PHPの重大脆弱性、制作会社・依頼側が確認したい更新と表示バージョン

PHPの重大な脆弱性の修正版公開で、依頼する側が確認したい点

PHPに、遠隔から任意のコードを実行されるおそれがある重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）が見つかり、2026年10月21日に修正版が公開されました。2件を組み合わせた攻撃は「PHP2shell」と呼ばれています。IPA（情報処理推進機構）は10月22日に、WordPress.org 日本語ニュースは10月21日に、いずれも更新を呼びかけています。ホームページ制作を依頼する側にとっては、制作会社が運用・保守を請け負っているサイトのPHPが、修正済みかどうかが気になるところです。公式の情報から、確認したい点を整理します。

影響を受けるPHPのバージョンと、修正版

IPAの注意喚起によると、影響を受けるのは、PHP 8.2系の8.2.35より前、8.3系の8.3.36より前、8.4系の8.4.27より前、8.5系の8.5.12より前です。修正版は、それぞれ8.2.35、8.3.36、8.4.27、8.5.12以降です。PHP 8.1以前はサポートが終了しており、PHPプロジェクトからは、今回の修正が提供されません。IPAは、サポートが続いているPHPへの更新か、対策済みの製品・サービスへの移行を検討するよう求めています。更新や移行がすぐにできない場合は、更新が終わるまで、アクセス制限などの暫定対策を講じ、必要に応じて、外部からのアクセスの遮断や、サービスの一時停止の要否も判断するよう書かれています。

脆弱性の調査に関わったWiz社は、PHP 5.4以降のバージョンが、少なくとも一方の影響を受けるとしていると、IPAは紹介しています。また、PHPを組み込んだ製品やサービスの影響は、各製品の開発元や提供元の情報で確認する必要があります。

WordPressサイトの運営者に呼びかけられていること

WordPress.org 日本語ニュースは、すぐにPHPを更新するよう呼びかけています。ホスティング会社が、すでに更新やWAFによる緩和策を進めている可能性があるため、その案内を確認し、必要なら早めに更新するよう案内しています。今回の脆弱性はWordPress固有ではなく、PHPで動くサーバー全般が影響を受けるため、WordPress本体の更新は不要で、予定もされていません。

記事は、使っているPHPのバージョンを、WordPressの管理画面の「ツール」の「サイトヘルス」にある「情報」の「サーバー」で確認できると案内しています（ホスティング会社の管理画面でも確認できることが多いとされています）。PHP 8.2より前のバージョンを使い、自分でサーバーを管理している場合は、新しいPHPを用意するあいだ、サーバーをオフラインにすることも検討するよう、記事は勧めています。複数の国のサイバーセキュリティ機関からも同様の助言が出ているとして、英国のNCSCの「直ちに対策を講じることができない場合は、完全に緩和できるまでシステムをオフラインにすることを検討すべき」という趣旨の助言も、紹介されています。

ホスティング会社の対応では、表示バージョンに注意

たとえば ConoHa WING は、10月22日の終報で、すべてのPHPバージョンにセキュリティパッチを適用したと発表しました。PHPのバージョンを上げずに、修正プログラムだけを取り込む方法で、利用者がバージョンを変える必要はないと案内しています。そのため、WordPressのサイトヘルス画面などには、修正版の番号ではなく従来の番号（8.5.11など）が表示される場合があります。この例では、画面の番号だけでは、対応済みかどうかを判断できません。ほかのホスティング会社の対応は、今回確認できていません。契約中のホスティング会社の告知で、対応の完了が書かれているかを確かめるのが確実です。

公式の呼びかけの要点は、バージョンの確認、ホスティング会社の案内の確認、修正版への更新（WordPressの記事は、更新後の動作確認も案内）です。PHP 8.1以前を使っているサイトは、PHPプロジェクトから修正版が出ないため、サポートが続くバージョンへの移行を計画する必要があります。

ここからは筆者の見解です。制作会社が保守を請け負っているサイトが複数ある場合は、サイトごとにPHPのバージョンと、ホスティング会社の対応状況を、一覧にして確認するのが、現実的な進め方だと考えます。依頼する側は、保守を頼んでいる制作会社に、対応の状況を聞いておくと安心だと思います。

この記事は、特定のホスティング会社や制作会社を推奨するものではありません。個別のサイトの対応は、契約しているホスティング会社や制作会社に確認してください。

出典

2026年10月25日時点の情報です。