本記事にはプロモーション（アフィリエイトリンク）が含まれています。
PHPに重大な脆弱性が2件見つかり、修正版が10月21日の23時（日本時間）に公開される予定です。保育園の連絡アプリやレンタルサーバーなどで緊急メンテナンスが相次いでいて、「自分のブログは大丈夫？」「何をすればいい？」と不安になっている人も多いと思います。
先に結論です。WordPressでブログを運営している人は、契約しているサーバー会社のお知らせを確認し、修正版が出たあとの案内に沿って対応しましょう。管理画面で使っているPHPのバージョンが、サポート中の8.2〜8.5になっているかも今のうちに見ておくと安心です。サービスを使うだけの人は、各社の公式発表を待ち、「緊急」をうたうメールのリンクを急いで開かないようにしましょう。
この記事は10月21日19時時点の情報です。影響を受けるバージョンなどの詳しい内容は修正版の公開と同時に発表される予定なので、最新の情報は公式の発表で確認してください。
PHPの脆弱性で発表されたこと（10月21日時点）
PHPのセキュリティチームが10月20日（協定世界時）に告知した内容と、IPA（情報処理推進機構）の注意喚起をまとめると、次のとおりです。
| 項目 | 内容 |
|---|---|
| 修正版の公開予定 | 10月21日14時（協定世界時）＝日本時間23時 |
| 脆弱性の数 | 2件 |
| 深刻度 | どちらもCVSS v4.0で9.2（Critical） |
| CVE番号 | CVE-2026-109618、CVE-2026-109619（CERT-EUの注意喚起による） |
| 影響を受けるバージョン | 未発表（CERT-EUはPHP 5以降が影響を受けると記載） |
PHPのチームは、脆弱性の詳細が外に出たり、悪用が確認されたりした場合は、予定より早く公開する可能性があるとしています。IPAは、現時点で悪用した攻撃を確認しているわけではないとしたうえで、修正版が出たらすぐ適用できるよう事前の準備を呼びかけています。
EUの機関向けセキュリティ組織のCERT-EUは、外部からプログラムを実行される（リモートコード実行）おそれがあるとみています。
なぜここまで大きな話題になっているのか
PHPは、Webサイトの裏側で動くプログラミング言語です。ITmedia NEWSによると、W3Techsの調査では、サーバー側の言語が分かっているWebサイトの約7割がPHPを使っています。ブログやホームページでよく使われるWordPressも、PHPで動いています。
IPAは、PHPがWebアプリだけでなく、ソフトウェア製品やネットワーク機器の内部で使われている場合もあると説明しています。使っている側が気づかないところでPHPが動いていることもあり、影響の範囲がつかみにくいのが今回の特徴です。
各社で予防的なメンテナンスが相次いでいる
10月21日には、修正版の公開を前にサービスを止める会社が相次ぎました。保育・教育施設向けの「コドモン」は、利用しているソフトウェアに重大な脆弱性が確認されたことを受けた予防的な措置として、保護者アプリを含む全サービスを停止しました。コドモンは、不正アクセスや情報漏えいは確認されていないとしていて、10月22日（木）早朝の再開を見込んでいます。
ITmedia NEWSは、ゲームの「Shadowverse: Worlds Beyond」や「さくらのレンタルサーバ」なども緊急メンテナンスを実施または予告したと伝えています。
WordPressでブログやサイトを運営している人がやること
レンタルサーバー（共用サーバー）でWordPressを使っている場合、PHP本体の更新は多くの場合サーバー会社が行います。自分でできることは、次の4つです。
- 契約しているサーバー会社のお知らせ・メンテナンス情報を確認する
- サーバーの管理画面で、サイトが使っているPHPのバージョンを確認する
- サイトのバックアップを取っておく
- 修正版が出たら、サーバー会社の案内に沿って対応する
PHPのバージョンは8.2〜8.5か
PHPの公式サイトによると、10月21日時点でサポートされているのは8.2、8.3、8.4、8.5です。このうち8.2はセキュリティの修正だけが続いている段階で、それも2026年12月31日で終わります。
IPAは、サポートが終わった古いPHPを使い続けているWebサイトも見受けられると指摘しています。サポートが終わったバージョンには、修正版が出ないおそれがあります。管理画面で古いバージョンを選んだままになっていたら、サポート中のバージョンへの切り替えを考えましょう。
切り替えると、古いテーマやプラグインが動かなくなることがあります。先にバックアップを取り、テーマやプラグインが新しいPHPに対応しているかを確かめてから切り替えると安心です。
メンテナンス中は管理画面に入れないことも
サーバー会社によっては、修正の作業中にサイトや管理画面が一時的に見られなくなることがあります。記事の公開予約や更新の予定がある人は、お知らせで作業時間を確かめておきましょう。
サーバーを自分で管理している人がやること
VPSやクラウドでサーバーを自分で管理している人は、修正版を自分で適用する必要があります。IPAは、開発・運用しているプログラムのうち、PHPを使っているものを可能な範囲で洗い出しておくよう求めています。
GMO Flatt Securityは、修正版の公開前にできる準備として、次のような項目を挙げています。
- PHPの更新手順と、更新後にアプリが正しく動くかの確認手順を確かめる
- 設定を変える手順を確かめ、実際に機能するか試しておく
- サーバーを止める場合に備えて、関係者への連絡の流れを確認する
- サーバーに置いているデータと、サーバーが持つ権限を必要最小限にする
- ログがきちんと記録・保存されているかを見直す
同社は、暫定的な対策として、ファイルアップロードの進み具合を記録する「Session Upload Progress」機能を無効にする設定（session.upload_progress.enabled=0）も挙げています。ただし、これで確実に防げるとは言い切れず、一定の確率で役に立つという見方です。根本的な対策は、修正版をできるだけ早く適用することだとしています。
サービスを使うだけの人が気をつけること
アプリやWebサービスを使うだけの人が、PHPについて自分で何かをする必要は基本的にありません。止まっているサービスがあれば、公式サイトや公式SNSで再開の知らせを待ちましょう。
気をつけたいのは、話題に便乗したメールやSMSです。「脆弱性対応のため」「緊急のお知らせ」などと書かれたメッセージのリンクから、IDやパスワードを入力しないようにしましょう。確認したいときは、ブックマークや公式アプリからサービスを開くのが確実です。
セキュリティを学び直したい人向けの本
今回のように急な対応が必要になったとき、ふだんの備えができているかで慌て方が変わります。サイトの運営や開発に関わっている人向けに、基本から学べる本を紹介します。
『これからのWordPressセキュリティ本格講座』は、共用レンタルサーバーでWordPressを運用している人向けの本です。「月1回・30分」でできる保守の項目や、感染してしまったときの初動対応までまとめられています。
Webアプリを作る側の人には、徳丸浩さんの『体系的に学ぶ 安全なWebアプリケーションの作り方』が定番の1冊です。8年ぶりに全面改訂された第3版が、2026年12月23日に発売予定で、Amazonでは予約を受け付けています（10月21日時点）。
すぐに読み始めたい人は、2018年に出た第2版も手に入ります。脆弱性が生まれる仕組みと対策を、実際に手を動かしながら学べる内容です。
よくある疑問
Q. WordPressを使っていると、必ず影響を受ける？
10月21日19時の時点では、影響を受けるバージョンや条件は発表されていません。修正版の公開と同時に発表される予定なので、それまではサーバー会社の案内を確認して待ちましょう。
Q. 23時より早く修正版が出ることはある？
PHPのチームは、脆弱性の詳細が外に出た場合や悪用が確認された場合は、予定より早く公開する可能性があるとしています。
Q. 自分でPHPを更新しないといけない？
共用のレンタルサーバーでは、PHP本体の更新は多くの場合サーバー会社が行います。管理画面で選べるPHPのバージョンについては、サーバー会社の案内に従ってください。VPSやクラウドで自分で管理している場合は、自分で修正版を適用する必要があります。
まとめ
PHPの重大な脆弱性2件を直す修正版は、10月21日23時（日本時間）に公開される予定です。深刻度はどちらも9.2で、各社が予防的なメンテナンスを進めています。
WordPressでブログを運営している人は、サーバー会社のお知らせとPHPのバージョンを確認し、バックアップを取っておきましょう。最新の情報は、PHPの公式サイトやIPAの注意喚起で確認してください。
コメント