2026.10.25
PHPの重大な脆弱性（2026年10月）：WordPressのサイトで確かめることと、作り直すかの判断
2026年10月21日、PHP本体に認証なしでコードを実行される脆弱性2件の修正版が出ました。WordPressの更新では直りません。PHP 8.1以前のサイトは、PHPを上げるか作り直すかの判断が要ります。
2026年10月21日、PHP本体の脆弱性2件（CVE-2026-109618 / CVE-2026-109619、通称 PHP2Shell）の修正版が公開されました。どちらも、ログインなしで、外からサーバー上のコードを実行されるおそれがあるものです。
WordPressはPHPで動いています。ただし今回直すべきなのはWordPressではなく、その下で動いているPHPです。WordPressやプラグインを最新にしても、この件は直りません。
この記事では、WordPressのサイトを持っている会社が確かめることと、PHPを上げられない場合にどう判断するかを書きます。
何が起きたか
| 項目 | 内容 |
|---|---|
| 脆弱性 | CVE-2026-109618、CVE-2026-109619 |
| 深刻度 | どちらも CVSS v4.0 で 9.2 |
| 影響 | 認証なしでのリモートコード実行 |
| 対象 | Webリクエストを処理するPHP（Apache の mod_php、PHP-FPM、php-cgi、LiteSpeed など） |
| 修正版 | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 |
| 8.1以前 | 公式の修正版なし（ソースから自分でビルドする人向けの最小限の修正のみ） |
攻撃の状況については、発表によって書き方が違います。
- Datadog によると、AWS は公表の4日前の10月17日から攻撃の試みを観測していました
- 米国 CISA は、公表時点では成功した攻撃は確認していないとしています
「試みはあるが、成功の報告はまだない」が、10月25日時点で言えることです。
まず確かめること
1. PHPのバージョンを見る
WordPressの管理画面で「ツール → サイトヘルス → 情報 → サーバー」を開くと、PHPのバージョンが書いてあります。
2. 8.2以上なら、修正版になっているかを見る
上の表の修正版と同じか、それより新しければ対応済みです。
番号が古いままでも、サーバー会社がバージョン番号を変えずに修正だけ取り込んでいる場合があります。レンタルサーバーを使っているなら、サーバー会社のお知らせを確認してください。
3. 8.1以前なら、ここで判断が要る
CISA は、8.1以前のシステムを更新できるまでオフラインにするよう求めています。公式の修正版がないので、PHPを8.2以上に上げるのが基本の対応です。
ところが、古いPHPで動いているサイトは、古いテーマやプラグインを使っていることが多いです。PHPを上げると画面が真っ白になる、問い合わせフォームが送れなくなる、といったことが起きます。
なお、WAF（不正な通信を止める仕組み）は、修正までのつなぎにはなりますが、修正の代わりにはなりません。
PHPを上げられないサイトは、どうするか
選べる道は2つです。
A. テーマとプラグインを直して、PHPを8.2以上に上げる
いまのWordPressを使い続けます。動かなくなる箇所を一つずつ直す作業で、プラグインが開発終了していれば、代わりを探して入れ替えることになります。
B. サイトを作り直す
作り直す場合も、WordPressで作り直すか、PHPを使わない形（静的サイト）にするかを選べます。
どちらが向いているかは、サイトの使い方で決まります。
| サイトの使い方 | 向いている形 |
|---|---|
| 社内の担当者が、毎週お知らせやブログを更新する | WordPress |
| 予約・会員・ECなど、プラグインで業務を回している | WordPress |
| 会社案内・サービス紹介・実績・問い合わせが中心で、更新は月に数回 | 静的サイト |
| 更新は制作会社に任せている | 静的サイト |
「古いから作り直す」ではなく、この先5年、誰がどのくらい更新するかで決めるのがおすすめです。
静的サイトなら、今回の件は関係ないのか
弊社のサイト（orfool.com）は、2026年9月にWordPressからAstroで作り直しました。いまは、あらかじめ作っておいたHTMLを Netlify から配信しています。
公開しているサーバーでPHPが動いていないので、今回の2件はそもそも当てはまりません。問い合わせフォームも Netlify の機能で受けていて、PHPは使っていません。作り直しの経緯と数値はリニューアルの記録にまとめています。
ただし、守るものがなくなるわけではありません。
- サイトを組み立てるときに使う部品（npmパッケージ）の更新
- 配信サービスやフォームなど、契約している外部サービスのアカウント管理
- ドメインとDNSの管理
守る場所が「自社のサーバー」から「契約しているサービスのアカウント」に移る、と考えるのが正確です。サーバーの中身を毎月更新しなくてよくなるぶん、手間は確実に減ります。
まとめ
- WordPressのサイトは、まずPHPのバージョンを見る（サイトヘルス → 情報 → サーバー）
- 8.2以上なら、修正版かどうかをサーバー会社のお知らせで確かめる
- 8.1以前なら、PHPを上げるか、作り直すかを決める
- 作り直すなら、WordPressか静的サイトかは「誰がどのくらい更新するか」で選ぶ
弊社はWordPressでの制作も、静的サイトでの制作も行っています。「うちのサイトはPHPを上げても大丈夫か」という確認だけでも、お問い合わせからご相談ください。
WordPressとヘッドレス構成の比較は、WordPressをやめるべきかにも書いています。
参考（2026年10月25日時点）