PHPの重大な脆弱性｜WordPress利用者が確認する修正版と対応手順【2026年10月】

WordPressでブログを運営している方は、PHPの重大な脆弱性に対する修正が、自分の契約している環境にも適用されているかを確認してください。2026年10月21日にPHPの修正版が公開されました。WordPress本体やプラグインを更新しただけで、今回のPHPの問題まで直ったとは判断できません。

まず行うことは、契約先の公式告知を読み、WordPressの管理画面で利用中のPHPを確認し、不明な点をサーバー会社へ問い合わせることです。サーバーの乗り換えや有料のセキュリティ商品の購入を先に決める必要はありません。この記事では、ブログ副業の初心者が「自分で確認すること」と「契約先へ確認すること」を分けられるように整理します。

情報の確認日：2026年10月23日（日本時間）。脆弱性を公表した日、修正版の公開予定時刻、各社が実際に対応した時刻は別です。契約先の対応完了や個別サイトの安全性を、この記事だけで保証するものではありません。

この記事の目次

1. 10月21日23時の件と公開後の状況

2. WordPress本体の更新との違い

3. PHPの修正版早見表

4. 今確認する5つの手順

5. 契約形態別の確認先

6. サーバー会社への問い合わせ文例

7. ブログ運営で確認したい保守の条件

8. よくある質問

9. まず確認すること

10月21日23時のPHPの件で何が起きたのか

PHPは、WordPressなどのアプリケーションをサーバー側で動かすためのプログラミング言語です。ブログの記事を書く画面と、画面の裏側で動くPHPは別の層にあります。運営者が記事を更新していなくても、サーバー側のソフトウェアに対する保守は必要になります。

PHP公式は10月20日に、2件の重大な脆弱性を修正する更新を10月21日14:00 UTC、つまり日本時間の同日23:00に予定していると予告しました。その後、10月21日付で修正版を公開し、更新を強く推奨しています。「23時」は予告された公開予定時刻であり、すべてのサーバー会社がその時刻に一斉に対応を完了したという意味ではありません。PHP公式の予告と公開後の案内で確認できます。

対象の識別番号はCVE-2026-109618とCVE-2026-109619です。PHP公式は、認証されていない相手による遠隔でのコード実行につながり得る問題として説明しています。記事では攻撃の再現方法を扱わず、運営者が修正の適用状況を確認する手順に絞ります。

WordPress本体の更新と、PHPの修正は別の作業

今回の問題はWordPress固有の脆弱性ではありません。WordPress公式も、PHPを使うサーバーに関係する問題であり、この問題のためのWordPress本体の更新は必要なく、予定もしていないと案内しています。WordPressの更新画面が「最新」でも、PHP側の修正確認を省かないでください。WordPress公式の注意喚起が確認先です。

ただし、WordPress本体・テーマ・プラグインの日常の更新が不要になるわけではありません。今回のPHP修正とは目的を分けて管理します。入稿や記事装飾を依頼している場合も、作業者がサーバーの更新権限まで持っているとは限りません。WordPress入稿代行の仕事内容と公開前確認も参考に、誰がどこまで担当するかを決めておきましょう。

今回の対応で混同しやすい3つの更新

対象	主に確認する場所	今回のPHP修正との関係
WordPress本体	WordPressの更新画面・公式案内	本体が最新であることだけでは、PHP修正の適用を証明できません。
テーマ・プラグイン	各製品の公式案内・更新画面	機能や互換性の確認先です。更新してもサーバーのPHPが必ず更新されるわけではありません。
サーバー上のPHP	契約先のセキュリティ告知・管理画面・サポート	今回の中心となる確認対象です。自分の環境に適用される修正を確認します。

PHPの修正版早見表｜番号だけで安全と断定しない

PHP公式が10月21日に公開した修正版は次のとおりです。表は今回の更新の確認用であり、すべてのサイトを一律にPHP 8.5へ切り替える指示ではありません。

PHP公式が公開した今回の修正版（2026年10月23日確認）

利用する系統	今回の修正版	確認すること
PHP 8.5	8.5.12	その系統の修正が実行環境へ反映されているか。
PHP 8.4	8.4.27	同じ系統の更新なのか、別系統への切替なのか。
PHP 8.3	8.3.36	契約先が提供するパッケージ・対応告知との関係。
PHP 8.2	8.2.35	今回の修正に加え、今後のサポート計画も確認。

PHP公式は、Linuxディストリビューションや長期サポート事業者が修正を取り込んだパッケージを提供する場合も案内しています。こうしたバックポートでは、表示される番号とPHP公式の番号だけを単純に比較できない場合があります。契約先が「対応済み」としている対象サーバー・PHP系統・適用日時を照合してください。「番号が表と違うから必ず未修正」「新しい数字だから必ず安全」のどちらにも飛びつかないことが大切です。

PHP 8.1以前はPHPプロジェクトの通常の更新対象外です。一部の旧系統に今回の最小限の修正用ソースが提供されたことと、古いPHPの通常サポートが再開したことは異なります。長期サポート事業者の提供範囲も含め、契約先や管理担当者へ確認してください。修正版・対象・旧系統の扱いはPHP公式のセキュリティ案内を確認先とします。

WordPress利用者が今確認する5つの手順

1．契約先の公式告知で、自分の環境が対象かを見る

サーバー会社の公式サイトや契約者向けのお知らせから、「PHP」「脆弱性」「セキュリティ更新」などの案内を探します。発表日だけでなく、対象サービス、対象サーバー、作業完了日時、利用者に必要な操作を読みます。同じ会社でも共用サーバーとVPSで対応範囲が異なる場合があるため、会社名だけで判断しないでください。

2．WordPressのサイトヘルスで、Web側のPHPを確認する

WordPress公式は、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認する方法を案内しています。表示名は言語や環境で異なる場合があります。サーバー管理画面のPHP設定と合わせて確認し、調べた日時をメモしてください。

ここで見えるのは構成情報です。サイトヘルスの良好な表示を、本件の修正や不正アクセスがなかったことの証明にはしません。問い合わせにも、構成情報の全文ではなく必要な項目だけを使います。サイトヘルスの公式説明で画面の役割を確認できます。

3．表示情報と告知が結びつかなければ、サポートへ聞く

告知に自分のサーバーが含まれるか分からない、表示番号が変わらない、操作が必要か読み取れない場合は、契約先へ確認します。「対応済み」という一語だけでなく、利用中のサービス・サーバー・PHP系統について回答を受けると、確認の根拠を残せます。

未修正で、すぐに更新できないと判明した場合は、そのまま通常運営を続けてよいとは考えません。WordPress公式は、自分で管理する古いPHP環境などで更新を準備する際の一時的な公開停止についても注意喚起しています。停止の対象と影響を把握している管理担当へ、修正までの公開継続の可否を至急相談してください。WAFを有効にするだけで確認を終えないことも重要です。

4．自分で切り替える必要がある場合は、バックアップと互換性を確認する

サーバー会社がPHPの切替操作を求めている場合は、その案内を基準に進めます。WordPress公式の互換性表は本体との対応を確認する資料で、利用中のすべてのテーマやプラグインまで保証するものではありません。WordPressとPHPの公式互換性表に加え、各製品の案内を確かめます。

更新前にはファイルとデータベースの両方、バックアップの日時、保存先、復元手段を確認します。バックアップがあることと、すぐに復元できることは別です。PHPの修正は急ぐ必要がありますが、分からないまま設定を連続で変更せず、サーバー会社や保守担当へ相談してください。WordPress公式のバックアップ案内も参照できます。

5．更新後の動作と、回答・確認日時を記録する

操作が必要だった場合は、トップページだけでなく記事ページ、管理画面へのログイン、画像表示、検索など、通常使う機能を確認します。フォームや決済があるサイトは、勝手に実申込み・実決済をせず、管理者が認めた試験方法を使います。画面が表示できることは動作確認であり、侵害がなかったことの調査とは分けて記録してください。

レンタルサーバー・VPS・運用代行で、確認する相手が違う

次の表は、連絡先を決めるための編集部の整理です。個々のサービスの契約を保証するものではありません。共用サーバーだからすべて自動、VPSだから何も支援されない、と一律に決めず、実際の契約範囲へ戻って確認します。

契約形態別・PHP更新の確認先

利用形態	最初の確認先	運営者が確認する内容
共用レンタルサーバー	契約会社の公式告知・サポート	修正の適用対象、必要な利用者操作、切替可能なPHP、作業後の確認。
マネージド型サービス	契約会社または保守窓口	PHP保守が契約範囲に含まれるか、対象サイトと完了報告の内容。
自分で管理するVPS	OS・パッケージの提供元と管理担当	Webで実行されるPHPの修正、反映方法、複数サイトへの影響。サーバー契約だけでOS保守も代行されるとは考えない。
制作会社・運用代行へ委託	委託先の保守担当	入稿作業とは別に、PHP更新・バックアップ・復旧対応まで依頼済みか。

自分で管理するVPSでは、コマンド用とWeb用で異なるPHPを使っている場合も考慮します。一つの表示だけで全サイトへの反映を判断せず、実際の構成を把握している担当者へ確認してください。初心者が脆弱性の検証ツールを本番サイトへ実行したり、出所不明の修正スクリプトを導入したりする必要はありません。

そのまま使える、サーバー会社への問い合わせ文例

以下は編集部が作成した問い合わせのひな型です。実際の問い合わせや対応実績ではありません。契約先の正規サポート窓口で、指定された必要最小限の情報を補って使ってください。

2026年10月21日にPHP公式が公表したCVE-2026-109618／CVE-2026-109619について確認したいです。

利用サービス：［契約サービス名］
対象：［契約先が求めるサイトまたはサーバーの識別情報］
WordPressのサイトヘルスで確認したPHP：［表示値］
確認日時：［日本時間の年月日・時刻］

この環境には、今回の脆弱性に対する修正が適用されていますか。適用済みの場合は、対象環境と適用日時を確認したいです。未適用または利用者側の操作が必要な場合は、正式な手順、互換性の注意点、バックアップ・復旧の相談先を教えてください。表示番号が変わらないバックポート等の場合も、確認方法をご案内ください。

パスワード、秘密鍵、認証コード、データベース接続情報を本文へ貼らないでください。サポートへの連絡に使った画面をSNSや生成AIへそのまま共有することも避けます。回答は契約先・対象・日時が分かる形で自分の管理用に保存し、他の利用者にも同じ条件で当てはまるとは説明しません。

ブログ副業では、収益化の前に保守を含めた運用を決める

ブログ副業では記事制作やアフィリエイトの準備に目が向きますが、PHPの更新、バックアップ、復旧の連絡先も運営に含まれます。今回のニュースから持ち帰りたいのは、特定会社へ乗り換える結論ではなく、「保守を誰が担当し、どう確認できるか」という判断軸です。

サーバーを選ぶときに残しておきたい運用の確認項目

判断項目	契約前に確認すること	避けたい判断
セキュリティ更新	対象範囲、利用者側の操作、公式の告知先。	会社名や価格だけで安全性を決める。
バックアップと復旧	ファイルとDBの対象、保持、復旧依頼の方法・条件。	「自動バックアップあり」だけで復旧まで確認したと考える。
連絡・保守の担当	問い合わせ窓口、契約に含まれる支援、自分が管理する範囲。	記事の入稿担当へ、サーバー管理も暗黙に任せる。
続けられる費用	初回と更新時の総額、追加費用、保守へ使う時間。	今回の不安だけで、不要な長期契約やオプションを増やす。

媒体自体を選ぶ段階なら、noteとブログの費用・SEO・収益化の比較から、設定や保守を担う時間も含めて考えられます。独自ブログを検討する場合は、ConoHa WINGを使うブログ運営の手順、mixhostでの費用整理とASP選びも関連する解説です。これらは各社の今回の脆弱性への対応完了を証明する記事ではなく、本記事にも申込用の広告リンクは掲載していません。

よくある質問

Q. WordPressを最新版にすれば、今回のPHPの問題も直りますか？

A. それだけでは判断できません。今回の修正対象はPHPです。WordPress本体の更新とは別に、契約先や管理担当へPHP修正の適用を確認してください。

Q. PHPを必ず8.5へ変更しなければいけませんか？

A. 今回は8.2・8.3・8.4・8.5の各系統に修正版が公開されています。表の番号だけで切替先を決めず、契約先の提供状況とWordPress・テーマ・プラグインの互換性を確認します。

Q. PHPの番号が表と違えば、まだ修正されていませんか？

A. そうとは限りません。事業者が既存パッケージへ修正を取り込む場合があるため、自分の環境に適用された修正について公式告知やサポート回答で確認します。

Q. サイトヘルスに問題がなければ、確認は終わりですか？

A. サイトヘルスは構成や状態を調べる手段で、本件の修正適用や侵害の有無を保証するものではありません。契約先の対象・適用状況との照合が必要です。

Q. WAFが有効なら、PHPを更新しなくてもよいですか？

A. WAFの有効表示だけで、今回の問題が完全に解決したとは判断しません。PHP公式は更新を完全な解決策として案内しています。契約先の対応を確認し、PHP修正の適用状況を確かめてください。

Q. 表示できているブログは、被害がないと考えてよいですか？

A. 表示の正常性と、侵害がなかったことは別です。不審な変更や契約先の警告がある場合は、公式サポートや保守担当へ相談し、独断でファイルや記録を削除しないでください。

Q. 不安なのでサーバーを乗り換えるべきですか？

A. まず現在の契約先で修正適用と必要な対応を確認します。移行だけで問題が解消するとは限らず、費用や作業も生じます。保守範囲に継続的な不一致がある場合は、その条件を整理して比較します。

Q. 記事の入稿代行者にPHPの設定変更も頼めますか？

A. 契約と権限によります。記事装飾や公開前確認とサーバー保守は別の仕事です。依頼していない設定変更を求めず、正規の管理担当と必要な作業範囲を確認してください。

まずは、対象環境と修正の適用を確認する

今回のPHPのニュースで、ブログ運営者が最初に確かめたいのは「自分のサイトが使う環境に、修正が適用されたか」です。公式告知、WordPressの構成表示、契約先の回答を照合し、必要な作業と確認日時を残してください。収益化の方法を増やす前に、保守と復旧の担当を分けて把握することが、無理なくブログ副業を続けるための準備になります。