こんにちは、こんばんは。Nakarです！
PHPを使っているWebサイトやサーバーに向けて、緊急のセキュリティ情報が公開されました。
2026年10月21日、PHPの公式チームは、認証されていない第三者によるリモートコード実行につながる2件の重大な脆弱性を修正したアップデートを公開しています。PHPで動くサイト全般に関係する問題で、WordPressだけが対象というわけではありません。
対象のPHPを使っている場合は、できるだけ早くバージョンを確認し、修正版へ更新しましょう。
【緊急】WordPressでPHPバージョンを確認する方法
WordPressを利用している場合は、管理画面からPHPのバージョンを確認できます。
- WordPress管理画面にログイン
- 「ツール」から「サイトヘルス」を開く
- 「情報」タブを選択
- 「サーバー」の項目を開き、PHPバージョンを確認
レンタルサーバーを利用している場合は、サーバーの管理画面にもPHPバージョンが表示されていることがあります。複数のサイトやサーバーを運用している方は、サイトごとに実際の実行環境を確認しましょう。
対象バージョンと修正版
次のバージョンを使っている場合は、同じ系列の修正版へ更新してください。
| 利用中の系列 | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1以前は、PHPプロジェクトから通常のセキュリティ更新を受け取れません。
ディストリビューションや長期サポートベンダーが修正を提供している場合もあるため、利用中のOS・ホスティング事業者に確認してください。修正を受けられない環境では、サポート対象のPHPへ移行する計画が必要です。
なお、PHP 8.2は2026年12月31日にサポート終了予定です。今回の修正版を適用したうえで、今後の移行も検討しておきましょう。
XServerはすでに対応が完了
今回のPHPアップデートで何があった？
今回修正されたのは、次の2件です。
- CVE-2026-109618：メモリ不足時の処理に関係する脆弱性
- CVE-2026-109619：リクエスト間で内部状態が残る問題に関係する脆弱性
条件がそろうと、攻撃者がログインせずにサーバー上で任意のコードを実行できる可能性があります。PHP公式は、Webリクエストを処理するPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなどをリスク対象として挙げています。
修正版は2026年10月21日に公開されました。PHPの公式情報では、完全な回避策はなく、アップデートが安全な対応とされています。
PHPを緊急アップデートする手順
レンタルサーバーを利用している場合
サーバーの管理画面でPHPの更新状況を確認します。事業者側で更新が提供されている場合は、対象サイトのPHPを修正版へ切り替えてください。
切り替え前に、利用中のWordPress本体・テーマ・プラグインが変更後のPHPに対応しているか確認し、可能であればバックアップを取ってから作業しましょう。更新後は、トップページだけでなく、ログイン、問い合わせフォーム、決済など重要な機能も確認します。
管理画面に修正版が表示されない場合は、ホスティング事業者に「今回のPHPセキュリティ修正が適用済みか」「自分で変更する必要があるか」を問い合わせてください。パッケージ提供のタイミングは事業者やOSによって異なります。
VPS・専用サーバーを自分で管理している場合
OSの公式リポジトリや、利用しているPHP提供元が配布する修正版パッケージを確認して適用します。更新コマンドやサービス再起動の手順は、OS、PHPの導入方法、Webサーバーの構成によって異なります。
PHPを複数の方法で導入している環境では、コマンドラインで確認できるPHPと、Webサイトが実際に使っているPHPが別の場合があります。更新後はWeb側の実行バージョンも確認し、PHP-FPMなど必要なプロセスを再起動してください。
独自ビルドの場合は、PHP公式の案内と配布元の情報に従って修正版を導入します。配布元が修正版をまだ提供していない場合は、提供予定と一時対応について事業者に確認しましょう。
すぐに更新できないときは
PHP公式は、紹介している設定変更を完全な対策とは位置づけていません。メモリ制限やリクエストサイズ、特定機能の設定を見直すことで一部の攻撃経路を抑えられる場合はありますが、修正版への更新の代わりにはなりません。
更新できるまで時間がかかり、サーバーを自分で管理している場合は、公開停止を含むリスク低減策を検討してください。設定変更を行う場合も、PHP公式の案内を確認し、WebサーバーやPHP-FPMの全ワーカーに反映されているか確認することが重要です。
ホスティング事業者の管理下にあるサーバーでは、独自判断で設定を変更する前に事業者へ確認しましょう。
更新後に確認したいこと
- PHPの実行バージョンが修正版になっている
- Webサイトが正常に表示される
- WordPress管理画面へログインできる
- フォーム、決済、画像アップロードなど主要機能が動作する
- PHPやWebサーバーのエラーログに異常が出ていない
今回の問題はWordPress固有ではなく、PHPを使うサーバー全般に関わります。WordPress本体やプラグインを更新するだけでは、サーバー上のPHPは更新されません。
PHPのバージョンを確認し、ホスティング事業者やサーバー管理者と連携して、できるだけ早く修正版を適用しましょう。
コメント