【2026年10月21日】PHPに致命的な脆弱性。WordPressやレンタルサーバー利用者が今すぐ確認すべきこと

AI活用

026年10月21日、Webサイトの開発・運用に広く使われているプログラミング言語「PHP」に、重大な脆弱性が発見されたことが話題になっています。

緊急性の高いものなのでAIに今回のことに関してまとめてもらいました。

国内でもエックスサーバーやさくらインターネットをはじめ、BASEやコドモンなど、さまざまなサービスで緊急メンテナンスや一時停止が実施されています。

「WordPressで作ったサイトだけど大丈夫？」

「レンタルサーバーを使っている場合、自分で何かする必要がある？」

そんな疑問を持っている方も多いのではないでしょうか。

結論から言うと、まず確認すべきなのは、現在利用しているPHPのバージョンと、サーバー会社の対応状況です。

特にPHP 5.xや7.xを使用している場合は、今回の問題に限らずセキュリティ上のリスクが高いため、早急に対応を検討する必要があります。

今回は、現在わかっている情報と、Webサイト運営者が取るべき対応について整理してみました。

※この記事は2026年10月21日22時台時点の情報です。脆弱性の詳細や対象バージョンは変更・追加される可能性があります。

何が起きているのか？

PHPの開発チームは、2026年10月20日（UTC）、重大な脆弱性2件に対応するセキュリティアップデートを公開すると発表しました。

発表されている内容は以下のとおりです。

  • 発見された脆弱性：2件
  • 深刻度：いずれもCVSS v4.0で9.2（10点満点）
  • 修正版の公開予定：2026年10月21日23時（日本時間）
  • 影響を受ける正確なバージョン：公式発表待ち

CVSSとは、セキュリティ上の脆弱性がどの程度危険なのかを評価するための指標です。

今回の9.2という数値は、最も深刻な「Critical」に分類されます。

また、欧州のセキュリティ機関CERT-EUは、今回の脆弱性が**認証なしでのリモートコード実行（RCE）**につながる可能性を指摘しています。

リモートコード実行とは、外部からサーバー上で不正なプログラムを動かされることです。

悪用された場合、条件によってはWebサイトの改ざんや情報漏えい、不正なファイルの設置などにつながるおそれがあります。

ただし、現時点では脆弱性の詳しい仕組みや影響条件は正式に公開されていません。

CERT-EUはPHP 5以降のすべてのバージョンが影響を受ける可能性を示していますが、これも正式な対象範囲が確定したという意味ではありません。

また、IPAは10月21日時点で、この脆弱性を悪用した攻撃を確認したわけではないと説明しています。

つまり、危険性は非常に高いものの、すべてのPHPサイトがすでに攻撃を受けているわけではないということです。

参考：PHP公式発表 / CERT-EUの注意喚起

何をすればいいのか？

現時点でWebサイト運営者がやるべきことは、大きく分けて次の4つです。

1. PHPのバージョンを確認する

まずは自分のWebサイトがどのバージョンのPHPで動いているのかを確認しましょう。

WordPressを使用している場合は、管理画面から確認できます。

WordPress管理画面 → ツール → サイトヘルス → 情報 → サーバー

ここに現在使用しているPHPのバージョンが表示されています。

また、レンタルサーバーの管理画面にある「PHP設定」や「PHPバージョン切替」などからも確認できます。

2. サーバー会社の公式情報を確認する

レンタルサーバーを利用している場合、今回の脆弱性への対応はサーバー会社側で実施されることがあります。

ただし、PHPの修正パッチ適用と、ユーザーが利用するPHPのバージョン変更は別の作業です。

サーバー会社がパッチを適用しても、自分のサイトが古いPHPのままになっている可能性があります。

まずは契約しているサーバー会社のお知らせやメンテナンス情報を確認してください。

3. 必ずバックアップを取る

PHPのバージョン変更を行う前には、必ずWebサイトのバックアップを取得しましょう。

WordPressの場合は、ファイルだけでなくデータベースのバックアップも必要です。

PHPを新しくすることで、古いテーマやプラグインが正常に動作しなくなることがあります。

可能であればステージング環境などで事前に動作確認することをおすすめします。

4. 修正版が公開されたら速やかに適用する

2026年10月21日23時に修正版が公開される予定です。

公開後は、PHP公式やサーバー会社から案内される対象バージョン・修正バージョンを確認し、速やかに適用しましょう。

修正の適用が困難で、影響を受けることが確認されたシステムについては、一時的な公開停止や外部アクセスの制限も検討が必要です。

レンタルサーバーを利用している場合は？

今回、特に気になるのがレンタルサーバーを利用しているケースです。

エックスサーバー、さくらのレンタルサーバ、ロリポップ！、ConoHa WINGなどを利用している方も多いと思います。

一般的な共用レンタルサーバーでは、OSやPHP実行環境の管理はサーバー会社側が担当しています。

そのため、サーバー会社によっては、利用者が操作しなくても修正パッチが適用される場合があります。

ただし、ここで注意したいのが、「サーバー会社が対応する＝自分のサイトも自動的に安全になる」とは限らないことです。

例えば、PHP 7.4を利用しているサイトで、サーバー会社がPHP 8.4に修正パッチを適用したとしても、サイトがPHP 7.4のままなら対策が完了しているとは判断できません。

古いPHPに対して、サーバー会社が独自のセキュリティ修正を提供するケースもありますが、対応内容は各社で異なります。

そのため、利用者としては次の点を確認する必要があります。

  • サーバー会社が今回の脆弱性に対応しているか
  • 現在使用しているPHPは修正対象になっているか
  • 自分でバージョンの切り替えが必要か
  • バージョン変更によってサイトに影響が出ないか

なお、VPSやクラウドサーバーなど、OSやPHPを自分で管理する契約では、原則として利用者側での対応が必要です。

共用レンタルサーバーとVPSでは管理責任の範囲が異なるため、契約内容を確認しておきましょう。

PHP 5.x・7.x系を使用している人は特に注意

今回の問題で、特に注意したいのが古いPHPを使い続けているサイトです。

PHP 5.xや7.xは、すでに公式サポートが終了しています。

2026年10月21日時点でPHP公式がサポートしているのは、8.2・8.3・8.4・8.5です。

PHPバージョン公式サポート状況
PHP 5.x終了
PHP 7.x終了
PHP 8.0終了
PHP 8.1終了
PHP 8.2セキュリティサポート中
PHP 8.3セキュリティサポート中
PHP 8.4サポート中
PHP 8.5サポート中

特にPHP 7.4は2022年11月28日に、PHP 8.1も2025年12月31日に公式サポートを終了しています。

公式サポートが終了したPHPには、原則としてPHP開発元から新しいセキュリティ修正が提供されません。

今回の脆弱性の影響範囲が最終確定していないこととは別に、古いPHPを使い続けること自体がリスクになります。

なぜ古いPHPを使い続けているのか？

Webサイトの制作現場では、PHPのバージョンを上げたくても上げられないケースがあります。

例えば、以前制作したWordPressサイトで、使用しているテーマやプラグインが新しいPHPに対応していない場合です。

PHPを新しくしたことで、サイトが真っ白になったり、一部の機能が動かなくなったりすることもあります。

そのため、「正常に表示されているから」と古いバージョンのまま運用されていることも少なくありません。

しかし、サイトが正常に表示されていることと、安全であることは別問題です。

PHP 5.xや7.xを使用している場合は、できるだけ早く現在サポートされているバージョンへの移行を検討してください。

なお、PHP 8.2も2026年12月31日にセキュリティサポート終了を迎える予定です。

これから移行するのであれば、WordPress本体やプラグインとの互換性を確認したうえで、PHP 8.3や8.4などを選択するのが現実的でしょう。

参考：PHP公式サポート状況 / 公式サポート終了バージョン一覧

レンタルサーバー・主要サービスの状況

2026年10月21日22時台までに確認できた各社の対応状況をまとめました。

状況は随時変更されるため、最新情報は各サービスの公式サイトで確認してください。

エックスサーバー

10月21日16時ごろから、予防的な安全対策として公式サイトや管理画面などを一時停止しています。

公式の案内では、利用者のWebサイト表示やメールソフトでの送受信への影響はないとされています。

ただし、これだけで全利用者のPHP環境に修正が適用済みと判断できるわけではありません。

参考：エックスサーバー公式

さくらインターネット

さくらのレンタルサーバ・マネージドサーバでは、一部のサーバーを対象に緊急メンテナンスが案内されています。

対象サーバーでは、10月21日13時から22日8時までの作業予定が告知されており、数分から30分程度の接続断が発生する場合があります。

また、10月21日17時からは、ステージング機能やWebメール、ファイルマネージャ、phpMyAdminなど一部機能の停止も案内されています。

参考：さくらインターネット公式サポート

ロリポップ！

10月19日にセキュリティ強化に関する緊急メンテナンスが告知されています。

ただし、確認できた公式情報では、このメンテナンスと今回のPHPの脆弱性との直接的な関係は明示されていません。

今回のPHP修正への対応範囲や利用者側で必要な操作については、最新の公式案内を確認する必要があります。

参考：ロリポップ！公式お知らせ

ConoHa WING・mixhost

10月21日22時台の調査では、今回の脆弱性に対する具体的な対応内容を示す公式発表を確認できませんでした。

これは「対策を実施していない」という意味ではありません。

利用者は管理画面のお知らせやメールを確認し、必要に応じてサポートに問い合わせてください。

参考：ConoHa WING / mixhost

Zenlogic

Zenlogicホスティングでは、PHPの脆弱性への対応として、10月21日22時から22日18時までの緊急メンテナンスを発表しています。

特にPHP 5.3を利用している環境については、最新バージョンへのアップグレードを実施すると案内されています。

PHP 7.4や8.1についても、修正パッチの提供状況によってバージョンアップが行われる可能性があります。

バージョン変更後のプログラム修正は利用者側で必要になる場合があるため、注意が必要です。

参考：Zenlogic公式メンテナンス情報

BASE・コドモンなど

レンタルサーバー以外でも、今回の問題を受けてサービスを停止する動きが広がっています。

  • BASE： 10月21日15時50分から22日7時までの緊急メンテナンスを予定。ショップの閲覧や注文なども対象
  • コドモン： 保護者アプリを含む全サービスを予防的に停止。10月22日早朝の再開を見込むと発表

いずれも、発表時点で今回の問題に起因する不正アクセスや情報漏えいは確認されていないとしています。

こうしたサービスを利用するだけのユーザーは、自分でPHPを更新するのではなく、サービス提供元の対応を確認することになります。

参考：BASE公式ヘルプ / コドモン公式発表

やらない方がいいこと

今回のような重大な脆弱性が発表されると、すぐに何か対応しなければと焦ってしまうものです。

ただし、誤った操作によってWebサイトを停止させてしまうこともあるため、次の点には注意が必要です。

1. バックアップなしでPHPを更新しない

PHPのバージョン変更でWordPressやプラグインが動かなくなることがあります。

特にPHP 5.xや7.xから8.xに変更する場合、互換性の問題が起きる可能性があるため、事前のバックアップと動作確認が重要です。

2. WordPressを更新すれば解決すると思わない

今回問題になっているのはWordPress本体ではなく、PHPです。

WordPressの更新だけでPHPの脆弱性が修正されるわけではありません。

もちろんWordPress本体・テーマ・プラグインの更新も重要ですが、それぞれ別の対応として考える必要があります。

3. WAFやセキュリティプラグインだけで安心しない

WAFやWordPressのセキュリティプラグインは、不正アクセスへの対策として役立ちます。

しかし、今回のPHPの脆弱性を完全に防げるとは限りません。

根本的な対応は、修正版の適用と安全な環境への移行です。

4. 出所不明の修正プログラムを導入しない

緊急性の高い脆弱性が発見された際には、偽のアップデートや不審な修正ツールにも注意が必要です。

PHP本体やサーバー会社など、信頼できる提供元の情報を確認してください。

5. サイトが表示されているからと放置しない

Webサイトが正常に表示されていても、脆弱性が存在しないとは限りません。

特にサポート終了済みのPHPを利用している場合は、今回の修正だけでなく、今後の保守体制も含めて見直す必要があります。

まとめ

今回のPHPの脆弱性は、多くのWebサイトやWebサービスに影響を及ぼす可能性がある、非常に重大な問題です。

ただし、レンタルサーバーを使用しているからといって、すべての利用者が今すぐPHPを手動更新しなければならないわけではありません。

重要なのは、自分が利用している環境を把握し、必要な対応を見極めることです。

今回、最低限確認しておきたいのは次の4点です。

  1. 現在利用しているPHPのバージョン
  2. 契約しているサーバー会社の対応状況
  3. バージョン変更に備えたバックアップ
  4. 修正版の適用状況と更新後の動作確認

特にPHP 5.xや7.xを使用している場合は、これを機に新しいPHPへの移行を進めることをおすすめします。

古いPHPを使い続けていても、すぐに問題が起こるとは限りません。しかし、公式サポートが終了した環境を使い続けることには、確実にリスクがあります。

今回の件を単なる一時的なニュースで終わらせず、Webサイトの保守・セキュリティを見直すきっかけにしたいところです。

参考・出典

※本記事は2026年10月21日22時台までに確認できた情報に基づいています。PHP公式の修正版公開後は、対象バージョンや各サービスの状況について最新情報をご確認ください。

コメント

タイトルとURLをコピーしました