【免責・情報の基準日】2026年10月24日時点。本記事は、PHP公式、IPA、NVD、WordPress.orgで確認した情報をもとに作成しています。対応状況や予定は変わることがあるため、最新情報は各公式サイトと、ご利用のホスティング事業者でご確認ください。
2026年10月21日に公表されたPHPの脆弱性（PHP2Shell、CVE-2026-109618／CVE-2026-109619）は、CVSS v4.0で9.2と深刻度の高い脆弱性です。PHP公式は「アップデートが唯一の完全な対策」としています。WordPressサイトの運用者がまず確認すべきなのは、WordPress本体の更新ではなく、サーバーで動いているPHPのバージョンです。本記事では、PHPの版の確認方法、修正版の判定、更新できない場合の考え方、更新後に確認すべき点を順番に整理します。
2件の脆弱性と深刻度
PHP2Shellは、2件のCVE（共通脆弱性識別子）で構成されています。NVD（米国国立標準技術研究所の脆弱性データベース）に登録された深刻度は次の通りです。
| 項目 | CVE-2026-109618 | CVE-2026-109619 |
|---|---|---|
| CVSS v4.0 | 9.2 | 9.2 |
| CVSS v3.1 | 9.8 | 8.1 |
CVSSは脆弱性の深刻度を0〜10で表す共通の指標です。v4.0とv3.1は算出方式が異なるため、同じ脆弱性でも数値が違って見えます。両方の指標で高い値が出ている今回の件は、優先度を上げて対応を検討すべき水準と考えてください。ただし、CVSSの数値だけで攻撃の有無や影響範囲が決まるわけではありません。実際の対応では、「自社のサーバーで、その脆弱なPHPの版が動いているか」を確認することが先になります。数値は優先度の目安として使ってください。
WordPressサイトは対象になるのか
WordPress.orgは、今回の問題はWordPress固有のものではないとし、WordPress本体の更新は不要（予定なし）としています。
ただし、WordPressはPHPの上で動きます。サーバーのPHPが脆弱な版のままであれば、WordPressサイトも影響を受けうる状態になります。「WordPressを最新にしているから大丈夫」とは言い切れないことが、この問題の注意点です。
対象になりやすい環境
PHP公式は、対象になりやすい環境としてmod_php（ApacheにPHPを組み込む方式）を最も高リスクと記載しています。ご自身のサーバーがどの方式で動いているかは、ホスティング事業者の説明や設定画面で確認しておくと安心です。CGI方式やphp-fpmなど、ほかの方式で動いている場合も、版の確認は同じように必要です。
別件：WordPress 7.1.3の更新
同じ時期に公開されたWordPress 7.1.3は、PHP2Shellとは別のセキュリティ更新で、7件の修正を含みます。両者は別の問題ですので、混同しないようにご注意ください。WordPress 7.1.3の適用状況も、あわせて確認することをおすすめします。
まず確認すること：PHPのバージョン
対応の出発点は、今動いているPHPの版を正確に知ることです。確認方法は次の3つがあります。
- WordPressの管理画面で確認する：「ツール」→「サイトヘルス」→「情報」タブのサーバー欄に、PHPのバージョンが表示されます。
- ホスティングの管理画面で確認する：レンタルサーバーの管理画面で、現在選択されているPHPの版を確認します。
- サーバーにSSHで接続して確認する：
php -vを実行します。ただし、コマンドラインで表示される版と、Webサイトが実際に使っている版が異なることがあります。
CLIとWebで版が違う場合の考え方
判定に使うのは、Webサイトが実際に動作している版です。CLIとWebで版が違う場合は、Web側（php-fpmやApacheのモジュール）の版を優先して判断してください。
次の表で、確認した版が修正版より前かどうかを判定します。
| 現在のPHP版 | 修正版（判定の基準） | 判定と対応 |
|---|---|---|
| 8.5.x | 8.5.12以上 | 8.5.12より前なら更新が必要 |
| 8.4.x | 8.4.27以上 | 8.4.27より前なら更新が必要 |
| 8.3.x | 8.3.36以上 | 8.3.36より前なら更新が必要 |
| 8.2.x | 8.2.35以上 | 8.2.35より前なら更新が必要 |
| 8.1以前 | PHP公式の修正版なし | ベンダーの対応状況を確認、または移行を検討 |
注意したいのは、ベンダー版では修正を適用しても版番号の表示が変わらない場合があることです。その場合は、ホスティング事業者に「修正を適用済みか」を直接確認してください。
PHP 8.2のサポートは2026年12月31日に終了します。今回の対応と合わせて、次の版への移行計画を立てておくことをおすすめします。
判断基準：修正版の有無で対応を分ける
確認した版によって、取るべき対応は大きく3つに分かれます。
修正版以上の場合：適用状況を確認する
修正版以上であれば、更新が適用されていることを確認します。レンタルサーバーなどでは事業者が修正を適用している場合もあるため、適用済みかどうかを事業者に確認してください。適用後にPHPの再読み込みや再起動が必要になるケースもあるので、あわせて確認しましょう。
修正版未満の場合：更新を依頼する
ホスティング事業者に次のような文面で問い合わせると、話が早く進みます。
「PHP2Shell（CVE-2026-109618／CVE-2026-109619）への対応状況を教えてください。契約サーバーで使用中のPHPは○○です。修正版（○○以上）への更新予定と、作業前後の連絡の有無をご確認させてください。」
更新作業の前には、必ずバックアップを取り、ステージング環境（検証用の複製サイト）で先に確認することをおすすめします。
8.1以前の場合：バックポート版か移行か
PHP 8.1以前は、PHP公式から修正版が提供されていません。そのため、ベンダーが修正を移植（バックポート）した版を使っているかを確認する必要があります。バックポートの提供がない場合は、サポートされている版への移行を検討してください。移行の際は、テーマやプラグインの互換性確認が欠かせません。移行は段階的に進め、本番に反映する前にステージング環境で確認してください。
すぐに更新できない場合の暫定策
更新までの間、PHP公式の案内に沿った設定変更などの暫定策をとることはできます。ただし、暫定策は安全を確保するものではなく、あくまで一時的な回避です。PHP公式もアップデートを唯一の完全な対策としています。暫定策を取った場合でも、更新の予定日を必ず決めてください。
制作会社の視点：更新後に確認すること
PHPの更新は、サイトの見た目と機能が変わらないことを確かめて、初めて完了します。更新後は次の点を確認してください。
特にフォームや決済は、見た目が正常でも裏側で止まっていることがあります。テスト送信や、事業者が用意しているテスト環境での決済確認など、実際の動作を確かめることが大切です。
テーマ・プラグインの対応状況
古いテーマやプラグインは、新しいPHP版で正しく動作しないことがあります。更新前に、各プラグインの対応状況（対応版の表記や更新履歴）を確認しておきましょう。
更新後の動作確認チェックリスト
- お問い合わせフォームの送信と、通知メールの受信
- 管理画面へのログイン、投稿の作成と保存
- 予約や決済など、外部サービスと連携する機能
- トップページと主要ページの表示崩れ（スマートフォン表示を含む）
- 検索や会員ログインなど、動的な機能
- エラーログに新しいエラーが出ていないか
本番前にステージング環境で確認する理由
本番で直接更新すると、不具合が公開中のサイトに出てしまいます。ステージング環境で先に動作を確認し、問題がなければ本番に反映する流れが安全です。
2026年10月23日の追加情報（CVE-2026-115560）
PHP公式は2026年10月23日、CVE-2026-115560に関する情報（informational）を公開しました。対象となる条件は極めて限定的で、session.serialize_handler の切り替えなど、特殊な設定を使っている場合に限られると案内されています。
今回の件とは別に、古い版のPHPを使い続けること自体が、今後のセキュリティ対応を難しくします。PHP公式は、session.upload_progress.enabled=0 の設定を推奨しています。すでに対策済みの場合は、その設定を維持してください。なお、2026年10月24日時点で、NVDへの登録は確認できていません。
当社の経験から：更新後に寄せられた問い合わせ
株式会社CELLECは、本番サイトのPHPとWordPressを更新しました。その後、お客様から問い合わせが相次ぎ、保守契約のないお客様からも対応のご依頼をいただきました。
この経験から言えるのは、更新作業そのものより、更新後にサイトの状態を確認し、問い合わせの内容を切り分ける作業に手間がかかるということです。PHPの版が変わったことによる影響は、見た目の崩れ、フォームの不具合、管理画面の表示など、サイトごとに異なります。だからこそ、更新の前後で確認項目を決めておくことが大切です。
当社としては、いつ、どの版に更新したかを記録しておくことも大切だと考えています。更新の記録があれば、後から問い合わせが来たときに、原因が更新によるものかどうかを切り分けやすくなります。
よくある質問
WordPressを最新版にしていれば安全ですか？
WordPress本体の最新化は大切ですが、それだけでは十分ではありません。WordPressはPHPの上で動くため、WordPressの版とは別に、PHPの版を確認する必要があります。
レンタルサーバーなら、ホスティング会社に任せておけばよいですか？
修正の適用は事業者が行うことが多いですが、適用状況はご自身でも確認できます。管理画面で版を確認し、対応の有無を事業者に問い合わせておくと、対応漏れを防げます。
PHP 8.1以前のサイトはどうすればよいですか？
公式の修正版はありません。ベンダーのバックポートの有無を確認し、なければサポートされている版への移行を計画してください。移行にはテーマやプラグインの互換性確認が含まれるため、早めの着手をおすすめします。
PHPを更新したら、WordPressの再インストールは必要ですか？
一般的には、PHPの版を上げるだけで再インストールが必要になることは少ないです。更新後に不具合が出た場合は、WordPress本体よりも、プラグインやテーマの互換性を先に疑ってください。
自分でPHPを更新できない場合はどうすればよいですか？
ホスティング事業者の管理画面で変更できる場合もあります。難しい場合は、ホスティング事業者に依頼するか、WordPressの保守を担当する制作会社に相談してください。
更新後の保守について
PHPやWordPressの更新は、一度行えば終わりというものではありません。更新のたびに、プラグインやテーマの互換性を確かめ、表示や機能に問題がないかを確認する作業が必要になります。
保守契約では、たとえば次のような範囲を継続してお任せいただけます。
- 更新作業の範囲：PHPの版の変更、プラグイン・テーマの互換性確認、バックアップと切り戻し手順の準備
- 動作・デザイン崩れの確認：フォーム送信、管理画面、主要ページの表示崩れのチェック
保守契約の範囲や内容は、お客様のサイトの規模や構成によって異なります。まずは現在のPHPの版や、プラグイン・テーマの状況を整理するところからご相談いただくことも可能です。
保守の内容や料金は、サイトの運用状況によって変わります。詳しくはサービス一覧をご覧いただくか、お問い合わせからご相談ください。
制作会社との契約が切れている場合でも、対応いたしますので、お気軽にご相談ください。