PHPの脆弱性はどう対応する？中小企業向けの確認手順と相談先

「PHPに重大な脆弱性」「WordPressも影響を受ける」。
こうしたニュースを見ると、会社のホームページは大丈夫なのかと心配になります。

まず、脆弱性の発表を見ただけで、自社サイトが被害に遭ったと決まったわけではありません。
ただし、修正されていない環境を放置してよい問題でもありません。
今日行うのは、サーバー会社の対応確認と、WordPress側の基本点検です。

レンタルサーバーでは、既に会社側で修正を終えている場合があります。
難しい設定を片っ端から変える前に、自社の契約サービスが対応済みかを確かめましょう。

※2026年10月24日に公式情報を確認しています。
この記事は主にレンタルサーバーで会社サイトを運営する方向けです。
VPSなどを自社で管理する場合は、サーバー管理担当者による対応が必要です。
本記事にアフィリエイトリンクは掲載していません。

今回の問題は、WordPressの更新だけでは直らない

WordPressの裏側では、PHPというプログラムの実行環境が動いています。
今回は、そのPHP自体に重大な問題が見つかりました。

10月21日に公表されたのは、CVE-2026-109618とCVE-2026-109619の2件です。
条件によって、外部の第三者がサーバー上で不正な処理を実行できるおそれがあります。
IPAの日本語の注意喚起でも、修正版の適用が案内されています。

ここで混同しやすいのが、WordPressとPHPの更新です。

WordPress公式の日本語案内も、今回の問題のためにWordPress本体を更新する必要はないと説明しています。
これは「普段のWordPressの更新も不要」という意味ではありません。
PHPの修正と、WordPressの日常的な保守は別々に確認します。

最初にサーバー会社の公式案内を確認する

契約中のサーバー会社の公式サイトや管理画面から、今回のPHPに関するお知らせを開きます。
確認するのは、次の3点です。

1. 自社が使っているサービスとPHPバージョンが対象に含まれるか。
2. 「対応予定」ではなく、修正の「適用完了」まで案内されているか。
3. 利用者による追加操作や、対象外の環境が記載されていないか。

ConoHa WINGは修正完了を発表している

ConoHa WINGの公式発表では、10月22日20:45時点で、提供中のすべてのPHPバージョンへの修正適用が完了したと案内されています。
この対応について、利用者自身がPHPバージョンを変更する必要はないとされています。

また、同社はバージョン番号を大きく変えずに修正を取り込む方法を採っています。
そのため、WordPressで表示される番号だけを見て「まだ直っていない」と決めつけることはできません。
これは今回の対応を確認するうえで、安心材料になる公式情報です。

ただし、ConoHa WINGの発表を、同社のVPSや他社のサービスにも当てはめないでください。

他社も、サービスごとの案内を読む

エックスサーバーの公式案内では、レンタルサーバーのPHP 5.6〜8.5への修正完了を案内する一方、VPSのPHPは利用者側で管理する必要があると説明しています。

会社名が同じでも、契約サービスによって担当範囲は異なります。
「レンタルサーバーなのか、VPSなのか分からない」場合は、契約名と対象ドメインを伝えて問い合わせれば大丈夫です。

10月23日の追加注意も確認する

PHP公式は10月23日にも追加の注意事項を公表しています。
特定の設定とアプリケーションの処理が重なる場合の問題で、CVE-2026-115560として案内されています。

今回の2件の修正完了と、この追加注意への対応は、分けて確認してください。
仕組みが分からなければ、設定値を自分で変更せず、「10月23日の追加注意は当社の環境に関係しますか」とサーバー会社へ聞きます。
この確認も、下の問い合わせ文に含めています。

WordPressでは、確認とバックアップから始める

サーバー会社への照会と並行して、サイト担当者は次の点検を進めます。
改ざんなどの異常を既に見つけた場合は、更新や復元を進める前に、後述の相談手順を優先してください。

1．使用中のPHPバージョンをメモする

WordPressの管理画面で、次の順に開きます。

「ツール」→「サイトヘルス」→「情報」→「サーバー」

「PHPバージョン」を、最後の数字までメモします。
「8.4」だけでなく「8.4.26」のような番号です。
この画面を見るだけで、設定が変わることはありません。

10月21日に公表された2件について、PHP開発元が出した修正版は次のとおりです。

ただし、サーバー会社が独自に修正を取り込んでいる場合があるため、番号だけで最終判定はしません。
この表は、10月23日の追加注意まで解消したことを示す表でもありません。
判断に迷ったら、公式案内かサポート回答で確認してください。

※サイトヘルス全体の情報には、公開する必要のないサーバー情報が含まれます。
SNSや公開掲示板へ丸ごと貼らず、問い合わせ先に必要な項目だけを伝えましょう。

2．バックアップの最終成功日と戻し方を確認する

正常に運用できているサイトでは、更新前に、ファイルとデータベースの両方が保存されるバックアップを確保します。
「バックアップ機能を入れてある」だけでなく、直近の処理が成功しているか、どこから復元するかを確認してください。

制作会社に保守を任せているなら、「直近の正常バックアップと、更新に失敗した場合の復元方法を確認してください」と依頼できます。
既存のバックアップは消さずに残します。

3．必要な更新を行い、表示とフォームを確認する

「ダッシュボード」→「更新」で、WordPress本体やテーマ、プラグインに更新があるかを確認します。
独自改修がある場合や互換性が分からない場合は、保守担当者と手順を決めてください。

更新したら、トップページ、主なサービスページ、画像、管理画面を確認します。
お問い合わせフォームは、承認済みの社内連絡先を使って、送信と受信までテストします。
表示できただけでは、問い合わせを受け取れるかまでは分かりません。

詳しい準備はWordPress公式のPHP更新ガイドでも確認できます。
これは一般的な更新ガイドなので、今回の個別の脆弱性については、上の注意喚起とサーバー会社の案内を優先してください。

分からないときは、この文面で問い合わせる

専門用語を理解してからでなくても、問い合わせはできます。
対象ドメインと、分かる範囲の契約情報を添えて、公式のサポート窓口へ送ってください。

件名：自社サイトのPHP脆弱性への対応確認

契約サービス：［サービス名］
対象ドメイン：［自社サイトのドメイン］
WordPressで確認したPHPバージョン：［番号／不明］

以下について確認をお願いします。

1. CVE-2026-109618、CVE-2026-109619の修正は、
   当社サイトの収容環境にも適用済みでしょうか。
   バージョン番号が変わらなくても修正済みの場合は、
   その旨も教えてください。
2. PHP公式の10月23日の追加注意
   （CVE-2026-115560）について、当社環境への影響と
   対応の要否を教えてください。
3. 未対応事項がある場合は、対応予定と、
   それまでの推奨対策を教えてください。
4. 当社側でPHPの切替などの操作が必要でしょうか。
   必要な場合は、正式な手順と動作確認の注意点をお願いします。

パスワードや二段階認証のコードは、この問い合わせ文に添えません。
サーバー情報が分からない場合は、ホームページの制作会社に契約先の確認から依頼できます。

「ひとまず確認できた」と判断する目安

次の状態までそろえば、漠然とニュースを追い続けるのではなく、確認済みの対応と残件を整理できます。

• 自社環境への今回の修正適用を、公式案内かサポート回答で確認できた。
• 10月23日の追加注意について、影響なし、対応済み、または必要な対応が明確になった。
• バックアップと復元方法、必要なWordPress側の更新状況を確認できた。
• サイトの基本動作を確認し、不審な変更があれば相談先へ伝えている。

修正状況が不明なら、問い合わせを送っただけで「対応済み」にはしません。
未修正なら、公開を続けてよいかも含め、サーバー会社と保守担当者へ優先して相談してください。
IPAも、対策が難しい環境ではアクセス制限や一時停止の要否を判断するよう案内しています。

なお、修正が完了したことと、過去に被害がなかったことは別です。
見覚えのない管理者、書き換えられたページ、不審な転送などがあれば、画面と発見日時を残して相談します。
自分で怪しいファイルを消したり、バックアップで上書きしたりする前に、記録の保全と必要な公開制限を依頼してください。

焦って設定を変えず、確認先を決めよう

今回の問題への対応は、専門用語を全部覚えることから始める必要はありません。
サーバー側は契約先へ、WordPress側はサイトの保守担当者へ、確認する項目を分けて伝えれば進められます。

WAFや二段階認証は大切ですが、PHPの修正の代わりにはなりません。
WordPressのメンテナンス表示に変えるだけでも、PHPへの攻撃を遮断したことにはならないため、未修正時の公開制限は管理者と判断します。
また、ネットで見かけた設定変更や、未修正の古いPHPへの切戻しを自己判断で行わないようにしましょう。

まずは契約先のお知らせを一つ開く。
自社が対象に含まれているかわからなければ、上の部分で確認する。
その確認が最初の一歩です。

参考にした公式情報

• WordPress日本語公式：PHPの重大なセキュリティリリース
• IPA：PHPの脆弱性対策について
• PHP公式：10月21日のセキュリティ勧告
• PHP公式：10月23日の追加注意
• ConoHa WING：対応完了のお知らせ
• エックスサーバー：対応状況のお知らせ

情報確認日：2026年10月24日。
今後の追加情報と、契約中のサービスの最新案内を優先してください。