2026年10月21日、PHPの開発チームから、重大なセキュリティ上の問題を修正した新しいバージョンが公開されました。
今回の脆弱性は「PHP2Shell」とも呼ばれており、条件によっては外部からサーバー上で不正なプログラムを実行される危険性があります。
これを受け、国内のレンタルサーバー会社でも緊急対応が進められています。
エックスサーバーでは、10月22日14時までにPHP 5.6〜8.5の対象サーバーへの修正パッチ適用が完了しました。
ただし、サーバー会社が今回の脆弱性を修正したからといって、古いPHPを使い続けることが長期的に安全になるわけではありません。
今回は、PHPになじみのないWordPress利用者の方にも分かるように、PHPのバージョンごとの違いや、これから確認しておきたいことを解説します。
そもそもPHPとは？
PHPは、WordPressなどのWebサイトを動かすプログラミング言語です。
ブログ記事の表示、管理画面での操作、お問い合わせフォームの送信など、さまざまな機能に関係しています。
WordPressで記事を書く際にPHPを直接操作することは少ないと思いますが、実際にはWebサイトの裏側で動いています。
そのため、PHPに重大なセキュリティ上の問題が見つかった場合、WordPressを利用しているサイトにも影響する可能性があります。
今回発見されたPHPの重大な脆弱性とは？
今回修正された脆弱性は、次の2件です。
- CVE-2026-109618
- CVE-2026-109619
どちらも、認証されていない第三者によってサーバー上で不正なコードが実行される可能性のある深刻な問題です。
PHP開発チームは、2026年10月21日に緊急の修正版を公開し、速やかな更新を呼びかけています。
ただし、PHPを使用するWebサイトがすべて攻撃されたという意味ではありません。
重要なのは、利用しているPHPに必要な修正が適用されているか確認することです。
PHP 8.1から8.5まで、何が違うのでしょうか？
PHPには、Windowsなどと同じようにバージョンがあります。
8.1、8.2、8.3、8.4、8.5と開発が進み、プログラムの機能や保守性、セキュリティ面の改善が続けられています。
主な違いは次のとおりです。
| バージョン | 主な特徴 | 2026年10月時点の状況 |
|---|---|---|
| PHP 8.1 | 列挙型など、プログラムを安全に管理する機能を追加 | 公式サポート終了 |
| PHP 8.2 | 読み取り専用クラスなどを追加 | 2026年末にサポート終了予定 |
| PHP 8.3 | 型チェックや内部処理の機能改善 | WordPressの推奨要件を満たす |
| PHP 8.4 | プロパティフックなど新しい開発機能を追加 | 公式サポート中 |
| PHP 8.5 | パイプ演算子やURI処理機能などを追加 | 最新のメジャー系統 |
新しいバージョンほど機能面で進化していますが、必ずしもすべてのWordPressサイトで問題なく動作するとは限りません。
古いテーマやプラグインが新しいPHPに対応していない場合、エラーなどが発生する可能性もあります。
一方、古いPHPを使い続けていると、公式のセキュリティサポートが受けられなくなったり、新しいプラグインが利用できなくなったりすることがあります。
今回の脆弱性を修正したPHPのバージョン
2026年10月21日に公開されたPHP公式の修正版は、次のとおりです。
| PHPの系統 | 公式修正版 |
|---|---|
| PHP 8.1 | 公式修正版なし |
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
注意したいのは、PHP 8.3であっても、8.3.35と8.3.36では今回の脆弱性への対応状況が異なるという点です。
また、レンタルサーバー会社によっては、公式の修正版とは別に、独自のセキュリティパッチを適用している場合があります。
そのため、サーバー会社から修正済みと案内されている場合には、表示されるバージョン番号だけで未対策と判断しないことも大切です。
エックスサーバーでは古いPHPにも修正パッチを適用
今回、エックスサーバーは非常に迅速な対応を行いました。
エックスサーバーの公式発表によると、2026年10月22日の主な対応経過は以下のとおりです。
| 日時（JST） | 対応内容 |
|---|---|
| 10月22日 1:10 | PHP 8.2〜8.5への修正適用を開始 |
| 10月22日 6:45 | PHP 8.2〜8.5の対象サーバーへの修正完了 |
| 10月22日 12:00 | PHP 7.4〜8.1の対象サーバーへの修正完了 |
| 10月22日 14:00 | PHP 5.6〜7.3の対象サーバーへの修正完了 |
| 10月22日 20:10 | 各種サービスサイトを順次再開 |
10月22日20:10時点の公式発表では、PHP 5.6〜8.5について、対象となるすべてのサーバーへの修正パッチ適用が完了しています。
PHP 5.5以前については、引き続き修正パッチの作成・検証が進められています。
エックスサーバーは今回、公式の修正版が提供されたPHP 8.2〜8.5だけでなく、公式サポートが終了した古いPHPにも独自の修正を適用しています。
これは、古いシステムやWebサイトを運用している利用者にとって、重要な対応だと思います。
ただし、ここで注意したい点があります。
今回の修正パッチが適用されたことと、古いPHPの公式サポートが再開されることは別問題です。
PHP 7.4や8.1は、今回の脆弱性に対する修正が提供されても、PHP公式のサポート終了という状況は変わりません。
今後別の脆弱性が発見された場合も、必ず同じような対応が行われるとは限りません。
そのため、当面のセキュリティ対策として独自パッチを利用しながら、長期的には新しいPHPへの移行を検討することをお勧めします。
また、修正パッチ適用後にWebサイトの表示や機能に問題が生じていないか、確認しておくと安心です。
今回の更新による不具合がすべてのサイトで発生しているという情報ではありませんが、古いプログラムを利用している場合は注意が必要です。
初期費用無料、月額990円から、高速・多機能・高安定レンタルサーバー『エックスサーバー』
参考：エックスサーバー公式発表
WordPressではPHP 8.3以上が推奨されています
WordPress公式では、PHP 8.3以上の利用を推奨しています。
そのため、現在PHP 8.1を利用している方は、今回の脆弱性への対応をきっかけに、PHP 8.3以上への移行を検討してみてはいかがでしょうか。
もちろん、PHP 8.4や8.5も選択肢になります。
ただし、利用しているテーマやプラグインによって対応状況が異なるため、新しいバージョンを選べば必ず安全かつ正常に動作するというわけではありません。
まずはPHP 8.3以上への対応状況を確認し、無理なく移行できるバージョンを選ぶことが大切です。
今回の脆弱性については、PHP 8.3であれば公式修正版の8.3.36以降、またはサーバー会社が修正を適用済みと案内している環境であることも確認してください。
Contact Form 7を使っている方は、PHPのバージョンも確認してください
WordPressのお問い合わせフォームで広く利用されているプラグインに、Contact Form 7があります。
2026年10月22日時点で公開されているContact Form 7のバージョン6.2.3では、PHP 8.3以上が必要とされています。
つまり、PHP 8.1を利用しているWordPressサイトでは、Contact Form 7の現行バージョンの動作要件を満たしていないことになります。
また、プラグインの動作にはWordPress本体の対応バージョンも関係します。
古いWordPress本体やPHPのまま、Contact Form 7だけを最新版へ更新すればよいというわけではありません。
そのため、以下の点をまとめて確認することをお勧めします。
- WordPress本体のバージョン
- PHPのバージョン
- Contact Form 7のバージョンと動作要件
- 使用中のテーマやその他のプラグインの互換性
お問い合わせフォームは、お客様からの大切な連絡を受け取るための機能です。
画面上でフォームが正常に表示されていても、実際にはメールが送信できていない可能性もあります。
PHPやプラグインの更新後は、実際にテスト送信を行い、メールが正しく届くことまで確認しましょう。
参考：Contact Form 7公式ページ
PHPのバージョンを変更するとWebサイトが壊れることはある？
PHPを新しくすると、Webサイトの表示や機能に影響が出る場合があります。
特に長年運用しているWordPressサイトでは、古いテーマや独自に制作されたプラグインが使われていることもあります。
例えば、以下のような問題です。
- Webサイトの一部が表示されなくなる
- ページのレイアウトが崩れる
- 管理画面にエラーが表示される
- お問い合わせフォームが動作しなくなる
- 特定のプラグインが正常に動かなくなる
そのため、PHPのバージョン変更は、バックアップを取ってから実施することをお勧めします。
また、WordPress本体、テーマ、プラグインを最新の状態にする場合も、それぞれの互換性を確認してから更新することが大切です。
できればテスト環境で検証し、問題がなければ本番環境へ反映する方法が望ましいでしょう。
更新後は、トップページだけでなく、主要なページ、スマートフォン表示、お問い合わせフォームなども確認してください。
現在のPHPバージョンを確認する方法
WordPressの管理画面にログインできる場合は、次の手順でPHPのバージョンを確認できます。
- WordPressの管理画面を開く
- 「ツール」から「サイトヘルス」を選択する
- 「情報」タブを開く
- 「サーバー」の項目を展開する
- 「PHP バージョン」を確認する
ここで確認できるのは、WordPressが認識しているPHPのバージョンです。
サーバー会社が独自に修正パッチを適用している場合、バージョン番号だけでは今回の脆弱性への対策状況が分からないこともあります。
契約しているレンタルサーバー会社の最新情報も併せて確認しましょう。
今回、WordPress利用者が行っておきたいこと
今回のような重大な脆弱性が発見された際は、慌ててPHPのバージョンを変更するのではなく、状況を確認しながら対応することが重要です。
特に確認しておきたいのは、次の5点です。
- 現在使用しているPHPのバージョンを確認する
- レンタルサーバー会社のセキュリティ対応状況を確認する
- WordPress本体・テーマ・プラグインの更新状況を確認する
- バックアップを確保したうえで、必要なアップグレードを行う
- 更新後にWebサイトの表示やお問い合わせフォームの動作を確認する
PHP 8.1以前を利用している場合は、今回の脆弱性への対策だけでなく、今後の安全な運用についても考えていただきたいと思います。
PHPやWordPressのアップグレードでお困りの方へ
PHPのバージョンアップは、サーバーの設定を変更するだけで完了するとは限りません。
特に長年運用されているWordPressサイトでは、テーマやプラグインとの互換性を考慮する必要があります。
ココナラで、WordPressの保守やカスタマイズ、PHPのバージョンアップなど対応してくれる人を探すのもお勧めです。
TVCMで話題のココナラ
PHPのバージョン変更に不安がある方や、アップグレード後に表示崩れ・プラグインの不具合などが発生した方は、お気軽にご相談ください。
現在のサーバー環境やWebサイトの構成を確認し、対応可能な内容をご案内いたします。
今回の問題をきっかけに、WordPressやPHPのバージョン、バックアップ体制などを一度見直してみてはいかがでしょうか。
大切なWebサイトを安全に運用するためのお役に立てましたら幸いです。
参考情報
PHP公式・2026年10月21日のセキュリティ情報
PHP公式・サポート対象バージョン
エックスサーバー・2026年10月22日の対応状況
WordPress公式・推奨環境
Contact Form 7公式プラグインページ
※本記事は2026年10月22日時点の公式発表をもとに作成しています。脆弱性への対策状況は随時変更される可能性があります。ご利用中のレンタルサーバー会社の最新情報もご確認ください。
