PHPに重大な脆弱性（php2shell）｜WordPressサイトをお持ちの方が確認したいこと
2026年10月21日、WordPressなどを動かしているプログラミング言語「PHP」の開発チームが、重大な脆弱性2件（通称「php2shell」）を修正したバージョンを公開しました。海外では、政府系のサイトが一時停止する事態も報じられています。
このページでは、WordPressのサイトをお持ちの方に向けて、確認していただきたいことをまとめました。
【何が起きたのか】
・対象：PHP本体（CVE-2026-109618／CVE-2026-109619） ・深刻度：10点満点中9.2（緊急） ・内容：外部から、サーバー上でプログラムを実行されるおそれがある脆弱性です
WordPressはPHPで動いているため、WordPressのサイトも影響を受ける対象です。
PHP公式の発表 https://www.php.net/archive/2026.php#2026-10-21-5
【対策は「PHPの更新」だけです】
PHP公式は「完全な回避策はなく、更新が唯一の安全な方法」としています。修正版は次のとおりです。
・PHP 8.5系 → 8.5.12 ・PHP 8.4系 → 8.4.27 ・PHP 8.3系 → 8.3.36 ・PHP 8.2系 → 8.2.35
【ご自身のサイトで確認していただきたいこと】
1. レンタルサーバーをお使いの方 レンタルサーバーでは、PHPの更新はサーバー会社が行います。ご利用中のサーバー会社のお知らせをご確認ください。修正版が用意されたあと、コントロールパネルでの切り替えが必要になる場合もあります。
2. PHP 8.1以前をお使いの方 PHP 8.1以前には、PHP公式の修正版が提供されません。サポートが続いているバージョン（8.3以降がおすすめ）への切り替えをご検討ください。
3. PHP 8.2をお使いの方 今回は修正版がありますが、PHP 8.2は2026年12月31日でサポートが終了します。年内に8.3以降へ切り替える計画を立てておくと安心です。
ご自身のサイトのPHPバージョンは、多くの場合、サーバーのコントロールパネルで確認できます。
【PHPのバージョンを上げる前の注意】
PHPのバージョンを上げると、古いプラグインやテーマが動かなくなり、サイトが表示されなくなることがあります。
・切り替える前に、必ずサイトのバックアップを取る ・WordPress本体、プラグイン、テーマを先に最新にしておく ・切り替えたあと、トップページやお問い合わせフォームが正しく動くか確認する
表示がおかしくなった場合は、元のバージョンに戻せることがほとんどです。慌てずに、まずは元に戻してからご相談ください。
【保守契約をいただいているお客様へ】
保守契約をいただいているお客様のサイトについては、当社で状況を確認し、対応を進めています。ご不明な点があれば、お気軽にお問い合わせください。
【ご相談窓口】
「自分のサイトがどのバージョンか分からない」「PHPを上げたら表示が崩れた」「古いプラグインが動かなくなった」など、WordPressのことでお困りの方は、当社のWordPress専門窓口「WordPressバスターズ」へご相談ください。