事件の日付を並べて調べてみた【2026年10月】 相次ぐ情報漏えいの原因は、8月に公開されたAI「GLM-5.3」？ 公開日（8月14日）と、各社が発表した侵入の時期を一次情報で並べて確かめました。漏えいは7月から増え、大きな事件の侵入も公開前から。10月に確認されたAI利用（JPCERT/CC・GMO）と、GLM-5.3の名前が出た韓国の1件まで。

コラムの一覧へ