WordPressのPHP脆弱性、今日確かめる3つと安全な更新手順

はじめに

「PHPに重大な脆弱性」というニュースを見て、自社のホームページは大丈夫かと気になっている方も多いでしょう。WordPressは自動で更新されているはずなのに、何をすればよいのか分からない。そう感じるのは自然なことです。今回の問題は、WordPressそのものではなく、その土台で起きているからです。

結論からお伝えすると、今回の脆弱性は、WordPressを最新にしても直りません。サーバー側で動いているPHPを、修正済みの版にする必要があります。WordPress公式の統計では、サイトのおよそ3つに1つが、修正版の出ない古いPHPで動いています。

今日確かめていただきたいのは、PHPの番号、サーバー会社のお知らせ、バックアップの有無の3つです。本記事では、今回何が起きたのかと、3つの確かめ方、サイトを壊さずにPHPを上げる手順を順に解説します。WordPressでホームページを運営している経営者やWeb担当者の方に向けた内容です。

2026年10月のPHP脆弱性とWordPressへの影響

まずは、今回のニュースの中身を整理します。ポイントは「どこに穴があったのか」と「どの版が直ったのか」の2つです。

WordPressではなく「土台のPHP」の穴

PHPとは、WordPressを動かしているプログラムの言語です。お店にたとえると、WordPressは内装や間取り、PHPは建物の基礎や電気設備にあたります。2026年10月21日、PHPの開発元は2件の重大な脆弱性を修正したと発表しました。脆弱性とは、攻撃に悪用されうる弱点のことです。深刻度は、10点満点の共通の評価基準で9.2と、きわめて高い水準です。今回の弱点は、ログインしていない第三者が、外からサーバー上で好きなプログラムを動かせてしまうおそれがあるものでした。

WordPress公式も同じ日に、今回の問題はWordPress固有のものではないと案内しました。WordPressの更新では対応せず、直す場所はサーバーのPHPです。内装をどれだけ新しくしても、基礎のひびは直らないのと同じです。

あわせて読みたい

PHP: News Archive - 2026 PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.

日本語

PHP の重大なセキュリティリリース 以下は WordPress.org 公式ブログの記事「Critical PHP Security Releas…

修正版が出たのは8.2以降だけ

修正版が公開されたのは、8.2.35、8.3.36、8.4.27、8.5.12の4つです。一方、8.1以前の版は、すでにPHPの開発元からの更新が終わっています。開発元は事態の重さから、8.1以前向けにも最小限の修正を公開しました。ただし、これはサーバーを自分で組み立てる技術者向けのものです。

WordPress公式の統計では、2026年10月24日時点で約34%のサイトが8.1以前のPHPで動いています。つまり、3つに1つのサイトは、PHPの番号を上げない限り正式な修正が届きません。

WordPressのPHPバージョンを確かめる方法

PHPの番号は、専門知識がなくても管理画面から数分で確かめられます。見る場所と、番号の読み方を押さえておきましょう。

管理画面の「サイトヘルス」で見る

WordPressの管理画面にログインし、「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」の順に開きます。「PHPバージョン」の欄に表示されている数字が、今使っているPHPの番号です。契約しているレンタルサーバーの管理画面でも、同じ情報を確かめられることが多くあります。

番号の読み方：「8.3」と「.36」は意味が違う

PHPの番号は、前半と後半で意味が分かれています。「8.3.36」なら、前半の「8.3」が系統、後半の「36」がその系統の修正の回数です。建物でいえば、系統は設備の世代、修正の回数は点検と修繕を何回重ねたかにあたります。

確かめる順番は次のとおりです。

番号を見るときは、前半の系統と後半の修正の回数を分けて読むのがコツです。前半が古ければ、後半をどれだけ待っても修正は届きません。

誰が何をするかはサーバーの種類で決まる

PHPの更新を誰が担うかは、サイトを置いているサーバーの種類によって変わります。ここを取り違えると、「誰かがやってくれているはず」のまま放置されてしまいます。

レンタルサーバーなら、お知らせと管理画面を確かめる

多くのレンタルサーバーでは、同じ系統の中の修正は、サーバー会社が当ててくれます。テナントビルの共用設備を、ビルの管理会社が点検するのと同じです。ただし、番号を変えずに修正を当てる会社もあるため、お知らせの「対応完了」の表記もあわせて確かめましょう。また、どの系統を使うかを選ぶのは契約者です。8.1以前の系統を選んだままなら、サーバー会社の管理画面から8.3以上の系統へ自分で切り替える必要があります。

まずはサーバー会社のお知らせを開き、今回の脆弱性への対応状況を確かめましょう。WordPress公式は、サーバー会社がすでに更新や防御の設定を進めている場合があるとしています。そのうえで、更新の案内が出ていないか確かめるよう呼びかけています。

自分で管理するサーバーなら、すぐに更新する

VPSなど、サーバーを丸ごと借りて自社や制作会社が管理している場合は、修正版への更新を誰も代わりにしてくれません。サーバーを自社で管理しているなら、今日のうちに更新するか、担当者に状況を確かめてください。8.1以前のまま、すぐに上げられない場合もあるでしょう。その場合について、WordPress公式は、準備が整うまでサーバーを止めることも検討するよう案内しています。

PHPを上げてサイトを壊さないための手順

PHPの系統を上げることは大切ですが、いきなり本番で切り替えると、サイトが表示されなくなることがあります。基礎の工事をする前に荷物を避難させるように、手順を踏んで進めましょう。

上げる前にバックアップと動作環境を確かめる

最初に、サイト全体のバックアップを取ります。取り方は「WordPressを安全に保つ運用術｜バックアップと更新の正しい進め方」で解説しています。次に、WordPress本体、テーマ、プラグインをそれぞれ最新版に更新しておきます。古いテーマやプラグインは、新しいPHPに対応していないことがあるためです。

切り替え先の系統は、WordPress公式が推奨する8.3以上を選びます。サーバー会社の管理画面で選べるなら、期限がより先の8.4以上にしておくと、次の切り替えまでの時間に余裕が生まれます。8.2は2026年12月31日で修正の提供が終わるため、今から8.2に上げても、2か月後にまた同じ作業が必要になります。

あわせて読みたい

WordPressを安全に保つ運用術｜バックアップと更新の正しい進め方 管理画面に「更新してください」って通知、たくさん溜まっていませんか？ はい、実は怖くて押せないままなんです…押したらサイトが壊れませんか？ その不安、正解です。...

検証用のコピーで試してから本番へ

本番のサイトを直接切り替える前に、本番とは別に用意した検証用のコピーで新しいPHPを試します。サーバーによっては、サイトを丸ごと複製する機能が管理画面に用意されています。トップページや主なページの表示、お問い合わせフォームの送信、スマホでの見え方を確かめましょう。問題がないことを確かめてから、アクセスの少ない時間帯に本番を切り替えるのが安全です。

表示が崩れたら、慌てず元の版に戻す

切り替えたあとに画面が真っ白になったり、レイアウトが崩れたりした場合は、まず元の系統に戻します。ただし、戻す先の系統にサーバー会社が今回の修正を当てているかを、お知らせで必ず確かめてください。修正の当たっていない版に戻すと、今回の穴が開いたままになるためです。WordPressは深刻なエラーが起きると、管理者のメールアドレスに知らせを送ります。そのメールに原因となったプラグインやテーマの名前が書かれていることが多いので、手がかりにしましょう。

ただし、修正の届かない古い系統に戻すのは、原因を調べるあいだの応急処置です。テーマが古くて新しいPHPで動かない場合は、テーマの乗り換えも視野に入れてください。進め方は「古いWordPressテーマを使い続ける4つのリスクと乗り換え方」で解説しています。

あわせて読みたい

古いWordPressテーマを使い続ける4つのリスクと乗り換え方 何年も前に作ったWordPressのサイト、テーマの更新が止まっていませんか？表示されていても、実は危ない状態かもしれません。 テーマというのは、それってどういう意味...

今回で終わりにしないための保守の考え方

今回の脆弱性に対応できても、PHPには版ごとに期限があります。慌てて対応するのを繰り返さないために、先の予定を知っておきましょう。

026年12月末で8.2もサポート終了を迎える

PHPの各系統には、修正が提供される期限が決まっています。8.2は2026年12月31日、8.3は2027年12月31日、8.4は2028年12月31日で終わります。今回の時点で8.2を使っているサイトは約23%あります。8.1以前の約34%と合わせると約57%です。このままなら、年明けには半数を超えるサイトが修正の届かない版で動くことになります。

PHPの期限は、毎年12月31日に一つずつやってきます。年に一度、年末前にPHPの番号を確かめる習慣をつけておけば、今回のような知らせにも落ち着いて対応できます。

自社で見るか、保守を任せるかの目安

レンタルサーバーで、テーマやプラグインが少なく更新も止まっていないサイトなら、本記事の手順で自社でも対応できます。一方で、次のような場合は、制作会社や保守の専門家に相談するのがおすすめです。

外注するかどうかの考え方は「WordPress保守は外注すべき？自社運用に潜むリスクと判断基準」も参考にしてください。

あわせて読みたい

WordPress保守は外注すべき？自社運用に潜むリスクと判断基準 自社のWordPress、最後にアップデートしたのっていつ頃か覚えていますか？ 正直、半年以上は触っていないかもしれません……。動いているから大丈夫かな、と。 実はそれが...

よくある質問

PHPのバージョンを上げると、記事や画像は消えてしまいますか？

記事や画像は、PHPとは別のデータベースやサーバー上のフォルダに保存されているため、PHPの版を変えても消えません。影響を受けるのは、ページの表示や、テーマ・プラグインの機能です。念のため、切り替える前にバックアップを取っておきましょう。

管理画面に「PHPの更新が必要です」という表示が出ていなければ、安心してよいですか？

表示が出ていなくても、安心とは限りません。この表示は、PHPの版がWordPressの定める基準より古い場合にだけ出ます。2026年10月24日時点では、8.1や8.2のサイトには表示されません。表示の有無ではなく、「サイトヘルス」で見た番号で判断しましょう。

修正版に上げたら、もう安心ですか？

修正版に上げれば、今回の2件の穴はふさがります。ただし、更新前にすでに入り込まれていた場合、その痕跡までは消えません。管理画面のユーザー一覧に覚えのない管理者がいないか、見覚えのないプラグインが増えていないかを確かめましょう。開発元は10月23日に追加の注意も出しているため、次回の更新も見送らないようにしましょう。

サイトを作った制作会社と連絡が取れません。PHPの更新は誰に頼めばよいですか？

レンタルサーバーの契約者が自社であれば、PHPの系統は自社で切り替えられます。作業に不安がある場合は、WordPressの保守を請け負う別の制作会社にも依頼できます。相談するときは、サーバーとWordPressの管理画面に入るための情報をそろえておくと、話が早く進みます。

使っていない古いWordPressサイトがサーバーに残っています。どうすればよいですか？

使っていないサイトほど、古いPHPのまま放置されやすく、攻撃の入口になりがちです。今後も使う予定がなければ、バックアップを取ったうえで削除するか、外から見られない状態にしておきましょう。残す場合は、公開中のサイトと同じように、PHPの系統を確かめて切り替えてください。

まとめ

2026年10月に公表されたPHPの重大な脆弱性は、WordPressを更新しても直りません。直す場所は、サーバーで動いているPHPです。修正版は8.2.35、8.3.36、8.4.27、8.5.12で、8.1以前には正式な修正が届きません。

まずは今日、「ツール」→「サイトヘルス」でPHPの番号を確かめ、サーバー会社のお知らせを開いてください。8.1以前なら、バックアップを取り、検証用のコピーで試してから8.3以上の系統へ切り替えましょう。8.2も2026年12月末で期限を迎えるため、年末を待たずに動き出すのが安全です。