総理が「大至急」と呼びかけたPHPの脆弱性。WordPressでブログを書いている人は、何をすればいい？

夜桜りこです。

昨日の夜、高市総理がXで「今夜に対応して頂きたい大至急のお願い」として、PHPの修正を呼びかけていました。

総理がこういうプログラムの話をXで呼びかけるのは異例のことだそうで、ニュースにもなっています。

これを見て

と思った方もいるかもしれません。

私自身、WordPressでブログを書いてきたひとりなので、今回は気になって一次情報を中心に調べてみました。

この記事では、何が起きたのかと、自分がどれに当てはまるのかを、なるべく専門用語を使わずにまとめています。

まず、何が起きたのか

PHPは、WordPressを裏で動かしているプログラムです。

そのPHPに、とても深刻な欠陥が2つ見つかりました。

どれくらい深刻かというと、ログインもしていない外部の人が、サーバーの上で好きなプログラムを動かせてしまう、という種類の欠陥です。

流れを日付で追うと、こうなります。

10月20日、PHPの開発チームが「21日に重大な修正版を出します」と予告しました。

実はこのとき、欠陥の番号が修正版より先に外へ漏れてしまっていて、公開の予定が1日前倒しになったそうです。

10月21日、IPA（情報処理推進機構。国のIT安全を見ている機関です）が「修正版が出たらすぐ当てられるよう準備を」と呼びかけました。

同じ日の夜に、総理と、政府のサイバー対策の取りまとめ役である国家サイバー統括室が、Xで注意を呼びかけています。

そして10月21日の夜11時（日本時間）に、修正版が公開されました。

※修正版は、PHP 8.5.12／8.4.27／8.3.36／8.2.35 の4つ。

ちなみに、実際に悪用されたかどうかは、情報源によって見方が分かれています。

IPAは21日の時点で「悪用した攻撃は確認していない」としていました。

一方で、海外のセキュリティ会社からは、攻撃の試みを観測したという報告も出てきています。

なので、「もう被害が広がっている」とも「まだ大丈夫」とも言い切れない、というのが今の状態です。

WordPressを最新にしても、直らない理由

ここが、いちばん誤解されやすいところだと思います。

WordPressのサイトを、お店にたとえてみます。

サーバーは、お店が入っている建物です。

WordPressは、お店の内装や看板です。

そしてPHPは、建物に付いている自動ドアにあたります。

今回は、この自動ドアの仕組みそのものに欠陥が見つかった、という話なんです。

内装や看板をどれだけ新しくしても、ドアの欠陥は直りません。

なので、WordPress本体やプラグインを更新しても、今回の件は直りません。

直すには、自動ドアそのもの、PHPを新しくする必要があります。

ちなみに、海外のセキュリティ会社は、最新のWordPressでも実際に乗っ取りができてしまうことを確かめていました。

サーバーの中にあるパスワードなどの情報を読み出せることも、あわせて示されています。

ニュースで見かける言葉を、お店のたとえで

今回のニュースは、専門用語がとにかく多いですよね。

なので、よく出てくる言葉を、さっきのお店のたとえで置き換えてみます。

「脆弱性（ぜいじゃくせい）」は、ここまで「欠陥」と書いてきたもののことです。

お店でいうと、自動ドアの仕組みに、悪用されるおそれのある弱いところが見つかった状態です。

「リモートコード実行」は、その弱いところを突いて、外にいる人がお店に入って、レジや機械を勝手に操作できてしまうことです。

今回の2つの欠陥は、どちらもこれにあたります。

「認証不要」という言葉もよく一緒に出てきますが、これは合鍵も暗証番号もいらない、という意味です。

「パッチ」や「修正版」は、自動ドアの修理部品のことです。

総理が「修正パッチ」と書いていたのは、この修理部品を早く取りつけて、という意味になります。

「CVE-2026-109618」のような番号は、見つかった欠陥につけられる管理番号です。

番号だけでは、どこがどれくらい深刻かまでは分かりません。

今回は、重大な修正版の予告が出ていて、公開も1日前倒しになったことが、急いだほうがいい合図でした。

「サポート終了」は、PHP公式がその型向けの修理部品を、もう出さなくなった状態です。

PHPの「8.1」「8.2」といった数字は、自動ドアの型番だと思ってもらえれば大丈夫です。

古い型番のまま使い続けると、次に欠陥が見つかったとき、修理部品が出てこない可能性があります。

ちなみに、今回の欠陥には「php2shell」というあだ名もついていて、海外の記事ではこちらの呼び名もよく見かけます。

あなたは、どれに当てはまる？

では、誰が何をすればいいのか。

ブログの書き方によって、やることがまったく違います。

アメブロやnote、はてなブログのようなブログサービスで書いている場合は、書き手がPHPを触る場所がありません。

サーバーの管理はサービスを運営している会社の仕事なので、運営からお知らせが出ていないかを見ておくくらいで大丈夫です。

WordPressをレンタルサーバーで動かしている場合は、PHPの管理はサーバー会社の仕事です。

たとえばエックスサーバーは、サイトの表示やメールはいつもどおり使えること、用意しているPHPのバージョンごとに修正を順番に当てていることを、公式のお知らせで出していました。

さくらのレンタルサーバも、選べるPHPのバージョンはすべて対応を終えていて、お客さん側で急いでやることはない、としています。

さくらの作業は、昨日の夜11時から今朝6時半にかけてだったそうです。

なので、エックスサーバーやさくらを使っている方は、お知らせに目を通しておけば、ひとまず慌てなくて大丈夫です。

ほかのレンタルサーバーを使っている方は、契約先の公式のお知らせを一度確認してみてください。

どこと契約しているか分からないときは、サーバーの契約メールや、毎月・毎年の支払い明細を見ると、会社名が書いてあります。

ちなみにエックスサーバーは、状況によっては利用者にも追加の対策をお願いすることがある、とも書いていました。

その場合は改めて案内があるそうなので、お知らせのメールは見落とさないようにしておきたいところです。

いっぽうで、自分でサーバーを契約して、PHPのインストールや更新まで自分でしている方は、修正版に上げる必要があります。

こちらは、契約したときに自分でいろいろ設定をしているはずなので、たいていの方は自覚があると思います。

古いPHPのままの人は、この機会に

レンタルサーバーの方でも、ひとつだけ気にしておいてほしいのが、PHPのバージョンです。

今回の修正版が公式から出ているのは、8.2から上だけでした。

8.1以前は、もう公式のサポートが終わっていて、今回の修正版もありません。

エックスサーバーは古いバージョンにも独自の修正を当てていて、さくらも選べるバージョンはすべて対応を終えたと案内していますが、毎回そうしてもらえるとは限りません。

しかも8.2も、今年の12月31日でサポートが終わる予定です。

なので、上げるなら8.3から上にしておくのが安心です。

自分のPHPのバージョンは、WordPressの管理画面から確かめられます。

管理画面の「ツール」→「サイトヘルス」→「情報」と進んで、「サーバー」のところを開くと「PHPバージョン」が出てきます。

※サイトヘルスは、WordPress 5.2（2019年）から付いている標準の機能。管理者以外の権限でログインしていると「ツール」の中に出てこないことがあります。

見当たらないときは、サーバー会社の管理画面からも確かめられます。

ただ、私も今日エックスサーバーにログインしてみたら、いつもよりかなり時間がかかりました。

なので、WordPressの管理画面から見るほうが早いかもしれません。

PHPを上げるときは、この順番で

PHPを新しくすると、古いテーマやプラグインがうまく動かなくなって、画面が真っ白になったり、レイアウトが崩れたりすることがあります。

なので、やるときは次の順番がおすすめです。

もし表示がおかしくなったら、管理画面でPHPを元のバージョンに戻すこともできます。

ただ、それはいったん避難しているだけなので、原因のテーマやプラグインを見つけたら、もう一度上げておいてください。

細かい操作はサーバー会社ごとに違うので、使っているサーバーのマニュアルを見ながら進めるのが安心です。

それと、PHPのバージョンはサイトごとに設定されています。

サイトをいくつか持っている方は、全部見ておくのがおすすめです。

総理が呼びかけるほどの話だけど

総理まで呼びかけたと聞くと、ドキッとしますよね。

ただ、ここまで見てきたとおり、ブログサービスを使っている方や、対応済みと案内されたレンタルサーバーを使っている方なら、まずは「お知らせを見る」「PHPのバージョンを確かめる」ところからで大丈夫です。

いちばん怖いのは、慌てて分からないまま設定をいじって、サイトを壊してしまうことかもしれません。

まずは、自分がどれに当てはまるのかを確かめるところから始めてみてください。

※この記事は2026年10月22日時点の情報です。最新の状況は、PHP公式や、使っているサーバー会社のお知らせを確認してください。

以前、Googleの規約変更で騒ぎになったときも、一次情報を確かめてみたら印象がかなり違いました。