2026年10月21日、PHPの開発チームが、
重大な脆弱性2件の修正版を公開しました。
「うちのサイトは大丈夫？」と
不安になった方も多いと思います。
この記事では、PHP公式や公的機関、
サーバー会社の発表を確認して、
WordPressサイトの持ち主が、今日やることを整理します。
この記事の内容
何が起きたのか（事実だけ）
WordPressへの影響
自分のサイトのPHPバージョンの確認方法
サーバー会社別の発表（2026年10月22日時点）
自分でサーバーを管理している場合
WordPressの現状（シェア・脆弱性・バックドア・不審なプラグイン）
Wixなど、サービス上で作ったサイト
制作会社・サーバー会社に聞くこと
結論：まず、PHPのバージョンと、サーバー会社のお知らせを確認する
今回の対象は、WordPress本体ではなく、PHPです。
WordPress公式は、PHPを直ちに更新するよう勧めています。
同時に、WordPress本体の更新は、必要とされておらず、
予定もされていないと書いています。
確認できた4社（ロリポップ！、エックスサーバー、
ConoHa WING、さくら）は、対応を進めています。
ほかの会社は、各社のお知らせで確認してください。
また、会社ごとに、お客様の作業が違います。
WordPress本体の更新は不要（WordPress公式）
直すのはPHP。更新だけが、完全な対策（PHP公式）
レンタルサーバーは、会社の発表を確認する
自分でサーバーを管理しているなら、すぐ修正版へ更新する
何が起きたのか：事実だけ整理
修正されたPHPの脆弱性
修正されたのは、
CVE-2026-109618とCVE-2026-109619の2件です。
どちらも、ログインしていない第三者が、
遠隔からプログラムを実行できるおそれがあります
（認証なしのリモートコード実行）。
PHP開発チームの事前告知では、深刻度は
どちらもCVSS v4.0で9.2とされています。
通称は「php2shell」です
（CISAなどが使う名前で、PHPの告知には出てきません）。
公表の前に出回った情報には、
CVSSが10.0とされたものがありました。
PHP Foundationによると、
この数字は誤りだったとされています （Tenableの記事より）。
PHP公式は、影響を受ける構成としてPHP-FPM、
Apache（mod_php）、php-cgi、FrankenPHP、
LiteSpeedを挙げています。
特に、mod_phpでのリスクが最も高いとしています。
簡単に言うと
WebサイトのリクエストをPHPで処理しているサーバーは、
広く対象になります。
修正版と、影響を受ける版
PHP 8.5：8.5.12
PHP 8.4：8.4.27
PHP 8.3：8.3.36
PHP 8.2：8.2.35
上の修正版より前のバージョンが、対象です
（JPCERT/CC、IPAの注意喚起）。
PHP 8.1以前は、
PHPプロジェクトの公式サポートが終わっていて、
通常の修正版は出ません。
PHP 7.4、8.0、8.1には、最小限のソース修正が、
別途公開されています。
Linuxのディストリビューション（OSの配布元）は、
古い版番号のまま修正を取り込む場合があります。
利用元の案内を確認してください。
攻撃の状況：情報源で表現が分かれる
攻撃の状況は、発表元によって、書き方が違います。
米国のCISAは、公開時点では、悪用を確認していないと書いています。
一方、セキュリティ会社のTenableは、
AmazonがPHPの発表の4日前に、
攻撃の試みを観測したと伝えています。
またCloudflareが、攻撃の通信を観測したとも書かれています。
Tenableの記事は、Amazonの報告をまとめて、
「広く悪用されている」と書いています。
ただし、10月21日の試みが、実際に成功したかは、
不明とも書いています。
さらに、セキュリティ会社のwatchTowrが、
両方の脆弱性を再現し、悪用の試みも観測していると
伝えています。
PHP Foundationは、公開時点で
実際に動く攻撃コードは確認していないとされています
（Tenableの記事より）。
Tenableは、出回っている攻撃コードの動作を
確認できていないと書いています。
未検証のコードには、マルウェアが含まれることもあるため
むやみに試さないでください。
状況は、日々変わります。
最新の情報は、公式の発表で確認してください。
WordPressへの影響
WordPressは、PHPで動いています。
そのため、PHPの問題はWordPressサイトにも関係します。
WordPress公式は、サイトの持ち主に
PHPを直ちに更新するよう勧めています。
同時に、WordPress本体の更新は、必要とされておらず
予定もされていないと書いています。
PHP公式は
「完全な回避策はなく、更新が唯一の安全な選択」と
書いています。
そのため、プラグインや設定の変更だけで
安全になるとは言えません。
WordPressの現状：シェアの大きさと、脆弱性・バックドア・不審なプラグイン
WordPressは、世界のサイトの約4割
Webの利用状況を調べているW3Techsによると、
2026年10月22日時点で、WordPressは
世界の全ウェブサイトの39.6%で使われています。
どのCMSかを判別できたサイトだけで見ると、58.3%です。
使っている人が多いほど、攻撃する側にとっても、
狙う価値が高くなります。
これは、一般にいわれていることで筆者の解釈です。
WordPressで問題が起きると、話題になりやすいのは、
そのためと思われます。
脆弱性の多くは、プラグインから見つかっている
セキュリティ会社のPatchstackは、
2025年の1年間の調査を、2026年2月にまとめています。
WordPress関連で新しく見つかった脆弱性は
11,334件で、前の年より42%増えました。
そのうち、プラグインが91%、テーマが9%でした。
WordPress本体は、6件で、優先度の低いものだったと
報告されています。
また、見つかった時点で
開発者から修正版が出ていなかったものが、46%ありました。
大規模に悪用された脆弱性では、
最初の悪用までの時間の加重中央値が5時間だったと
書かれています。
Patchstackは、セキュリティ製品を扱う会社です。
数字は、その会社の調査として、読んでください。
WordPress本体の脆弱性は、別の話
今年の7月にも、WordPress本体に、
重大な脆弱性が見つかりました（通称wp2shell）。
WordPress公式は、2026年7月17日に、
修正版（6.9.5、6.8.6、7.0.2）を公開しています。
今回のPHPの件とは、別の話です。
PHPの件は、WordPress本体の更新が不要ですが、
こちらは、WordPress本体の更新が必要でした。
WordPress本体、プラグイン、テーマを、
常に最新にしておくことが、基本の対策です。
バックドアとは
バックドアとは、正規の入口とは別に攻撃者が
あとから自由に出入りできるように
サイトに仕込んだ裏口のことです。
一度仕込まれると、パスワードを変えても裏口が残っていれば、
サイトに入られるおそれがあります。
プラグインをめぐる事例（裏口・侵入の入口）
プラグインをめぐって、裏口や侵入の入口ができた事例が
今年、2つ報告されています。
1つ目は、プラグインの更新から入った事例です。
2つ目は、プラグインの開発元のサイトが侵害され
接続の仕組みを通じて顧客のサイトに入られた事例です。
1つ目は、
Essential Pluginの事案です（2026年4月）。
Patchstackの記事によると、プラグインの開発元は
2025年に、売却されました。
新しい持ち主が、売却のあとに20本以上のプラグインへ、
裏口を仕込む更新を出したとされています。
裏口が実際に使われたのは、2026年4月5日でした。
WordPress公式のプラグインの審査チームは、
4月7日に攻撃を確認し、対象のプラグインをすべて閉鎖したと
書かれています（閉鎖の日付は、記載がありません）。
Patchstackの記事の中でも、本数の書き方には
ぶれがあります（20本以上、25本以上など）。
この事例は、プラグインの持ち主が変わったときも
安全とは限らないことを教えてくれます。
2つ目は
UpdraftPlus（バックアップのプラグイン）の開発元
TeamUpdraftの事案です（2026年10月）。
プラグインの更新から入った事例とは違います。
開発元は、UpdraftPlusの本体と
ダウンロードのファイルは、影響を受けていないとしています。
なお、
開発元の告知で「バックドア」という言葉が使われているのは
悪意あるプラグインの説明の中の1回だけです
（10月21日の追記）。
開発元の告知は、次の順に書かれています。
10月17日から18日の週末に、
開発元の自社のWebサイト（teamupdraft.com）への、不正アクセスを見つけた
顧客のデータベースにアクセスされた可能性があるとしている。
接続キー（UpdraftCentralなど）も含まれる
teamupdraft.comのアカウントを持つ人には、
同サイトでパスワードを変更するよう勧めている。
10月19日の夜（英国時間）の更新で、
UpdraftCentralの接続キーを失効させたと書かれている。
10月21日の追記では、攻撃者が侵害されたキーを使って
開発元のサイトに入ったと書かれている
同じ追記で、接続の仕組みを悪用して、 顧客のサイトに、管理者のアカウントの作成や 不審なプラグインの導入などを行ったと書かれている（範囲は不明）
10月22日の追記では、このインシデントより前に登録されていたサイトは、攻撃者にさらされた可能性があるとしている
なお、10月21日の追記は、
UpdraftCentralを使ったことがない場合も、
確認するよう書いています（有料版の利用者向け）。
開発元は、10月20日の追記で不正アクセスは解決済みで
接続キーの失効で経路を遮断したと書いています。
攻撃者が、今もアクセスできている証拠はないとしています。
更新版（接続キーを失効させるもの）は、無料版が1.26.13、
有料版が2.26.13とされています
（告知の中で、版番号の書き方に、ゆれがあります。
最新版にしてください）。
不審なプラグインや、ユーザーの確認方法
UpdraftPlusを使っていない場合でも、次の確認は、
役に立ちます。
開発元（TeamUpdraft）の告知を参考にまとめました。
「使っていないプラグインの削除」などは、一般的な対策です。
これは、今日の1つ（PHPバージョンの確認）とは別に
余裕のあるときに、行ってください。
WordPressの管理画面の「ユーザー」で、見覚えのない管理者や、編集者のアカウントがないか、見る
「プラグイン」の一覧で、見覚えのないプラグインがないか、見る（開発元の告知では、「Must-Use」というタブも、確認するよう案内されている）
使っていないプラグインや、更新が止まっているプラグインは、削除を検討する（一般的な対策）
管理者のパスワードを、変更する。同じパスワードを、他で使っていないか、見直す
不審な点があれば、10月17日より前のバックアップから、復元することを検討する（開発元の告知より）。復元で、必要なデータが消えることもあるため、判断が難しいときは、相談する
自分で判断できないときは、サーバー会社や、専門の事業者に、相談する
ここで挙げた確認は、被害がないことを、保証するものではありません。
自分のサイトのPHPバージョンの確認方法
WordPressの管理画面から、確認できます。
WordPress公式は、
「ツール」→「サイトヘルス」→「情報」→「サーバー」で
確認する方法を案内しています。
WordPressの管理画面にログイン
左のメニューの「ツール」→「サイトヘルス」
「情報」のタブを開く
「サーバー」の項目で、PHPのバージョンを見る
注意点があります。
ConoHa WINGは、全バージョンに修正を適用したあとも
サイトヘルスの表示が、
修正版の番号（例：8.5.12）ではなく、
従来の番号（例：8.5.11）のままの場合があると案内しています。
ConoHa WINGのように、
表示の番号が古いままの場合もあるため、表示される番号だけで
修正済みかどうかを判断しないでください。
サーバー会社のお知らせを確認します。
PHPが古いバージョンのままのサイトは、要注意
PHP 8.1以前は、PHPの公式の修正版が出ません。
レンタルサーバーでは、各社が古いバージョンにも
独自に修正を当てている場合があります
（下のサーバー会社別の発表を参照）。
ただし、ロリポップ！はPHP 8.1以下の対策を
応急的な対応と書いています。
古いバージョンのまま使っている場合は、サーバーの管理画面で、
PHP 8.2以降へ切り替えられるか確認してください。
切り替える前に、必ずバックアップを取ってください。
切り替えたあとは、サイトの表示問い合わせフォーム、
ログインを、確認します。
表示が崩れたり、エラーが出たりしたら、
元のバージョンに戻せる場合があります。
なお、PHP 8.2は、
2026年12月31日にサポートが終わる予定と、
PHPの告知にあります。
サーバーが対応していれば、8.3以降も
検討してください（筆者の提案です）。
古いPHPでしか動かない仕組みがあるときは、
制作会社やサーバー会社に相談してください。
CISAは、サポートが終わったPHPのまま、
更新できない場合は、修正や更新ができるまで、
システムをオフラインにするよう勧めています。
サイトを、一時的に止める判断が必要になることもあります。
被害や業務への影響を考えて、判断することになります
（IPAも、同じ趣旨を案内しています）。
サイトとは別に、PHPで動くツールがある場合
phpMyAdminのように、サイト本体とは別に
PHPで動くツールを使っている場合があります。
参考にした動画では、WordPressだけでなく、
phpMyAdminのPHPも確認するよう説明されています。
サイト本体とは別のPHPで動いている場合があるため、
そのツールのバージョンも、確認してください。
使っている場合は、そのツールが動いている
PHPのバージョンも確認してください。
分からないときは、サーバー会社や制作会社に聞いてください。
Wixなど、サービス上で作ったサイトは？
Wixのように、サービス側がサーバーを管理するサイトは、
自分でPHPのバージョンを選ぶ形ではありません。
今回のPHPの脆弱性が、Wixに影響するかについて、
この記事の作成にあたって、Wixの公式サイトのブログ、
サポート、セキュリティ関連のページ
（いずれもトップや一覧のページ）を調べました。
2026年10月23日の時点では、今回の件についての、
Wixの公式の記載を、確認できませんでした。
一部の解説には
「Wixは、システムの基盤でPHPを使っていないため、影響はない」と
いう説明があります。
ただし、公式の文書ではなくその裏づけは確認できていません。
そのため、この記事では「Wixは影響を受けない」と断定しません。
Wixでサイトを作っている方は、Wixのサポートや、
公式のお知らせで確認してください。
公式の発表を確認できたら、この記事を更新します。
Wixの公式ページで案内されているセキュリティ体制
ISO 27001、27017、27018、SOC 2 Type 2に準拠していると、案内している
すべてのWixサイトに、PCI DSS Level 1の認証を、標準で備えていると、案内している
GDPR、CCPA、LGPDへの対応を、うたっている
これは、Wixが、
公式ページ（website-security）で案内している内容です。
第三者の監査結果そのものは、確認していません。
認証があることと、今回の脆弱性の影響を受けないことは別の話です。
Wixサイトの持ち主が、自分でできること
サイトの管理者や共同編集者が、
必要な人だけになっているか、見直す
（権限の設定は、Wixの管理画面で確認できます。
画面の名称は、変わることがあります）
Wixの公式のお知らせや、サポートの案内を確認する
不審なメールのリンクは、開かない
（下の「気をつけたいこと」を参照）
サーバー会社別の発表（2026年10月22日時点）
以下は、各社の公式のお知らせから確認した内容です。
確認したのは、2026年10月22日の時点の発表です。
発表は更新されます。
最新は、各社の公式ページで確認してください。
他の会社は、確認していません。
ロリポップ！
PHP 8.2〜8.5は、公式の修正版を適用
PHP 7.4、8.0、8.1は、開発元が提供した修正を適用
PHP 5.3〜7.3は、公式の修正をもとに、同社が修正を作成して適用
全バージョンで、session.upload_progressを無効化
脆弱性を狙ったとみられるアクセスは確認したが、不正アクセスや情報漏えいは、現時点で確認していないとしている
お客様の作業（PHP 8.1以下を使っている場合）：PHP 8.2以降への切り替え、WordPress・プラグイン・テーマの更新確認、再開後の表示・問い合わせフォーム・アップロードの確認
PHP 8.1以下の対策は、応急的な対応と、同社は書いています
エックスサーバー
PHP 5.6〜8.5は、対象のすべてのサーバーに、修正パッチの適用が完了（22日20時10分時点の告知）
PHP 5.5以下は、修正パッチを作成・検証中
現時点で、お客様への作業の指示は、ありません
ただし、「ご利用状況によっては、追加の対策をお願いする場合がある」と書かれています
ConoHa WING
提供中のすべてのPHPバージョンに、セキュリティパッチの適用が完了（10月22日20時45分時点）
PHPのバージョンを維持したまま、適用済み
お客様が、PHPのバージョンを変更する必要はありません
さくらのレンタルサーバ
さくらのレンタルサーバ：必要な修正を適用（サポート終了のPHPにも適用）
最新のサポート対象バージョンのPHPの利用を、推奨
さくらの発表は、10月22日の朝（8時15分時点）の内容が中心。
一部の機能は、順次再開と案内されていた
さくらのVPS：サービスを提供する部分では、
PHPを使っておらず影響はないとしている
ただし、VPSの中でPHPを動かしている場合や、
OSやソフトをお客様が管理するサービスでは
修正版への更新を、推奨している
自分でサーバーを管理している場合
VPSや専用サーバー、自社のサーバーを使っている場合は
次の対応が必要です。
上の修正版（8.2.35、8.3.36、8.4.27、8.5.12）へ、直ちに更新する
PHP 8.1以前は、公式の修正版がないため、サポート中のバージョンへ移行する
PHP 8.2は、2026年12月31日にサポートが終わる予定と、PHPの告知にある
一時的な設定変更（メモリ上限など）は、更新の代わりにならない（PHP公式）
更新できない間は、外部からのアクセスの制限や、一時停止も検討（CISA、IPA）
更新の手順の例（技術に詳しい方向け）
自分でサーバーを管理している場合の、大まかな流れです。
実際の操作は、環境によって違います。
設定を変更する前には、必ず、バックアップを取ってください。
操作に自信がないときは、管理者や専門の事業者に任せてください。
サーバーにログインして、「php -v」を実行しPHPのバージョンを確認する
修正版より古ければ、OSに合った方法でPHPを更新する
（Ubuntu・Debianならapt、Rocky Linux・AlmaLinuxならdnf、Dockerならイメージの取り直しと再ビルド）
更新のあとに、php-fpmまたはApacheを再起動して
もう一度、バージョンを確認する
OSの配布元は、修正を取り込みつつ、古い版番号のまま配布する場合がある。
その場合は、配布元の案内で、修正済みかを確認する
「php -v」で分かるのは、サーバーの中でコマンドとして動かすPHPのバージョン
Webサイトを動かすPHPとは、バージョンが違うことがある
まずは、WordPressのサイトヘルスなどファイルを置かずに確認できる方法を使う
どうしてもphpinfo()という確認用のページを使うなら
短い時間だけ置いて、確認が終わったら、すぐに消す
（置いている間は、サーバーの情報が、外から見えてしまうため）
自信がなければ、専門の人に任せる
すぐに更新できない事情があるときは、
更新できるまでPHPの一時停止や、外部からのアクセスの制限を検討する
侵害の痕跡の確認
JPCERT/CCは、侵害の確認も勧めています。
次のような点を見ます。
PHPSESSIDのCookieに、異常に長い、または異常な形式の値がないか
不審なmultipart/form-dataのリクエストがないか
PHPのメモリ上限のエラーや、HTTP 500が増えていないか
PHPのプロセスが、異常終了や、頻繁な再起動をしていないか
痕跡が見つからなくても、攻撃を受けていないとは断定できないと、
JPCERT/CCは書いています。
侵害が疑われるときは、ログなどの証拠を残したうえで、
影響の範囲を調べ、該当のシステムを切り離すことを、
JPCERT/CCは勧めています。
自分で判断するのが難しい場合は、サーバーの管理者や、
専門の事業者に相談してください。
制作会社・サーバー会社に聞くこと
サイトの管理を、制作会社やサーバー会社に任せている場合は、
次を確認してください。
うちのサイトのPHPは、何バージョンですか
今回の修正は、適用済みですか
PHP 8.1以前なら、8.2以降への移行の予定は、ありますか
WordPress本体、プラグイン、テーマは、最新ですか
変更のあとに、表示・問い合わせフォーム・ログインを、確認してもらえますか
バックアップは、ありますか
気をつけたいこと
強い言葉の見出しに、振り回されない。ただし、
今日のうちに、確認はする。公式も、更新を急ぐよう書いている
影響を受ける版は、PHP 8.2.35・8.3.36・8.4.27・8.5.12より前（JPCERT/CC、IPA）
IPAは、調査元（Wiz社）の情報として、PHP 5.4以降が
少なくとも1つの脆弱性の影響を受けると書いている
PHP 5.4〜7.3には、公式の修正が出ていない（Tenable）
記事によって、書き方に違いがあるため公式で確認する
セキュリティプラグインを入れても、PHPの更新の代わりにはならない（PHP公式）
こうした話題に便乗した、偽のメールにも、注意する（一般的な注意）
サーバー会社を名乗るメールが届いても、本文のリンクは開かない。
会社の公式サイトを、自分で開いてお知らせのページで確認する
AIに手順を聞きながら確認するときは、
パスワードや秘密鍵を、入力しない
設定の変更や、ファイルの削除は、何が起きるかを確認してから実行する
WordPress本体の更新は、今回の件では不要。 ただし、普段のWordPress・プラグイン・テーマの更新は続ける
まとめ：今日やることは1つだけ
まず、自分のサイトのPHPバージョンを確認する。
そのあとで、結果に応じて、使っているサーバー会社のお知らせを見る。
1つの流れですが、最初の一歩は、バージョンの確認だけです。
自分で判断するのが難しいときは、制作会社やサーバー会社に
上の質問を送ってみてください。
この記事について
この記事は、2026年10月23日に、PHP公式、CISA、
WordPress公式、JPCERT/CC、IPA、
各サーバー会社の公式のお知らせを確認して作成しました。
サーバー会社の情報は、2026年10月22日の時点です。
YouTube動画「【緊急】世界中のWordPressがハッキングされる状態です【対策あり】」の内容（本編と、
概要欄のプロンプト）も参考にしました。
記事の数字や事実は、公式の発表で確認できた範囲だけを使っています。
筆者は、Webサイト制作の仕事をしながら
セキュリティの情報を学び、実践している立場です。
専門のセキュリティ事業者ではありません。
この記事は、被害がないことや対策が完了したことを、
保証するものではありません。
PHPバージョンの確認方法など、不安な点があればご相談ください。
出典
PHP公式 ニュース 2026年（2026-10-21の告知）：https://www.php.net/archive/2026.php
CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日）：https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
WordPress.org「Critical PHP Security Release」：https://wordpress.org/news/2026/10/critical-php-security-release/
JPCERT/CC 注意喚起（JPCERT-AT-2026-0033）：https://www.jpcert.or.jp/at/2026/at260033.html
IPA 注意（2026年10月22日）：https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
JVN（JVNVU#99905564）：https://jvn.jp/vu/JVNVU99905564/
Tenable「php2shell FAQ」：https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
エックスサーバー：https://www.xserver.ne.jp/news_detail.php?view_id=19734
ConoHa WING：https://www.conoha.jp/wing/news/?btn_id=top--news_wing-news&ap=2015054909
さくらインターネット：https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/
W3Techs「Usage statistics of WordPress」（2026年10月22日）：https://w3techs.com/technologies/details/cm-wordpress
Patchstack「State of WordPress Security in 2026」（2026年2月）：https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
Patchstack「Critical Supply Chain Compromise on 20+ Plugins by EssentialPlugin」（2026年4月15日）：https://patchstack.com/articles/critical-supply-chain-compromise-on-20-plugins-by-essentialplugin/
TeamUpdraft「TeamUpdraft security incident: What customers need to know」（2026年10月19日、22日更新）：https://teamupdraft.com/blog/security-incident-october-2026/
WordPress.org「WordPress 7.0.2 Release」（2026年7月17日）：https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
エックスサーバー「wp2shell／CVE-2026-63030に関する注意喚起」（2026年8月27日。通称「wp2shell」の呼び方も、この告知による）：https://business.xserver.ne.jp/news/detail.php?view_id=18963
参考：YouTube動画「【緊急】世界中のWordPressがハッキングされる状態です【対策あり】」（本編と、概要欄のプロンプトを参考にしました）
Wix 公式「Website Security」（セキュリティ体制の案内。今回の脆弱性への言及は確認できず）：https://www.wix.com/website-security
