- 2026年10月に見つかったPHPの脆弱性で、何が起きたのか
- WordPressのホームページを持つ会社が、今すぐ確認する3つのこと
- 当サイトが関東の制作会社のサイトを調べて分かった、古いPHPの実態
結論：WordPressの更新では直りません。サーバーのPHPを修正版にしてください
今回の問題はWordPressやプラグインではなく、ホームページを動かしている「PHP」そのものにあります。そのため、WordPressやプラグインを最新にしても直りません。サーバーのPHPを、修正版（8.5.12・8.4.27・8.3.36・8.2.35のいずれか）にする必要があります。
そして、PHP 8.1以前には修正版が出ていません。古いPHPで動いているサイトは、新しいバージョンに移す必要があります。
「うちは小さい会社だから狙われない」は通用しません。攻撃の多くは、人が会社を選んで狙うのではなく、プログラムが古いサイトを自動で探しています。
何が起きたのか
2026年10月21日（日本時間23時）、PHPの開発チームが「緊急」レベルの脆弱性2件（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを公開しました。PHPは、WordPressをはじめ世界中のホームページを動かしているプログラムで、日本の中小企業のホームページの多くもPHPで動いています。
今回の脆弱性は、ログインしていない第三者が、外からサーバー上でプログラムを実行できてしまうというものです。つまり、サイトを乗っ取られたり、お客様の情報を抜かれたりするおそれがあります。修正版の公開前に内容が流出し、攻撃用のプログラムも出回り始めたため、公開直後からの対応が求められました。
すでに「知らないサイトに飛ばされる」などの症状が出ている場合は、「ホームページが乗っ取られた・改ざんされたときの対処法」を先にご覧ください。
この件は、ふだんホームページに関わらない人にも届くほど大きな話題になりました。
- 高市早苗首相が10月21日夜、Xで「今夜に対応して頂きたい大至急のお願い」として、修正パッチをすぐに適用できるよう準備を求めました。適用が難しい場合は、ウェブサイトを一時的に停止することも有効な対策の一つだと述べています
- 国家サイバー統括室（内閣サイバーセキュリティセンターの後身）、警視庁サイバーセキュリティ対策本部、IPA（情報処理推進機構）もXなどで注意喚起を行いました
- エックスサーバーをはじめ、国内の多くのサーバー会社やWebサービスが、緊急メンテナンスやサービスの一時停止を行いました
総理大臣が個別のソフトの脆弱性についてXで呼びかけるのは異例のことです。それだけ、放置すると影響が大きい問題だということです。
今すぐ確認する3つのこと
1. 自社サイトのPHPのバージョンを確認する
WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPのバージョンが見られます。サーバーの管理画面（さくら、エックスサーバー、ロリポップなど）の「PHP設定」「PHPバージョン切替」でも確認できます。
| 表示されたバージョン | 状態 | やること |
|---|---|---|
| 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以上 | 修正済み | 対応は不要です |
| 8.2〜8.5 で、上の番号より小さい | 未修正 | サーバーの管理画面でPHPを更新します（サーバー会社が自動で更新している場合もあります） |
| 8.1 以前（7.4、5.6 など） | 修正版なし | サポート中のバージョン（8.3以上がおすすめ）に移行します |
2. サーバー会社のお知らせを確認する
多くのサーバー会社は、今回の修正版を自動で適用しています。契約しているサーバー会社のサイトやメールで、「PHPの脆弱性」「緊急メンテナンス」のお知らせを確認してください。自動で適用されるサーバーなら、自分で作業する必要はありません。ただし、自動更新の対象は、サポート中のPHPを使っている場合だけです。古いPHPのままでは、お知らせが来ても修正は適用されません。
3. PHP 8.1以前なら、サポート中のバージョンに移行する
8.1以前のPHPには、今回の修正版が出ていません。サーバー会社の管理画面でPHPのバージョンを切り替えられますが、古いテーマやプラグインが新しいPHPで動かず、表示が崩れたり、画面が真っ白になったりすることがあります。移行の進め方は、次の「PHPを上げるときの注意」をご覧ください。
PHP 8.2も、2026年12月31日でサポートが終わります。今回の修正は8.2にも出ていますが、2か月後にはまた同じ状況になります。どうせ上げるなら、8.3以上にしておきましょう。
レンタルサーバーをお使いなら、多くは会社側で対応済みです
エックスサーバー、さくらインターネット、ロリポップ、ConoHaなど、国内の主要なレンタルサーバー会社は、修正版が公開された10月21日から22日にかけて緊急メンテナンスを行い、サーバーのPHPに修正を適用しています。
レンタルサーバーの場合、PHPを更新するのはサーバー会社側です。利用者が自分でPHP本体を入れ替えることはできません。そのため、サポート中のPHP（8.2以上）を使っていれば、すでに対応が終わっている可能性が高いです。
自分のサーバー会社の対応を確認する方法
- サーバー会社の「お知らせ」ページを開く：各社のサイトに「障害・メンテナンス情報」「お知らせ」のページがあります
- 「PHP」「脆弱性」の言葉で探す：10月21日前後のお知らせに、対応状況が書かれています
- 自分が使っているPHPのバージョンが対象か確認する：お知らせには、どのバージョンに修正を適用したかが書かれていることが多いです
古いPHP（8.1以前）を使っている場合は、サーバー会社の対応だけでは終わりません。会社によっては独自に修正を当てている場合もありますが、PHP本体の公式な修正版は出ていません。サポート中のバージョンへの切り替えが必要です。
「いつ直るのか」について
修正版はすでに公開されています。2026年10月21日の23時（日本時間）に、PHPの開発チームが修正版を公開しました。待つ必要はありません。あとは、
- レンタルサーバー：会社側で適用済みか、お知らせで確認する
- 自分で管理しているサーバー（VPSなど）：自分でPHPを更新する
- PHP 8.1以前：バージョンの切り替えが必要
という状態です。
【当サイト調査】制作会社のサイトでも、6割以上がサポート切れのPHP
関東のホームページ制作会社547社のサイトを調べたところ、PHPのバージョンが確認できた103社のうち、66社（64%）がサポートの切れた8.1以前のPHPで動いていました。（2026年10月22日時点、当サイト調べ）
| PHPのバージョン | 会社数 | 割合 |
|---|---|---|
| PHP 5以前（サポート終了） | 19社 | 18% |
| PHP 7.x（サポート終了） | 45社 | 44% |
| PHP 8.0〜8.1（サポート終了） | 2社 | 2% |
| PHP 8.2（2026年12月で終了） | 2社 | 2% |
| PHP 8.3以上 | 35社 | 34% |
中には、PHP 4やPHP 5.2で動いているサイトもありました。10年以上前に作られて、そのまま放置されているサイトです。
※サイトにアクセスしたときにサーバーが返す情報をもとに集計しています。バージョンを公開していないサイトが多いため、確認できた103社の数字です。きちんと管理されているサイトはバージョンを隠す設定にしていることが多いので、実際の割合はこれより低い可能性があります。
それでも、ホームページを作るプロの会社ですら、6割以上が古いPHPのままという結果でした。制作会社に「作ってもらって終わり」になっている一般の会社のサイトは、もっと多くが古いままだと考えられます。「ホームページは作ったら動き続ける」のではなく、動かしている土台（PHP）にも寿命があり、定期的に更新が必要です。
PHPを上げるときの注意
古いPHPから一気に新しいバージョンに上げると、サイトが表示されなくなることがあります。私たちがお客様のサイトで実際にやっている手順は次のとおりです。
- バックアップを取る：ファイルとデータベースの両方を保存します
- WordPress本体・テーマ・プラグインを先に最新にする：古いままだと、新しいPHPで動きません。長く更新が止まっているプラグインは、別のものに入れ替えます
- テスト環境で先に試す：本番と同じ内容のテスト環境でPHPを上げ、全ページとお問い合わせフォームが動くかを確かめます
- 本番のPHPを切り替える：サーバーの管理画面で切り替えます。多くのサーバーでは、問題があればすぐ元に戻せます
- 切り替えたあとに確認する：表示は正常でも、フォームだけ送れなくなっていることがあります
制作会社と連絡が取れない・自分では触れないとき
PHPの切り替えはサーバーの管理画面から行うので、サーバーのログイン情報が必要です。制作会社がサーバーを管理していて連絡が取れない場合は、まずドメインとサーバーの名義を確認するところからになります。進め方は「ホームページ制作会社と連絡が取れない・倒産したときの対処法」でまとめています。
頼むと、いくらかかる？
当サイトが関東の制作会社547社を調べたところ、WordPressの保守・アップデートを明記していたのは31社（約6%）でした（2026年10月時点）。頼むときは「他社が作ったWordPressのサイトでも、PHPの更新まで対応できるか」を最初に確認しましょう。
参考までに、ベストフューチャーでお受けしている料金は次のとおりです（税込）。
| 作業 | 料金 |
|---|---|
| サーバー・ドメインの設定のお手伝い（PHPの切り替えを含む） | 5,500円 |
| WordPress本体の更新 | 7,700円（バックアップ・動作確認込み） |
| WordPressのプラグイン更新 | 3,300円（2つ目から1つ＋550円） |
| 不具合の原因調査 | 3,300円〜 |
1回ずつの料金は「ホームページ修正代行」にまとめています。今回のように急な対応が必要になることは今後もあるので、毎月の保守管理（月1万円・税別）にまとめておくと、こうした対応も含めてお任せいただけます。保守の費用の目安は「ホームページ保守管理の費用相場【2026年調査】」をご覧ください。
よくある質問
WordPressを最新にすれば大丈夫ですか？
今回はWordPressではなく、PHPそのものの問題です。WordPressやプラグインを更新しても直りません。サーバーのPHPのバージョンを確認してください。
サーバー会社が自動で更新してくれるなら、何もしなくていいですか？
サポート中のPHP（8.2以上）を使っていれば、多くのサーバー会社が自動で修正版を適用しています。ただし、8.1以前の古いPHPを使っている場合は自動更新の対象外なので、自分でバージョンを切り替える必要があります。まずは今のバージョンを確認してください。
PHPを上げたら表示が崩れました。元に戻せますか？
多くのサーバーでは、管理画面から前のバージョンに戻せます。戻したあとで、テーマやプラグインを最新にしてから、もう一度上げてください。自分で直すのが難しい場合は、触らずにご相談ください。
エックスサーバー（さくら・ロリポップ）を使っています。何かすることはありますか？
主要なレンタルサーバー会社は、10月21日から22日にかけて緊急メンテナンスを行い、サーバーのPHPに修正を適用しています。まずはご利用のサーバー会社のお知らせページで、対応状況と対象のバージョンを確認してください。そのうえで、ご自身が使っているPHPのバージョンが8.1以前であれば、8.3以上への切り替えが必要です。
PHPのバージョンはどこで変えられますか？
レンタルサーバーの管理画面に「PHP設定」「PHPバージョン切替」といった項目があります。切り替えたあとは、必ずサイトの表示とお問い合わせフォームの動作を確認してください。表示が崩れた場合は、多くのサーバーで元のバージョンに戻せます。
ホームページがWordPressかどうか分かりません。
管理画面のURLが「サイトのURL/wp-admin/」なら、WordPressです。分からない場合も、サイトのURLを教えていただければ、こちらで確認できます。
まとめ
- 2026年10月21日、PHPに緊急レベルの脆弱性が2件見つかり、修正版が公開された。総理大臣や国の機関がXで注意を呼びかけるほどの大きな問題
- WordPressの更新では直らない。サーバーのPHPを修正版にする
- PHP 8.1以前には修正版がない。サポート中のバージョン（8.3以上）に移行する
- 制作会社のサイトですら、確認できた103社のうち64%が古いPHPのままだった
ベストフューチャーでは、他社が作ったWordPressのサイトでも、PHPのバージョン確認から更新、毎月の保守管理までお引き受けしています。「自分のサイトが対象か分からない」「サーバーのログイン情報がない」という段階でも大丈夫です。お気軽にご相談ください。無理な営業はしません。
LINE公式アカウント「ベストフューチャー」。質問だけでも大丈夫です。
