【2026年10月】PHPの重大な脆弱性とは？ホームページ運営者が今すぐ確認すること

PHP・セキュリティ 2026.10.22

鍵のマークとパスワード入力欄が表示されたスマートフォンが、キーボードやノートと一緒に机に置かれている様子

2026年10月21日、プログラミング言語「PHP」の開発元が、とても深刻な脆弱性（セキュリティ上の弱点）2件を直した新しい版を公開しました。PHPは、WordPressをはじめ、世界中の多くのホームページで使われている仕組みです。ニュースを見て「うちのホームページは大丈夫だろうか」と不安になった方も多いと思います。

この記事は、IT担当者がいない福祉事業所・中小企業・個人事業主の方に向けて、ニュースの要点と「今日からやること」をやさしい言葉でまとめたものです。内容は2026年10月22日時点の公式情報にもとづいています。状況は変わる可能性があるため、最新の情報は記事の最後にある公式ページでもご確認ください。

今回、何が起きたのですか？

PHPの開発元は、2026年10月21日に、「重大」と評価された2件の脆弱性を修正した版を公開しました。

CVE-2026-109618：メモリ（サーバーが作業に使う記憶領域）が足りなくなったときの処理の不具合を悪用される弱点
CVE-2026-109619：前のアクセスの情報が、次のアクセスの処理に残ってしまう不具合を悪用される弱点

どちらも、深刻度を表す世界共通の指標（CVSS v4.0）で、10点満点中9.2点とされています。心配されているのは、インターネットの向こう側にいる第三者が、ログインなどをしなくても、サーバー上で好きなプログラムを動かせてしまうおそれがあることです。専門用語では「認証なしのリモートコード実行」と呼ばれます。

公開の前に、脆弱性についての情報の一部が外部に出回ったため、修正版の公開は予定より1日前倒しになりました（The PHP Foundationの発表による）。セキュリティ会社からは、公開後に悪用を試みる動きが観測されたという報告も出ており、検証用のコードも複数公開されています。一方で、どの環境でも簡単に攻撃が成功するわけではないという分析もあり、状況は流動的です。だからこそ、公式は「様子を見る」のではなく、修正版への更新を急ぐことを呼びかけています。

日本でも、IPA（情報処理推進機構）、JPCERT/CC、JVNが2026年10月22日に、注意喚起や脆弱性情報を公開しています。

どのバージョンのPHPが対象で、どれが修正版ですか？

PHPには「8.3.36」のように番号がついています。先頭の2つの数字（8.3）が「系列」、最後の数字が細かい修正の回数です。今回の修正版は次のとおりです。

使っているPHPの系列	修正版	状況
8.5系	8.5.12	8.5.11以前は更新が必要
8.4系	8.4.27	8.4.26以前は更新が必要
8.3系	8.3.36	8.3.35以前は更新が必要
8.2系	8.2.35	8.2.34以前は更新が必要。8.2系そのものも2026年12月31日でサポート終了
8.1以前	なし	公式の更新は出ません（サポート終了）。サポート中の版への移行が必要

公式が「影響を受ける版」として挙げているのは8.2〜8.5系です。8.1以前は、修正版が出ないため「影響がない」とは言えません。IPAは、調査に関わったセキュリティ会社Wiz社の見解として、PHP 5.4以降は少なくとも1件の脆弱性の影響を受けると紹介しています。古い版を使っている場合の考え方は、古いPHPを使い続けるリスクとは？で説明しています。

なお、サーバー会社やOS（Linuxなど）が提供するPHPは、番号が変わらないまま修正が入っている場合があります。表示された番号だけで判断できないときは、契約しているサーバー会社に確認してください。

自分のホームページは関係ありますか？

関係があるのは、PHPが動いているホームページです。見た目だけでは分からないので、次のように考えてみてください。

WordPressで作ったホームページ：PHPで動いています。確認が必要です。
問い合わせフォーム・会員ページ・予約システムなどを、制作会社がPHPで作ったホームページ：PHPで動いている可能性が高く、確認が必要です。
HTMLファイルだけで作られたホームページ（静的サイト）：PHPを使っていないため、今回のPHPの脆弱性の対象にはなりません。
契約したサービスの中で作るタイプのホームページ作成サービス：PHPの管理は提供元が行います。提供元からのお知らせを確認してください。

「自分のサイトがどれか分からない」という方も多いと思います。順番に確かめる手順は、自分のホームページはPHPを使っている？見分け方と確認の手順で説明しています。

ホームページを作り直したあとも、古いWordPressやテスト用のサイトが同じサーバーに残っていることがあります。PHPが動いている以上、それらも対象になりますので、使っていないものは整理しておきましょう。

WordPressのプラグインを更新すれば大丈夫ですか？

いいえ。WordPressやプラグインの更新だけでは直りません。

今回の弱点は、WordPressのような個々のソフトではなく、その土台になっているPHP本体にあります。直すには、サーバー側のPHPを修正版にする必要があります。セキュリティ会社のWiz社は、最新のWordPressの環境でも攻撃が成立することを確かめたと報告しています（Patchstack社の解説による）。

だからといって、WordPress本体・テーマ・プラグインの更新が不要になるわけではありません。「PHPの更新」と「WordPressの更新」は別の作業で、どちらも必要です。くわしくはWordPressとPHPの関係をやさしく解説をご覧ください。

今日から3日間でやることの順番

あわてて作り直す必要はありません。次の順番で進めてください。

契約しているサーバー会社のお知らせを見ます。PHPを更新済みか、お客様側で操作が必要かが書かれています。
PHPのバージョンを確認します。WordPressの管理画面やサーバーの管理画面から、数分で分かることが多いです。
修正版より古い場合は、更新します。サーバーの管理画面で切り替えられる場合もあれば、制作会社への依頼が必要な場合もあります。更新の前にはバックアップを取り、更新のあとはトップページ・問い合わせフォーム・管理画面が正しく表示されるかを確認します。
更新できない、または古すぎる場合は、PHPを更新できないときの対処方法を確認します。
不審な動きが気になる場合は、ホームページが攻撃されたかも？確認したいことを見て、サーバー会社や制作会社に相談します。

更新すれば解決する？乗り換えが必要になる？

多くの場合、PHPを修正版に更新すれば、今回の脆弱性には対応できます。PHPやWordPressそのものが危険だということではなく、乗り換えが必須というわけでもありません。

ただし、次のような場合は、これを機に「このまま続けるか、別の形にするか」を比べてみる価値があります。

契約中のサーバーで、新しいPHPに切り替えられない
古いプラグインやテーマが原因で、更新すると表示が崩れる
更新作業を頼める人がおらず、保守の費用や手間が負担になっている
事業所の紹介が中心で、ブログや会員機能をほとんど使っていない

こうした場合の選択肢を、費用・安全面・手間・更新のしやすさで並べたのが、PHPホームページの更新・乗り換え方法を比較のページです。PHPを更新して続ける方法も、公平に説明しています。

福祉ITパートナーには、事業所紹介を中心とした小規模なホームページを、PHPを使わない静的な形に乗り換える乗り換えプラン（49,500円〜）があります。ただし、PHPで動く問い合わせフォーム・会員機能・予約システムなどがある場合は、一律の料金では移行できず、個別のお見積りになります。今の契約のままの方がよいと判断した場合は、そのままをおすすめします。

あわててやってしまいがちなこと

検索で見つけた「対策プラグイン」や、ネットに載っているプログラムの貼り付け。公式ではない対策は、かえって問題を起こすことがあります。
意味が分からないまま、設定ファイルを書き換える。公式も、設定による回避策は「攻撃の経路を減らすだけで、完全な対策ではない」としています。
古いまま放置する。「小さなホームページだから狙われない」とは言い切れません。
すべてを作り直す。確認と更新で済むケースが多いので、まず状況を確認してから判断しましょう。

なお、すでにホームページが見られなくなっている場合は、原因をPHPと決めつけず、まずPHPの脆弱性とホームページが止まる関係は？の順で確認してください。新しく作り直したい場合は、ホームページ再スタート（15,000円・税込）をご案内しています。

このテーマの記事

目的に合わせて、必要なものからお読みください。

確認する

困ったとき

費用を知る・続け方を選ぶ

情報源（2026年10月22日に確認）

この記事は、公開時点で確認できた情報をもとにした一般的な解説です。お使いの環境ごとの判断は、サーバー会社・制作会社・専門の業者にご確認ください。

ホームページの仕組みが分からないときは、ご相談ください

契約内容やサイトの仕組み（PHPやWordPressを使っているかなど）を一緒に確認する「HP維持費削減診断」は0円です。診断だけでも大丈夫です。なお、福祉ITパートナーは、脆弱性診断や、攻撃を受けたかどうかの調査を行う事業者ではありません。必要な場合は、サーバー会社や専門の業者へのご相談をおすすめします。

乗り換えプランと0円診断を見る