JOURNAL — 2026-10-22
PHP重大脆弱性「PHP2Shell」とWordPress・国内サーバー対応速報
WordPress本体ではなく土台のPHPにおける認証不要RCE脆弱性（CVSS 9.2）。修正バージョン、国内主要サーバー9社の対応動向、管理者の実務チェックリストを整理しました。
開発・技術 WordPress セキュリティ PHP
けんさん
案内人個人事業主として、Web・写真・AI活用などに日々向き合っている案内人。現場の保守実務の視点から急所を整理する。
まりなさん
受け手けんさんのアシスタント。サイト運営者の素朴な不安やつまずきポイントを代弁する。
AI先生
整理係技術仕様や脆弱性の仕組みを客観的にガイドするナビゲーター。冷静な構造化を担当。
ビジュアル図解速報ページを公開中
各系列の修正バージョン一覧表・国内9社対応ステータス・タブ切り替え付きの速報図解です。
けんさん、ニュースで「WordPressに影響する重大なPHPの脆弱性」って見かけたんですけど…！ WordPressの管理画面でプラグインやテーマを全部更新しておけば大丈夫なんでしょうか？ うちが管理しているサイトもハッキングされちゃうんですか…？
まりなさん、落ち着いてね。実はそこが一番誤解されやすい落とし穴なんだ。今回の欠陥は「WordPress本体ではなく、それを動かす土台のPHP」にある。だからWordPressの更新ボタンを押すだけでは防げないんだよ。
2026年10月21日に修正版が発表された「CVE-2026-109618 / 109619」ですね。深刻度はCVSS 9.2の緊急相当です。ただし「古いPHP＝すでに侵入された」ではありません。慌ててメジャーバージョンを上げてサイトを壊す前に、正しい手順で現在地を確認しましょう。
ONE PAGE SUMMARY
直すべきはWordPress本体ではなく、足元の「PHP」。管理画面の表示やWAFだけで安心せず、サーバー事業者の告知とパッチ適用状況を見極める。
緊急時こそ「サイトヘルスで現在地確認 → サーバー告知確認 → 完全バックアップ → 動作検証」の順序を守る。
本体・プラグイン・テーマ
欠陥なし・WordPress公式更新は不要
WordPress自体のコードには不具合はありません。WordPress公式も本体の緊急更新版は不要と案内しています。
ここに重大な脆弱性
認証不要のリモートコード実行（CVSS 9.2）
PHP 8.2〜8.5の特定版に脆弱性。外部攻撃者による遠隔コード実行のリスクがあり、PHP修正版への更新が必要です。
ホスティング会社・VPS
事業者のパッチ適用を確認
エックスサーバー、さくら、ConoHa等のレンタルサーバー事業者が順次パッチを適用中。独自パッチ（バックポート）にも留意。
1. なぜWordPress本体の更新では直らないのか？
多くのWebサイト運営者は「セキュリティ＝WordPressのダッシュボードで更新ボタンを押すこと」と捉えがちです。しかしWebシステムは以下の3層で成り立っています。
Webシステムの3層構造
- WordPress（アプリケーション層）：記事やデザインを動かすプログラム
- PHP（言語・実行エンジン層）：WordPressを解釈・実行する基盤 ← 【今回の欠陥箇所】
- Webサーバー（インフラ層）：ApacheやNginx、OS、物理サーバー
家で例えるなら、部屋の家具やドア（WordPress）には問題がなく、建物の床板を支える基礎（PHP）に穴が見つかった状態です。家具をどれだけ最新に磨いても、床板の穴は塞がりません。
WAF（セキュリティフィルター）だけでは完全な対策になりません
PHP公式ドキュメントおよびWordPress公式のアナウンスでは、「設定変更やWAFによる一時的緩和策だけでは完全な防御にはならず、修正済みプログラムへの更新が唯一の安全な対応である」と明記されています。
2. 安全な修正バージョン一覧（2026年10月21日リリース）
PHP公式が発表した修正バージョンは以下の通りです。「PHP 8.5だから安全」ではなく、末尾のパッチ番号まで一致しているかが判断基準となります。
| PHP系列 | 安全な修正版 | 危険なバージョン | 対応方針・注意点 |
|---|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5.11 以前 | 最新安定版系列。速やかに8.5.12へ更新 |
| PHP 8.4 | 8.4.27 | 8.4.26 以前 | 8.4.27へ更新（無理に8.5へ上げる必要なし） |
| PHP 8.3 | 8.3.36 | 8.3.35 以前 | 現在最も普及している系列。8.3.36へ更新 |
| PHP 8.2 | 8.2.35 | 8.2.34 以前 | 8.2.35で修正。2026年末に公式サポート終了予定 |
| PHP 8.1 以前 | 公式修正なし | 全バージョン | 公式サポート終了済み。サーバー独自対応確認＋移行計画が急務 |
※重要なポイント：無理にPHP 8.5へ引き上げる必要はありません。
例えば現在 PHP 8.3 や 8.4 で安定稼働している場合、今回の脆弱性対策だけを目的として一気に PHP 8.5 へ引き上げると、古いプラグインやテーマがエラーを起こしてサイトが表示されなくなるリスクがあります。系列内の最新パッチ（8.3.36 や 8.4.27）を適用するのが最も安全です。
3. 国内主要レンタルサーバー9社の対応動向
2026年10月22日時点で、エックスサーバー、さくらインターネット、ConoHa WING、ロリポップ！、KAGOYAなど国内各社が緊急メンテナンスや予防措置を順次実施しています。
「メンテナンス告知＝全環境修正完了」と混同しないこと
レンタルサーバー会社によっては、PHPの全体バージョン番号を変えずにセキュリティ修正パッチだけを適用する「バックポート修正（独自パッチ）」を行っている場合があります。管理画面上の表記が旧バージョンのままでも安全に対策されているケースがあるため、必ず各社の公式告知を突き合わせて確認してください。
4. Webサイト管理者が今すぐ行うべき安全4ステップ
慌ててサーバーの設定を変える前に、必ず以下のステップに従って安全に作業を進めてください。
管理サイトと契約サーバーの棚卸し
運営しているWordPressサイトと、契約しているホスティング会社（エックスサーバー、さくら等）を一覧化します。
サイトヘルスでPHPバージョンを確認
WordPress管理画面の ツール > サイトヘルス > 情報 > サーバー を開き、現在のPHPバージョンを確認します。
データベースとファイルの完全バックアップ（必須）
PHP切り替えによって万が一エラーが発生しても1分で元に戻せるよう、必ずバックアップを取得します。
修正版への更新と主要機能の動作検証
修正版へ切り替えた後、トップページ、お問い合わせフォーム送信、ログイン、決済機能などが正常に動くか確認します。
なるほど…！WordPress本体じゃなくてPHPの問題だったんですね。「とりあえずプラグイン更新ボタンを押して終わり」にしないでよかったです。まずは契約しているサーバー会社の告知を見て、バックアップを取ってから落ち着いて対応します！
その通り。緊急事態ほど「慌てないこと」が最大のセキュリティ対策だよ。バックアップさえあれば、万が一更新で表示崩れが起きてもすぐ戻せるからね。
今回の脆弱性はAI支援によるコード解析で見つかったと報じられています。守る側も攻める側もAIを活用する時代だからこそ、納品後の継続的な保守管理や安全運用の価値が高まっていますね。
Webサイトの保守・セキュリティでお悩みですか。
「自社のWordPressサイトのPHPバージョンがわからない」「安全にアップデートしてほしい」など、お気軽にご相談ください。
- ヒアリング無料
- 東広島市・広島県内を中心に全国対応（オンライン可）
- しつこい営業はしません