- PHP脆弱性2件の修正版公開｜WordPressの確認方法と国内サービスへの影響
- PHPに重大な脆弱性2件｜10月21日に修正版が公開
- 修正版はPHP 8.2.35・8.3.36・8.4.27・8.5.12
- そもそもPHPとは？なぜ多くのWebサイトが影響を受けるのか
- WordPressへの影響は？本体を更新するだけでは修正されない
- WordPressでPHPのバージョンを確認する方法
- エックスサーバー・さくらのレンタルサーバではどう確認する？
- ウマ娘などが緊急メンテナンス｜ゲームのデータは大丈夫？
- すぐPHPを更新できない場合はどうする？
- PHP 8.2は2026年末にサポート終了｜長期的な更新も必要
- PHPの脆弱性についてよくある疑問
- まとめ｜PHP修正版は公開済み。WordPress運営者はサーバー側を確認
PHP脆弱性2件の修正版公開｜WordPressの確認方法と国内サービスへの影響
2026年10月21日、Webサイトの運営に広く利用されているプログラミング言語「PHP」で、極めて深刻なセキュリティ上の問題を修正する更新版が公開されました。
見つかった重大な脆弱性は2件。いずれも、条件がそろうと第三者がインターネット経由でサーバー上のプログラムを不正に実行できる可能性があります。
この問題を受けて、WordPress公式もサイト運営者に緊急の更新を呼びかけました。国内では『ウマ娘 プリティーダービー』などのゲームや、レンタルサーバー事業者でも緊急メンテナンスが発表されています。
結論からいうと、PHPの修正版はすでに公開されています。WordPressなどを運営している人は、サーバーで使われているPHPの修正状況を確認する必要があります。
ただし、スマートフォンでゲームを遊んだり、普段どおりWebサイトを閲覧したりしている一般利用者が、自分の端末のPHPを更新しなければならないという話ではありません。
今回の脆弱性は何が危険なのか。修正されたバージョンはいくつなのか。WordPress利用者はどう確認すればよいのか。PHP公式、WordPress公式、IPAなどの発表をもとに整理します。
※本記事は2026年10月22日時点の公式情報をもとにしています。サーバー事業者による修正適用状況やサービスのメンテナンス状況は、利用環境によって異なります。
PHPに重大な脆弱性2件｜10月21日に修正版が公開
PHPの開発チームは2026年10月20日、重大なセキュリティ問題に対応する修正版を翌21日に公開する予定だと事前告知しました。
日本時間では10月21日23時の公開予定とされ、国内の情報処理推進機構（IPA）も、修正プログラムを速やかに適用できるよう準備を呼びかけています。
その後、PHP開発チームは予定どおり10月21日付で修正版を正式公開しました。
今回の問題は、PHPの内部でメモリを扱う仕組みに存在する2つの脆弱性です。
| 識別番号 | 問題の概要 | 深刻度 |
|---|---|---|
| CVE-2026-109618 | メモリ不足時の処理に不備があり、不正なメモリ状態を扱う可能性 | CVSS v4.0：9.2 |
| CVE-2026-109619 | 解放済みのメモリを指す内部情報が残り、後続の処理で参照される可能性 | CVSS v4.0：9.2 |
どちらも深刻度は10点満点中9.2。PHP公式は重大な問題として、利用者に速やかな更新を求めています。
ここでいう9.2という数値は、攻撃を受ける確率や実際に被害が発生した割合ではありません。攻撃条件や成功した場合の影響などを基準に、脆弱性の深刻さを評価した数値です。
修正版はPHP 8.2.35・8.3.36・8.4.27・8.5.12
PHP開発チームが10月21日に公開した修正版は、次の4つです。
| PHP系列 | 今回の修正版 | 注意点 |
|---|---|---|
| 8.5 | 8.5.12 | 8.5系列の修正版 |
| 8.4 | 8.4.27 | 8.4系列の修正版 |
| 8.3 | 8.3.36 | 8.3系列の修正版 |
| 8.2 | 8.2.35 | 2026年末に公式サポート終了予定 |
| 8.1以前 | 通常の公式サポート対象外 | 提供元の修正パッチや新系列への移行を確認 |
例えば、PHP 8.3を利用していても、バージョンが8.3.35であれば、今回の公式修正版8.3.36には達していません。
単に「PHP 8.3を利用しているから大丈夫」という判断はできないわけです。
ただし、Linuxディストリビューションやレンタルサーバー事業者が、元のバージョン番号を大きく変えずにセキュリティ修正だけを適用する場合もあります。
これはバックポートと呼ばれる対応です。したがって、公式修正版より古い番号が表示されている場合でも、提供元の修正状況を確認せずに未対策と断定することはできません。
レンタルサーバーを利用している人は、PHPの表示番号とあわせて、サーバー会社が今回のCVE番号に対応済みか確認してください。
PHP 8.1以前はどうなる？
PHP 8.1以前の系列は、PHP開発プロジェクトによる通常のセキュリティサポートが終了しています。
今回、PHPのセキュリティチームは特例として、PHP 7.4、8.0、8.1向けに最小限のソースコード修正を提供しました。
ただし、これは古いPHP系列の通常サポートが再開したという意味ではありません。
サーバー事業者やOSの提供元が独自の修正を用意する場合もありますが、対応状況は環境ごとに異なります。
PHP 8.1以前を使い続けている場合は、今回の修正が提供されているか確認するとともに、サポート対象の系列への移行を検討する必要があります。
そもそもPHPとは？なぜ多くのWebサイトが影響を受けるのか
PHPは、主にWebサーバー側で動作するプログラミング言語です。
Webサイトにアクセスしたとき、表示する内容を生成したり、データベースから情報を取り出したり、利用者の操作に応じた処理を実行したりするために使われています。
代表例がWordPressです。
WordPressでは、記事を表示する処理や管理画面の機能など、さまざまな部分でPHPが利用されています。
普段ブログを読む人はPHPを意識する必要がありません。しかし、サイトを動かしているサーバーの裏側では、アクセスに応じてPHPが処理を実行しています。
今回の問題は、そのPHP自体に見つかったものです。
そのため、特定のWordPressテーマやプラグインだけでなく、PHPを利用するさまざまなWebアプリケーションが調査・更新の対象になっています。
遠隔からプログラムを実行される可能性
今回確認された2件の脆弱性は、いずれも条件がそろうとリモートコード実行（RCE）につながる問題です。
リモートコード実行とは、攻撃者が離れた場所から、対象のコンピューター上で本来許可されていないプログラムや処理を実行できてしまうことです。
攻撃が成功した場合には、サーバー上の情報を読み取られたり、ファイルを書き換えられたりする危険があります。
ただし、脆弱性があるサーバーなら必ず侵入できるという意味ではありません。攻撃の成立条件や成功率は、PHPの構成、拡張機能、Webサーバーの種類などによって異なります。
また、攻撃が成立しても、必ずサーバー全体の管理者権限が得られるわけではありません。確認されているリモートコード実行は、主にWebサーバーの処理を担当するアカウントの権限で成立するものです。
Apacheのmod_phpだけが危険なのか
PHP公式は、Apacheのmod_php環境について、アプリケーションのコードが実行される前に攻撃が成立するケースを確認したと説明しています。
そのため、mod_phpは特にリスクが高い環境として挙げられています。
ただし、PHP-FPM、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するほかのPHP環境も今回の注意喚起の対象です。
「mod_phpを使っていないから対策は不要」と判断することはできません。
この問題はWebサイトの裏側にあるサーバーの脆弱性です。アプリやWebサービスのバックエンドが攻撃対象になる仕組みについては、つぶログで紹介したA2B攻撃とバックエンドサーバーの安全性も参考になります。
ただし、A2B攻撃と今回のPHP脆弱性は別の問題であり、今回の国内サービスへの影響がA2B攻撃によって発生したと確認されたわけではありません。
WordPressへの影響は？本体を更新するだけでは修正されない
WordPress公式は2026年10月21日、「Critical PHP Security Release」という緊急のお知らせを公開しました。
その中で、今回の問題はWordPress固有の脆弱性ではなく、PHPを利用するサーバー側の問題であると明確に説明しています。
今回の脆弱性に対応するためのWordPress本体の更新は必要なく、予定もされていません。
WordPress本体を最新版にしていたとしても、サーバー側のPHPが修正されていなければ、今回の問題に対する確認と対応が必要です。
逆に、PHPを適切に更新したからといって、WordPress本体やプラグインの通常のセキュリティ更新が不要になるわけでもありません。
両者は別々に管理する必要があります。
| 更新対象 | 役割 | 今回必要な確認 |
|---|---|---|
| WordPress本体 | ブログ・サイトを管理するシステム | 今回のPHP脆弱性に専用の本体更新は不要 |
| テーマ・プラグイン | サイトのデザインや追加機能 | PHP更新後の互換性を確認 |
| PHP | WordPressをサーバー側で動かす言語 | 今回の脆弱性が修正済みか確認する |
| レンタルサーバー | PHPやWebサイトを動かす環境を提供 | 事業者の更新・メンテナンス情報を確認 |
出典：WordPress公式「Critical PHP Security Release」（2026年10月21日）
WordPressでPHPのバージョンを確認する方法
WordPressを利用している場合、現在のPHPバージョンは管理画面から確認できます。
- WordPressの管理画面にログインする
- 左側のメニューから「ツール」を開く
- 「サイトヘルス」を選択する
- 「情報」タブを開く
- 「サーバー」を展開し、「PHP バージョン」を確認する
これはWordPress公式が今回の緊急告知でも案内している確認方法です。
例えばPHP 8.3.35と表示されていれば、今回のPHP公式修正版である8.3.36より古いバージョンです。
ただし、利用するレンタルサーバーによっては、バージョン番号を変えずに修正パッチを適用していることもあります。
表示された番号だけで判断せず、契約しているサーバー会社の公式案内と照合してください。
WordPress管理画面からPHPを直接更新できる？
通常、WordPressの「更新」画面からPHP本体を直接更新することはできません。
PHPはサーバー側で管理されているため、レンタルサーバーの管理画面を利用するか、サーバー管理者による更新が必要です。
共有レンタルサーバーでは、セキュリティ更新が事業者側で実施される場合もあります。一方、PHPの系列変更を利用者自身が操作できるサービスもあります。
そのため、全利用者が同じ方法で更新できるわけではありません。
エックスサーバー・さくらのレンタルサーバではどう確認する？
国内のレンタルサーバーを使ってWordPressを運営している場合、まず確認したいのがサーバー事業者の対応状況です。
自分でPHPを切り替えられる場合でも、今回の問題に対する修正パッチがすでに適用されている可能性があるため、事業者のお知らせを確認してから対応することが大切です。
エックスサーバーの場合
エックスサーバーでは、サーバーパネルからPHPのバージョンを確認・変更できます。
基本的な操作は、サーバーパネルにログインし、「PHP Ver.切替」を開いて対象ドメインを確認するというものです。
同じ契約内で複数のドメインを運用している場合は、確認するドメインを間違えないようにしてください。
ただし、選択画面でPHP 8.5や8.4などの系列が表示されることと、今回の修正が適用されたビルドであることは別です。
また、PHPを新しい系列へ切り替えると、利用中のテーマやプラグインが正常に動作しなくなる可能性があります。
今回の問題を解決する目的だけで、互換性を確認せずに最も新しい系列へ変更することは避けたいところです。
なお、今回の調査では、エックスサーバーの全環境に対する修正適用完了時刻までは確認できていません。対応済みであると一律に判断せず、契約サーバーの最新案内を確認してください。
さくらのレンタルサーバの場合
さくらインターネットは2026年10月21日、さくらのレンタルサーバやさくらのマネージドサーバなどを対象とする緊急メンテナンスを公表しました。
作業内容はPHPのバージョンアップで、同日23時からの実施予定と案内されています。
また、古いPHPを利用している人に対しては、PHP 8.3の利用を勧めています。
メンテナンス中には数秒程度Webサイトへ接続できない時間が発生する可能性があるとも説明されています。
ただし、案内されている開始時刻だけでは、利用者ごとの作業完了状況までは判断できません。
メンテナンスの進捗や完了状況については、さくらインターネットの最新情報を確認してください。
さくらインターネット公式・2026年10月21日の緊急メンテナンス案内
PHPを変更する前にバックアップと互換性を確認する
PHPのバージョン変更を自分で行う場合は、WordPress本体やデータベースなどのバックアップを用意し、テーマ・プラグインとの互換性を確認することが重要です。
特に古いテーマ、更新が止まっているプラグイン、独自に追加したPHPコードなどを使っているサイトでは、系列変更によって不具合が発生する場合があります。
本番環境とは別に検証用環境を用意できる場合は、先に動作確認すると安全です。
ただし、互換性が心配だからといって、未修正のPHPを長期間放置することも適切ではありません。
サーバー会社に今回の修正済みビルドが提供されているか確認し、必要な更新を速やかに進めることが大切です。
ウマ娘などが緊急メンテナンス｜ゲームのデータは大丈夫？
今回のPHP脆弱性は、一般のゲーム利用者にも影響するニュースとなりました。
2026年10月21日には、国内のオンラインゲームや関連サービスが相次いで緊急メンテナンスを案内しています。
特に『ウマ娘 プリティーダービー』では、当初案内されたメンテナンス開始時刻が変更されたため、古い情報との混同に注意が必要です。
ウマ娘は当初23時予定から22時開始へ変更
『ウマ娘 プリティーダービー』の運営元であるCygamesは、10月21日18時30分にPHPの脆弱性対応に伴うメンテナンスを発表しました。
当初は23時ごろの開始予定でしたが、同日21時16分の追記で、22時ごろ開始へ変更されています。
メンテナンス中はゲームのプレイやデータ連携など、すべての機能を利用できないと案内されました。
一方、運営は今回のメンテナンスによって育成途中のデータが削除されることはないと説明しています。
また、発表時点では今回の脆弱性を悪用した被害や、利用者データの流出は確認されていないとしています。
つまり、メンテナンスが実施されたことと、不正アクセスや情報流出が発生したことは別です。
出典：『ウマ娘 プリティーダービー』公式・PHPの脆弱性対応に伴うメンテナンスのお知らせ
ゲーム利用者が自分でPHPを更新する必要はない
今回のメンテナンスは、主にサービスを提供するサーバー側の問題への対応です。
ゲームをプレイしている人が、自分のスマートフォンやパソコンへPHPをインストールしたり、手動で更新したりする必要は通常ありません。
利用者が確認するべきなのは、各ゲームの公式発表です。
メンテナンスの終了時刻、サービス再開、データへの影響などは運営ごとに異なります。今回のPHP修正版が公開されたからといって、すべてのサービスが同時に再開するわけではありません。
なお、サービスが停止しているという事実だけで、情報漏えいが発生したと判断することはできません。
企業が発表する「不正アクセス」「情報漏えいの可能性」「流出を確認」の違いについては、つぶログの不正アクセスと情報流出は同じなのかを整理した記事でも詳しく解説しています。
すぐPHPを更新できない場合はどうする？
PHP公式は今回の脆弱性について、更新が完全な対策であると説明しています。
サーバーの設定変更やアクセス制限などで、特定の攻撃経路を利用しにくくすることはできます。しかし、それだけで今回の問題が完全に修正されたことにはなりません。
WordPress公式も、サーバー会社がWebアプリケーションファイアウォール（WAF）のルールを導入している可能性に触れながら、PHP自体の更新を確認するよう呼びかけています。
WAFが有効なら更新しなくても大丈夫？
WAFはWebサイトへの不審な通信を検知・遮断する仕組みです。
今回の問題でも、攻撃を受ける可能性を減らすための補助的な対策として利用されることがあります。
ただし、WAFの導入だけで脆弱性がなくなるわけではありません。
WAFは更新までのリスクを抑える対策であり、修正済みPHPへの更新の代わりにはなりません。
自分でサーバーを管理している場合
VPSや専用サーバーなどを自分で管理している場合は、PHPの修正済みパッケージが提供されているか、OSやPHPの配布元の情報を確認する必要があります。
更新がすぐに行えず、脆弱なPHPをインターネットへ公開し続けることになる場合には、影響を受けるサービスを一時的に停止することも検討対象になります。
WordPress公式も、特にPHP 8.2より古い系列を自分で管理している運営者に対して、更新準備が整うまでサーバーをオフラインにすることを検討するよう案内しています。
ただし、共有レンタルサーバーを利用している人が、契約サーバー全体を自分で停止する必要があるという意味ではありません。
まずは提供会社の公式情報を確認し、その環境で必要な作業を判断してください。
PHP 8.2は2026年末にサポート終了｜長期的な更新も必要
今回の脆弱性への対応とは別に、PHP 8.2の公式サポート終了も近づいています。
PHP公式によると、8.2系列のセキュリティサポートは2026年12月31日に終了する予定です。
修正版8.2.35を利用すれば今回の2件に対する修正を適用できますが、2027年以降も同じ系列を長期間使い続けることは勧められません。
現在の各系列のセキュリティサポート終了予定日は、次のとおりです。
| PHP系列 | セキュリティサポート終了予定 |
|---|---|
| 8.2 | 2026年12月31日 |
| 8.3 | 2027年12月31日 |
| 8.4 | 2028年12月31日 |
| 8.5 | 2029年12月31日 |
サポート終了後もPHP自体が突然動かなくなるわけではありません。
しかし、新たな脆弱性が発見されても、PHP開発プロジェクトからその系列向けの通常の修正が提供されなくなります。
今回のような重大な問題が発生したときに対応を難しくしないためにも、サポート中の系列へ移行できる環境を整えておくことが重要です。
PHPの脆弱性についてよくある疑問
Q. WordPressを最新版にしていれば安全ですか？
WordPress本体が最新版でも、サーバー側のPHPが未修正であれば今回の脆弱性への対応が必要です。
WordPressの更新とPHPの更新は別なので、両方の管理状況を確認してください。
Q. PHP 8.3なら安全ですか？
8.3という系列名だけでは判断できません。今回のPHP公式修正版は8.3.36です。
ただし、サーバー事業者が独自の修正を適用している場合があるため、表示番号と提供元のセキュリティ告知を照合してください。
Q. スマホやパソコンにPHPをインストールする必要はありますか？
Webサイトの閲覧や一般的なゲーム利用だけであれば、通常は必要ありません。
今回の問題は主に、PHPを使ってサービスを提供するサーバー側の脆弱性です。
ただし、自分のパソコンで開発用サーバーを公開している場合などは、利用状況に応じて確認が必要です。
Q. 今回の問題で個人情報が流出したのですか？
重大な脆弱性が確認されたことと、個々のサービスで情報流出が発生したことは別です。
今回の2件を悪用した攻撃が成立する可能性は確認されていますが、すべてのPHP利用サイトで実際に侵害が起きたわけではありません。
各サービスで被害があったかどうかは、それぞれの運営元の調査結果を確認する必要があります。
Q. パスワードはすぐ変更するべきですか？
今回のPHP脆弱性が公表されたという理由だけで、すべての利用者が一律にパスワードを変更しなければならないわけではありません。
ただし、利用しているサービスから情報漏えいの通知が届いた場合や、不審なログインが確認された場合は、そのサービスの案内に従って対応してください。
サイト運営者の場合は、実際にサーバーが侵害された疑いがあるか確認し、必要に応じてログの保全、認証情報の変更、原因の調査などを進めることになります。
Q. PHPが修正済みなら今後は安全ですか？
今回公開された修正版は、確認された2件の脆弱性を修正するためのものです。
PHPやWordPressに今後別の脆弱性が見つからないことを保証するものではありません。
また、修正前にサーバーが侵害されていた場合は、PHPを更新するだけでは不正に設置されたファイルや流出した認証情報への対処が完了しない可能性もあります。
修正プログラムの適用と、侵害が疑われる場合の調査・復旧は分けて考える必要があります。
まとめ｜PHP修正版は公開済み。WordPress運営者はサーバー側を確認
2026年10月21日、PHPに見つかった重大な脆弱性2件を修正する更新版が公開されました。
対象となる脆弱性はCVE-2026-109618とCVE-2026-109619で、いずれもCVSS v4.0で9.2という高い深刻度が付けられています。
公式修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12の4つです。
WordPressを利用している場合は、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPバージョンを確認できます。
ただし、PHPのバージョン番号だけでは、サーバー事業者による修正パッチの適用状況を判断できない場合があります。契約しているレンタルサーバーの公式案内もあわせて確認してください。
また、今回の問題はWordPress固有の脆弱性ではありません。WordPress本体を更新することと、サーバー側のPHPを修正することは別の対応です。
ゲームの緊急メンテナンスについても、予防的な安全対策として実施されたものと、実際の情報流出や不正アクセスの発生は区別する必要があります。
Webサイト運営者はPHPの修正状況を確認し、必要な更新を速やかに行う。一般のゲーム利用者やサイト閲覧者は、利用サービスの公式案内を確認する。
今回のPHP脆弱性については、この違いを理解して対応することが重要です。