2026年10月21日、PHPに2件の重大な脆弱性が公表され、緊急のセキュリティアップデートが公開されました。
PHPはWordPressをはじめ、多くのホームページやWebシステムで使用されているプログラミング言語です。今回の脆弱性は、条件によって外部から不正なプログラムを実行される可能性がある、深刻なものです。
しかし、レンタルサーバーを利用している場合、必ずしも自分でPHPのバージョンを変更する必要があるとは限りません。
この記事では、今回のニュースの概要、WordPressへの影響、サーバー会社の対応、PHP更新時の注意点について、Web制作会社の視点からわかりやすく解説します。
最終確認日：2026年10月22日
目次
- 2026年10月21日のPHP脆弱性ニュースとは？
- どんな危険性があるの？
- WordPressへの影響は？
- レンタルサーバー利用者も更新が必要？
- PHPのバージョン確認方法
- PHP更新でホームページが壊れることも
- 今すぐ確認すべき5つのこと
- よくある質問
- BEARS NETのサポートについて
- まとめ
2026年10月21日のPHP脆弱性ニュースとは？
2026年10月21日、PHPの開発元は、2件の重大なセキュリティ上の問題を修正した新しいバージョンを公開しました。
今回公表された脆弱性は、次の2件です。
- CVE-2026-109618
- CVE-2026-109619
いずれも深刻度が高く、CVSS v4.0で9.2と評価されています。
PHP公式が公開した修正済みバージョンは以下のとおりです。
| PHP系列 | 修正済みバージョン |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP公式は、影響を受ける環境に対して速やかなセキュリティ更新を強く推奨しています。
なお、上記はPHP公式が提供する修正版です。Linuxディストリビューションやレンタルサーバー会社が独自に修正パッチを適用している場合、表示されるPHPのバージョン番号だけでは対策状況を判断できないことがあります。
出典：PHP公式サイト
どんな危険性があるの？
今回の脆弱性は、悪用された場合、認証されていない外部の攻撃者がサーバー上で不正なコードを実行できる可能性があるものです。
状況によっては、次のような被害につながるおそれがあります。
- ホームページの不正な書き換え
- サーバー上の情報への不正アクセス
- 不正なプログラムの設置や実行
- Webサービスの停止や障害
ただし、脆弱性が存在することと、実際に攻撃を受けたことは別です。
今回のニュースを見て、すべてのホームページで情報漏洩が発生していると考える必要はありません。
重要なのは、自社サイトが影響を受ける環境なのかを確認し、必要な対策を実施することです。
WordPressへの影響は？
WordPressはPHPで動作するCMS（コンテンツ管理システム）です。
そのため、WordPressを利用しているホームページも、サーバーのPHP環境によっては今回の脆弱性の影響を受ける可能性があります。
WordPress自体の脆弱性とは異なる
今回の問題は、WordPress本体のプログラムに発見された脆弱性ではなく、その動作環境であるPHPに関する問題です。
したがって、WordPress本体やプラグインを更新するだけでは、今回のPHPの脆弱性を修正したことにはなりません。
PHP実行環境そのものに対して、必要なセキュリティ修正が適用されているか確認する必要があります。
古いWordPressを使用している場合は特に注意
長期間更新していないWordPressでは、新しいPHPとの互換性に問題が生じる場合があります。
特に、古いテーマやプラグインを利用しているホームページは、PHPの変更によって正常に動作しなくなる可能性があります。
そのため、セキュリティ対応を急ぐ必要がある場合でも、バックアップと動作確認を含めて対応方法を検討することが大切です。
レンタルサーバー利用者もPHPの更新が必要？
ここが今回、特に知っておいていただきたいポイントです。
レンタルサーバーを利用している場合、サーバー会社がPHPのセキュリティ修正を適用することがあります。
その場合、利用者が管理画面からPHPのバージョンを変更しなくても、今回の脆弱性への対策が完了するケースがあります。
サーバー会社によるセキュリティパッチとは？
セキュリティパッチとは、プログラムの脆弱性を修正するための更新プログラムです。
サーバー会社やOSの提供元が、現在利用しているPHP系列に対して修正を適用する場合があります。
こうした方法は「バックポート」と呼ばれ、PHPの表示上のバージョン番号が大きく変わらなくても、必要な修正が反映されることがあります。
ただし、すべての古いPHPや、すべてのレンタルサーバーで実施されるわけではありません。
お名前.comやエックスサーバーを利用している場合
お名前.comやエックスサーバーなどのレンタルサーバーを利用している場合は、まず各社の公式案内を確認してください。
確認すべきなのは、次の内容です。
- 今回のPHP脆弱性に対する対応状況
- サーバー側でセキュリティパッチを適用するか
- 利用者自身によるPHPの変更が必要か
- 使用中のPHPバージョンがサポート対象か
サーバー会社側で対応が完了している場合と、利用者による変更が必要な場合では、取るべき対応が異なります。
「古いPHPだからすぐ管理画面で最新バージョンに変更する」と判断する前に、契約しているサーバーの対応状況を確認しましょう。
なお、サーバー会社のパッチが適用されていない脆弱な状態を、確認せず放置してよいという意味ではありません。
PHPのバージョン確認方法
PHPのバージョンは、通常、契約しているレンタルサーバーの管理画面から確認できます。
レンタルサーバーの管理画面で確認
- 契約中のレンタルサーバーにログインする
- PHP設定またはPHPバージョン設定の項目を開く
- 対象ドメインで使用しているPHPバージョンを確認する
- サーバー会社のセキュリティ対応状況と照らし合わせる
WordPressの管理画面でも、「ツール」→「サイトヘルス」→「情報」→「サーバー」からPHPバージョンを確認できる場合があります。
ただし、確認できるPHPバージョンだけでは、今回のセキュリティパッチが適用済みかどうかを断定できないことがあります。
PHPを更新するとホームページが壊れることもある？
はい。PHPを新しいバージョンに変更することで、既存のホームページに不具合が発生する場合があります。
例えば、次のような問題です。
- ホームページが真っ白になる
- WordPressの管理画面にログインできなくなる
- お問い合わせフォームが送信できなくなる
- テーマやプラグインの機能が動作しなくなる
- PHPエラーが表示される
これは、新しいPHPで仕様が変更されたり、古いプログラムの一部が利用できなくなったりするためです。
更新前のバックアップが重要
PHPのバージョン変更を行う場合は、事前にサイトのバックアップを取得することをおすすめします。
WordPressの場合、最低限以下のデータを保全しましょう。
- WordPressのファイル一式
- データベース
- テーマ・プラグイン
- 独自に追加したプログラムや設定ファイル
可能であればテスト環境で確認する
本番サイトでいきなりPHPを変更するのではなく、可能であればテスト環境で新しいPHPとの互換性を検証しましょう。
特に、お問い合わせフォームや予約機能、会員機能などがあるサイトでは、実際に操作して問題がないか確認する必要があります。
互換性の問題で更新できない場合も、脆弱な状態のまま放置するのではなく、サーバー会社や制作会社と相談し、暫定的なリスク低減策や移行計画を検討することが重要です。
ホームページ管理者が今すぐ確認すべき5つのこと
1. PHPを利用しているか確認
WordPressなど、PHPを利用するWebサイトやシステムが対象となる可能性があります。
2. 現在のPHPバージョンを確認
サーバー管理画面などから、実際に利用しているPHPのバージョンを確認します。
3. レンタルサーバーの公式案内を確認
今回の脆弱性に対して、サーバー会社がどのような対応を行っているか確認してください。
4. バックアップと更新手順を確認
PHPを変更する必要がある場合は、必ずバックアップを取得し、復旧方法やテスト手順を確認します。
5. 必要に応じて制作会社・管理会社に相談
PHPの変更に不安がある場合や、古いWordPressを使っている場合は、Web制作会社などに相談することをおすすめします。
PHPの脆弱性についてよくある質問
Q. WordPressを使っていたら必ずPHPを更新しないといけませんか？
A. 今回の脆弱性への対策は必要ですが、サーバー会社側で修正パッチを適用している場合など、利用者が手動でPHPのバージョンを変更しなくてもよいケースがあります。まずはサーバーの対応状況を確認しましょう。
Q. PHP 7.4を使っています。危険ですか？
A. PHP 7.4はPHP公式の通常サポートが終了しています。今回の脆弱性について、サーバーやOSの提供元が修正を提供しているか確認が必要です。今回の対応とは別に、サポート中のPHPへの移行を計画することをおすすめします。
Q. サーバー会社が対応してくれれば何もしなくていいですか？
A. 今回のPHP脆弱性についてサーバー側の修正が適用済みで、利用者に追加対応を求められていなければ、PHPの手動変更は不要な場合があります。ただし、WordPress本体やプラグインなどの保守は引き続き必要です。
Q. PHPを更新するとWordPressのデータは消えますか？
A. 通常、PHPのバージョン変更だけで投稿記事などのデータが削除されるものではありません。ただし、互換性の問題でサイトが正常に動作しなくなることがあるため、事前のバックアップは必須です。
Q. ホームページが表示されていれば安全ですか？
A. いいえ。正常に表示されていても、内部のプログラムに脆弱性が存在する可能性があります。表示状態だけで安全性を判断することはできません。
Q. PHPの更新は自分でもできますか？
A. レンタルサーバーの管理画面から変更できる場合があります。ただし、既存サイトの互換性確認や障害発生時の復旧には技術的な知識が必要です。
PHPの脆弱性対策・WordPressの更新はBEARS NETにご相談ください
埼玉県さいたま市を拠点とするBEARS NET（ベアーズネット）では、ホームページの制作・管理・WordPressの改修などを行っています。
今回のPHP脆弱性についても、契約しているサーバーやホームページの構成に応じて、必要な対応をご相談いただけます。
例えば、次のようなご相談に対応しています。
- 現在のPHPバージョンや運用環境の確認
- レンタルサーバー側の対応状況の確認
- WordPressと新しいPHPの互換性調査
- 更新前のバックアップとテスト
- PHP変更後に発生した不具合の調査・修正
- 古いWordPressサイトの保守・リニューアル相談
「制作会社と連絡が取れない」「PHPの更新を求められたが、どうすればよいかわからない」という場合も、お気軽にお問い合わせください。
まとめ：慌ててPHPを変更する前に、正しい状況確認を
2026年10月21日に公表されたPHPの脆弱性は、WordPressなどのWebサイトにも関係する重大なセキュリティ上の問題です。
ただし、必要な対応は利用しているサーバー環境によって異なります。
重要なのは、脆弱性への対策を速やかに進めることと、ホームページの安定稼働を守ることの両立です。
まずは契約しているレンタルサーバーの公式案内を確認し、必要に応じてバックアップ・動作検証・PHP更新を計画しましょう。
PHP・WordPressのセキュリティ対策でお困りですか？
BEARS NETでは、PHPの更新に関するご相談や、WordPressの動作確認、ホームページの保守・改修を承っています。
現在の状況を確認したうえで、必要な対応をご案内いたします。