PHPに重大な脆弱性（php2shell）｜WordPressサイトをお持ちの方が確認したいこと
2026年10月22日
2026年10月21日、WordPressなどを動かしているプログラミング言語「PHP」の開発チームが、重大な脆弱性2件（通称「php2shell」）を修正したバージョンを公開しました。海外では、政府系のサイトが一時停止する事態も報じられています。
このページでは、WordPressのサイトをお持ちの方に向けて、確認していただきたいことをまとめました。
何が起きたのか
- 対象：PHP本体（CVE-2026-109618／CVE-2026-109619）
- 深刻度：10点満点中9.2（緊急）
- 内容：外部から、サーバー上でプログラムを実行されるおそれがある脆弱性です
WordPressはPHPで動いているため、WordPressのサイトも影響を受ける対象です。
対策は「PHPの更新」だけです
PHP公式は「完全な回避策はなく、更新が唯一の安全な方法」としています。修正版は次のとおりです。
- PHP 8.5系 → 8.5.12
- PHP 8.4系 → 8.4.27
- PHP 8.3系 → 8.3.36
- PHP 8.2系 → 8.2.35
ご自身のサイトで確認していただきたいこと
1. レンタルサーバーをお使いの方
レンタルサーバーでは、PHPの更新はサーバー会社が行います。ご利用中のサーバー会社のお知らせをご確認ください。修正版が用意されたあと、コントロールパネルでの切り替えが必要になる場合もあります。
2. PHP 8.1以前をお使いの方
PHP 8.1以前には、PHP公式の修正版が提供されません。サポートが続いているバージョン（8.3以降がおすすめ）への切り替えをご検討ください。
3. PHP 8.2をお使いの方
今回は修正版がありますが、PHP 8.2は2026年12月31日でサポートが終了します。年内に8.3以降へ切り替える計画を立てておくと安心です。
ご自身のサイトのPHPバージョンは、多くの場合、サーバーのコントロールパネルで確認できます。
PHPのバージョンを上げる前の注意
PHPのバージョンを上げると、古いプラグインやテーマが動かなくなり、サイトが表示されなくなることがあります。
- 切り替える前に、必ずサイトのバックアップを取る
- WordPress本体、プラグイン、テーマを先に最新にしておく
- 切り替えたあと、トップページやお問い合わせフォームが正しく動くか確認する
表示がおかしくなった場合は、元のバージョンに戻せることがほとんどです。慌てずに、まずは元に戻してからご相談ください。
保守契約をいただいているお客様へ
株式会社ユアシスと保守契約をいただいているお客様のサイトについては、当社で状況を確認し、対応を進めています。ご不明な点があれば、お気軽にお問い合わせください。
ご相談窓口
「自分のサイトがどのバージョンか分からない」「PHPを上げたら表示が崩れた」「古いプラグインが動かなくなった」など、WordPressのことでお困りの方は、WordPressバスターズへご相談ください。
根本から見直したい方へ
WordPressの管理画面はそのままに、表に出るサイトだけを「Next.js」に切り替える方法もあります。表のサイトではPHPが動かないため、外から狙われる入口を小さくできます（管理画面のWordPressは、引き続き更新が必要です）。