PHPの脆弱性（2026年10月）とは？WordPressサイトの確認方法と対処手順

今回の脆弱性とは（やさしく解説）

今回見つかった2件は、どちらも「認証不要のリモートコード実行（RCE）」——ログインしていない第三者が、通信を送るだけでサーバー上を乗っ取れる、もっとも重い部類の問題です。乗っ取り・改ざん・情報流出につながるおそれがあります。

原因はPHPの session.upload_progress という初期設定で有効な機能ですが、利用者が触る必要はありません。要点は「修正版に更新すれば直る」ことです。

PHPのバージョンの確認方法

まずは、いま使っているPHPのバージョンを確認します。次のいずれかの方法で確認できます。

1. 01

   レンタルサーバーの管理画面で確認する

   契約しているサーバーの管理画面に、「PHP設定」「PHPバージョン」などの項目があります（項目名は会社により異なります）。そこで現在のバージョンを確認できます。

2. 02

   WordPressの管理画面で確認する

   WordPressをお使いなら、管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」の中に、現在のPHPバージョンが表示されます。

3. 03

   サーバー会社のヘルプ・マニュアルを見る

   多くのサーバー会社は、PHPバージョンの確認・変更方法を公式ヘルプで案内しています。「（会社名） PHP バージョン 確認」で検索してみてください。

対処の手順（バックアップ→更新→動作確認）

大きな流れは、次の3ステップです。制作・保守を外部に依頼している場合は、この手順をそのまま依頼してください。

各ステップの詳しい進め方

1. 1

   バックアップを取る

   更新の前に、サイトのデータ（ファイルとデータベース）のバックアップを取得します。サーバー会社のバックアップ機能、またはWordPressならバックアップ系のプラグインを使うのが簡単です。何かあっても元に戻せる状態にしてから進めます。

2. 2

   サーバー会社の対応状況を確認する

   前の項目のとおり、会社側がすでに更新しているのか、利用者が自分でバージョンを切り替える方式なのかを確認します。これで、自分が何をすべきかが決まります。

3. 3

   PHPを修正版に更新（または切り替え）する

   会社側が自動で対応する場合は、利用者の操作は基本的に不要です（念のため現在のバージョンを確認しておきましょう）。利用者がバージョンを選ぶ方式の場合は、管理画面で、利用中の系統の修正版（8.5.12／8.4.27／8.3.36／8.2.35 以降）に切り替えます。

4. 4

   更新後に再起動する

   自分でサーバーを管理している場合は、更新後にWebサーバー（ApacheやNginxなど）・PHP-FPM・常駐しているPHPのプロセスを再起動します。再起動しないと、古いプログラムが動き続けて修正が反映されません。共用のレンタルサーバーでは、この再起動は会社側が行います。

5. 5

   動作確認をする

   サイトが正常に表示・動作するかを確認します。トップページだけでなく、お問い合わせフォーム・ログイン・会員機能・決済など、主要な機能が動くかも確かめてください。PHPのバージョンが意図したものに切り替わっているかも、あわせて再確認します。

更新できない・不具合が出た場合

よくあるご質問

出典

• PHP公式サイト（php.net）

  本件の注意喚起と、修正版（8.5.12／8.4.27／8.3.36／8.2.35）のリリース情報。一次情報としてもっとも信頼できます。

• PHP公式・2026年のお知らせ一覧（php.net/archive）

  リリースの告知が時系列で掲載されます。

• 米国CISA 既知の悪用脆弱性カタログ（cisa.gov）

  米国の政府機関。早急な更新を呼びかけています。

• セキュリティ各社の解説（Sansec／Huntress／Help Net Security など）

  WordPress・ホスティング向けの解説や、悪用状況の報告（公表時点では調査中）。

確認日：2026年10月22日。本記事は公表直後の情報にもとづきます。最新かつ正確な情報は、必ずPHP公式サイト（php.net）およびご利用のサーバー会社の案内をご確認ください。公式の新しい情報が本記事の内容に優先します。