公開日：2026年10月22日
「PHPに重大な脆弱性が見つかったって本当？」
「自分のブログやホームページは大丈夫？」
「何をすれば安全なの？」
こんな不安を感じている方も多いのではないでしょうか。
2026年10月21日夜、Webサイトの運営に広く使われているプログラミング言語「PHP」で、極めて深刻な脆弱性2件の修正版が公開されました。
今回の問題は、条件がそろうと、攻撃者がサーバー上で不正なプログラムを動かせる可能性があるというものです。
ただし、PHPを利用しているサイトが、すべて攻撃を受けたわけではありません。
大切なのは、慌てることより、自分のサイトが対象か確認して適切に対応すること。
この記事では、PHPの重大な脆弱性について、専門知識がなくても分かるように解説します。
- 何が起きたのか
- どんなサイトに影響するのか
- 今すぐ何をすればいいのか
この3つを知れば、必要な対応が見えてきます。
PHPの重大な脆弱性とは？何が起きたのか
結論からいうと、PHPの内部処理に問題があり、外部からサーバーを不正に操作される可能性が見つかりました。
そもそもPHPとは？
PHPは、ホームページやWebサービスを動かすためのプログラミング言語です。
例えば、次のような機能の裏側で使われています。
- WordPressで作ったブログ
- ネットショップの商品管理
- 会員登録やログイン機能
- 予約システムや問い合わせフォーム
普段インターネットを利用していても、PHPを意識する機会はほとんどありません。
しかし、見えないところで多くのWebサービスを支えています。
今回発見された2つの問題
2026年10月21日に修正された脆弱性は、次の2件です。
| 脆弱性の識別番号 | 問題の概要 |
|---|---|
| CVE-2026-109618 | メモリ不足時の内部処理に問題がある |
| CVE-2026-109619 | 解放済みメモリに関する内部状態が残る |
どちらも、深刻度を表すCVSS v4.0の評価で**9.2（Critical／緊急）**とされています。
難しい説明に見えますが、ポイントはシンプルです。
本来なら安全に処理されるはずの情報が、特定の条件で正しく扱われない可能性があります。
そして、その問題を悪用されると、攻撃者がログインせずに不正なコードを実行できるおそれがあるのです。
つまり、Webサイトの裏側を動かす仕組み自体に、重大な弱点が見つかったということです。
何が危険なの？
攻撃が成功すると、環境や権限によっては、次のような被害につながる可能性があります。
- Webサイトの改ざん
- サーバー内の情報への不正アクセス
- 不正なプログラムの設置
ただし、これらは想定される被害であり、すべてのサイトで発生するわけではありません。
大切なのは、攻撃を受ける前に弱点を修正することです。
PHPの脆弱性は誰に影響する？WordPressも対象？
今回のPHPの重大な脆弱性は、PHPを使ってWebサイトやWebアプリケーションを公開している人・企業が、特に確認すべき問題です。
個人ブログだけでなく、企業サイトやネットショップも例外ではありません。
影響を受けるPHPのバージョン
PHP開発元は、以下の修正版を公開しています。
| 使用中の系列 | 修正済みバージョン |
|---|---|
| PHP 8.5系 | 8.5.12 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.2系 | 8.2.35 |
同じ系列でも、これらより古いバージョンは更新が必要です。
さらに注意したいのが、PHP 8.1以前を使っている場合です。
PHP本体の公式サポートは終了しており、通常の修正アップデートは提供されていません。
一部のOS・サーバー提供会社が独自の修正を提供する場合もありますが、基本的にはサポート中のバージョンへの移行を検討する必要があります。
WordPressを使っている人は注意
WordPressでブログを運営している人にとっても、今回の問題は無関係ではありません。
ただし、ここで勘違いしやすい点があります。
WordPress本体を更新するだけでは、今回のPHPの脆弱性は修正されません。
WordPressとPHPは別のソフトウェアだからです。
WordPress公式も、今回の問題に対してPHPの更新を呼びかけています。
レンタルサーバー利用者は？
エックスサーバーなどのレンタルサーバーを利用している場合、サーバー会社が修正プログラムを適用することもあります。
ただし、契約内容や利用環境によって対応は異なります。
「自動で対応されるはず」と思い込まず、利用中のサーバー会社のお知らせを確認しましょう。
PHPの重大な脆弱性への対応策3つ
では、具体的に何をすればいいのでしょうか？
対策は大きく3つです。
① PHPのバージョンを確認する
最初にやることは、現在利用しているPHPのバージョンを把握することです。
WordPressの場合、一般的には管理画面から確認できます。
「ツール」→「サイトヘルス」→「情報」→「サーバー」
ここにPHPのバージョンが表示されます。
レンタルサーバーの管理画面でも確認できる場合があります。
自分で判断できない場合は、サーバー会社やサイトの制作会社へ問い合わせてみましょう。
まずは、自分のサイトが更新の必要な状態なのか知ることが第一歩です。
② PHPを修正版へアップデートする
PHPの重大な脆弱性に対して、最も重要なのが修正版への更新です。
例えば、PHP 8.3系を使用しているなら、8.3.36への更新が必要です。
ただし、更新すると古いテーマやプラグインなどとの互換性に問題が出る場合もあります。
そのため、可能な範囲でバックアップを取り、互換性を確認しながら更新しましょう。
企業サイトの場合は、制作会社や保守担当者と調整することも重要です。
なお、Linuxなどの環境では、公式のバージョン番号が変わらなくても、提供元が修正を取り込んでいる場合があります。
その場合は、ベンダーのセキュリティ情報で修正状況を確認してください。
③ すぐ更新できない場合は公開範囲を制限する
「古いシステムだから、すぐには更新できない」
そんな場合もあるでしょう。
そのときは、インターネットからのアクセスを制限したり、必要に応じてサービスを一時停止したりする対応を検討してください。
PHP公式は、一部の攻撃経路を減らす設定も案内しています。
しかし、設定変更やファイアウォールだけで完全に安全になるわけではありません。
重要なサービスほど、管理者や専門業者と相談して対応を決めることが大切です。
一般ユーザーへの影響は？よくある疑問
Q. スマホやパソコンも危険なの？
今回の脆弱性は、主にWebサイトを動かすサーバー側のPHPに関する問題です。
そのため、一般の利用者が今回のためにスマホへPHPをインストールしたり、更新したりする必要は通常ありません。
ただし、利用中のサービスが被害を受けた場合には、間接的に影響する可能性があります。
Q. Webサイトが一時停止しているのはなぜ？
脆弱性への対応として、企業が安全確認や緊急メンテナンスを実施する場合があります。
サイトが利用できなくても、それだけで不正アクセスが発生したとは限りません。
まずは公式のお知らせを確認してください。
Q. 自分の情報は漏えいしたの？
今回の発表だけで、個人情報の漏えいが起きたと判断することはできません。
脆弱性の存在と、実際に被害が発生したかどうかは別の話です。
利用しているサービスから公式な案内が出ている場合は、その内容に沿って対応しましょう。
まとめ｜PHPの脆弱性は早めの確認と更新が重要
2026年10月21日に公開されたPHPの重大な脆弱性は、Webサイトの安全性に関わる重要な問題です。
今回のポイントを整理すると、
① 認証なしの遠隔コード実行につながる脆弱性が2件見つかった
② WordPressなど、PHPを使用するWebサイトが影響を受ける可能性がある
③ 修正版への更新が最も重要な対策になる
ということです。
ニュースを見ると、不安になるかもしれません。
でも、必要以上に怖がることはありません。
危険性を正しく知り、自分の環境に必要な対応をすることが大切です。
ブログやホームページを運営している方は、まず今日、PHPのバージョンを確認してみましょう😊
そして、これを機会にWebサイトの安全性についても見直してみてはいかがでしょうか。
関連記事では、WordPressのセキュリティ対策や、レンタルサーバーの安全な管理方法も解説していきます。
参考情報・一次情報
- PHP公式：2026年10月のセキュリティ情報
- IPA：PHPのセキュリティリリース公開予定について
- WordPress公式：Critical PHP Security Release
- ENISA：PHPの重大な脆弱性に関する共同声明
※2026年10月22日時点の情報をもとに作成しています。最新の対応状況は、PHP公式サイトや利用中のサーバー会社の案内をご確認ください。
