PHPの重大な脆弱性とWordPress利用者が注意すべきこと

坂本祥太朗 | NDシステムズ

2026年10月22日 08:10

2026年10月、ホームページの構築に広く使われているプログラミング言語「PHP」に、重大なセキュリティ上の問題が公表されました。

PHPは、企業のホームページで広く利用されている「WordPress」を動かすための重要な技術です。

今回の問題については、PHPの開発元に加え、日本の情報処理推進機構（IPA）や英国政府のサイバーセキュリティ機関も注意を呼びかけています。

特に、数年前に制作したWordPressのホームページを、そのまま使い続けている企業は確認が必要です。

今回は、問題の概要と、中小企業が確認しておきたい対策について解説します。

1. 今回、PHPに何が起きたのか？

PHPは、お問い合わせフォームやブログの更新など、ホームページの裏側で動作するプログラミング言語です。

2026年10月20日付で、PHPの開発チームは2件の重大な脆弱性について事前予告を公開しました。

翌21日付で修正版が公開されています。

修正版の公開予定時刻は、**日本時間10月21日23時（UTCでは同日14時）**と案内されていました。

今回の脆弱性には、次の識別番号が付けられています。

CVE-2026-109618
CVE-2026-109619

いずれも深刻度を表す「CVSS v4.0」で9.2と評価されており、非常に深刻な問題です。

一定の条件下では、攻撃者がログインすることなく、外部からサーバー上で不正なプログラムを実行できる可能性があります。

攻撃が成功した場合、ホームページの改ざんや情報の不正取得などにつながるおそれがあります。

日本の情報処理推進機構（IPA）は2026年10月21日の注意喚起において、今回の脆弱性を悪用した攻撃を、その時点では確認していないと説明しています。

ただし、これは攻撃や被害が発生していないことを保証するものではありません。

PHP公式の発表

2. 日本や海外の公的機関も注意喚起

情報処理推進機構（IPA）は、2026年10月21日に注意喚起を公開しました。

PHPの利用状況を確認し、修正版が公開されたら速やかに適用できるよう準備することを求めています。

また、サポートが終了した古いPHPを使い続けているホームページについても注意を促しています。

IPA：PHPのセキュリティリリース公開予定について

英国政府の国家サイバーセキュリティセンター（NCSC）も注意喚起を公開しています。

特にインターネットからアクセスできるシステムを優先して更新し、速やかな修正が難しい場合は、一時的な停止も検討するよう案内しています。

英国NCSC：Critical security issue affecting PHP

3. WordPressを利用している企業への影響

WordPressはPHPを利用して動作しています。

そのため、WordPress本体を最新版に更新していても、PHPが古いままであれば、今回の脆弱性が残っている可能性があります。

WordPress公式も10月21日付で注意喚起を公開しています。

今回の問題はWordPress固有の不具合ではなく、PHPを利用するサーバーに関係するものであり、WordPress本体の更新だけでは対応できないと説明しています。

WordPress日本語公式：PHPの重大なセキュリティリリース

今回の脆弱性はWordPress自体に発見されたものではなく、WordPressを含む、PHPを利用するさまざまなシステムに関係する問題です。

そのため、WordPressを利用していることだけを理由に危険と判断するのではなく、サーバー側のPHPに修正が適用されているかを確認することが重要です。

4. 自社のPHPバージョンを確認する方法

WordPressでは、管理画面からPHPのバージョンを確認できます。

確認手順

WordPress管理画面の「ツール」を開く
「サイトヘルス」を選択する
「情報」から「サーバー」を開く
「PHPバージョン」を確認する

今回の脆弱性を修正したPHPのバージョンは、以下のとおりです。

PHP 8.5：8.5.12以降
PHP 8.4：8.4.27以降
PHP 8.3：8.3.36以降
PHP 8.2：8.2.35以降

PHP 8.1以前は、PHP開発元による通常のセキュリティサポートが終了しています。

古いバージョン向けに今回の問題に関する限定的な修正も公開されていますが、通常のサポートが再開されたわけではありません。

なお、レンタルサーバー会社などが独自に修正を適用している場合もあるため、バージョン番号だけで安全性を判断できないことがあります。

不明な場合は、利用しているサーバー会社に確認してください。

5. 中小企業が今すぐ確認したいこと

WordPressでホームページを運営している場合、次の5点を確認することをおすすめします。

① PHPのバージョンを確認する

WordPressやレンタルサーバーの管理画面から、現在使用しているPHPのバージョンを確認します。

② レンタルサーバー会社の案内を確認する

サーバー会社が今回の脆弱性に対応しているか、自社で更新操作が必要かを確認します。

③ バックアップを確保する

PHPの更新によって、古いプラグインやテーマに不具合が生じる可能性があります。更新前に必要なバックアップを確保しましょう。

④ 修正を適用し、動作を確認する

修正済みPHPへの更新後は、お問い合わせフォームや予約機能などが正常に動作するか確認します。

⑤ 対応が難しい場合は専門家に相談する

古いWordPressなどを利用している場合、PHPの更新が難しいことがあります。

その場合は、制作会社やサーバー管理者に相談してください。危険性が高く、すぐに修正できない場合は、一時的な公開停止も検討する必要があります。

6. ホームページは「作って終わり」ではない

今回の問題をきっかけに考えたいのが、ホームページの保守管理です。

中小企業では、数年前に制作したホームページを、ほとんど更新せずに利用しているケースもあると思います。

しかし、ホームページが正常に表示されていても、裏側で動くソフトウェアに脆弱性が残っている可能性があります。

また、ホームページ制作会社との契約によっては、公開後のセキュリティ更新が保守業務に含まれていない場合もあります。

そのため、次の点をあらかじめ確認しておくことが重要です。

セキュリティ更新は誰が担当するのか
バックアップは実施されているか
緊急の脆弱性が発見された場合、誰が対応するのか
緊急対応の費用は通常の保守料金に含まれるのか

今回のような重大な脆弱性への対応には、通常とは異なる調査や検証が必要になる場合があります。

対応範囲や費用を事前に決めておくことは、依頼する企業と制作会社の双方にとって重要です。

7. NDシステムズではWordPressを使用していません

NDシステムズでは、WordPressを使用せず、Next.jsを中心とした技術によってホームページや業務システムを独自に開発しています。

当事業の公式ホームページも、Next.jsとReactを中心に構築し、Netlify上で運用しています。

PHPを使用しない構成のため、今回のPHPの脆弱性については、公式ホームページのアプリケーション自体は直接的な影響を受ける構成ではありません。

ただし、これはWordPressが危険で、Next.jsなら安全という意味ではありません。

Next.jsやReactにも、セキュリティ上の問題が発見されることがあります。

どのような技術を利用していても、継続的な更新と保守管理は必要です。

大切なのは、利用する技術の特性を理解し、安全に運用できる体制を整えることだと考えています。

8. セキュリティ対策は事業継続のために

中小企業にとって、ホームページは会社案内だけでなく、お問い合わせや予約、商品販売など、事業活動を支える重要な仕組みです。

万が一、ホームページが改ざんされたり、長期間利用できなくなったりすれば、営業活動やお客様からの信頼にも影響する可能性があります。

そのため、ホームページのセキュリティは、技術的な問題であると同時に、事業継続に関わる経営課題でもあります。

今回のPHPの問題をきっかけに、自社のホームページがどのように管理されているか、一度確認してみてはいかがでしょうか。

大切なのは、今回の問題に対応するだけでなく、今後も安心してホームページを運用できる状態を保つことです。

NDシステムズについて

NDシステムズでは、福岡県久留米市を拠点に、中小企業のホームページ制作、独自の業務システム開発、AI・DX活用支援などを行っています。

「人が足りなくても、事業を続けられる仕組みを。」

という考えのもと、現場の業務に合った、無理なく使い続けられる仕組みづくりを大切にしています。

ホームページの制作や運用、業務のデジタル化などについて、お困りのことがありましたらお気軽にご相談ください。

公式ホームページ

参考資料・公式情報

※本記事は2026年10月22日時点の公開情報に基づいています。時刻は日本時間（JST）を基準とし、海外の発表日は公式サイトに掲載された日付を使用しています。

※脆弱性への対応状況はサーバー環境によって異なります。修正状況についてはPHP公式および利用中のサーバー提供会社の情報をご確認ください。

#PHP #WordPress #ホームページ制作 #セキュリティ対策 #中小企業 #情報セキュリティ #NDシステムズ