【2026年11月】WordPressのPHP脆弱性とは？自社サイトの確認方法と今すぐ必要な対策
「会社のホームページにセキュリティ上の問題があると聞いたけれど、大丈夫だろうか？」
「WordPressを使っているけれど、何を確認すればいいのか分からない」
2026年10月、ホームページの動作に使われる「PHP」に重大な脆弱性が発見され、注意喚起が行われました。
この発表を受け、AQMにも複数のクライアント様からお問い合わせが寄せられました。WordPressで制作されたホームページが多いこともあり、セキュリティへの関心が高まっていると感じています。
しかし、PHPという言葉自体に馴染みがなく、「自社のサイトが対象なのか」「何をすれば安全なのか」が分からない方も少なくないのではないでしょうか。
今回は、2026年10月に発表されたPHPの脆弱性について、WordPressとの関係や確認方法、企業が取るべき対策を分かりやすく解説します。
2026年10月に発表されたPHPの脆弱性とは？
そもそもPHPとは？
PHPは、ホームページを動かすために使われるプログラミング言語の一つです。
WordPressもPHPを利用しており、お知らせやブログの表示、お問い合わせフォームなど、さまざまな機能を動かす仕組みの一部となっています。
普段ホームページを閲覧したり、WordPressで記事を更新したりする際に、PHPを意識することはほとんどありません。
しかし、ホームページの裏側では重要な役割を担っているため、PHPにセキュリティ上の問題が発見された場合、WordPressを利用するサイトでも確認が必要になります。
今回、何が問題になったのか？
2026年10月21日、PHPの開発元は、外部から不正なプログラムを実行されるおそれがある重大な脆弱性2件を公表し、修正版を公開しました。
今回の問題は「PHP2shell」とも呼ばれ、国内では独立行政法人情報処理推進機構（IPA）からも注意喚起が行われています。
悪用された場合、サーバー上で不正な処理を実行される可能性があるため、早急な対応が推奨されています。
ただし、ここで知っておきたいのは、WordPressそのものに今回の脆弱性が発見されたわけではないという点です。
問題となっているのは、WordPressなどのWebサイトを動かす基盤であるPHPです。
そのため、WordPressを最新版に更新している場合でも、サーバー側のPHPが適切に管理されているかを確認する必要があります。
また、WordPressを利用しているからといって、すべてのサイトが同じ状況にあるわけではありません。使用中のPHPのバージョンやサーバーの構成、提供会社による対策状況などによって、確認すべき内容は異なります。
自社のWordPressは大丈夫？まず確認したいこと
今回の発表を受けて、まず確認したいのが、自社サイトで使用しているPHPのバージョンです。
WordPress管理画面から確認する方法
WordPressの管理画面にログインできる場合、次の手順で確認できます。
- 左側のメニューから「ツール」を選択する
- 「サイトヘルス」を開く
- 「情報」タブを選択する
- 「サーバー」の項目を開き、「PHPバージョン」を確認する
ここに表示されている数字が、現在WordPressで使用しているPHPのバージョンです。
※画像はAQMの管理画面（PHP 8.3.36）です。
今回の脆弱性に対応したバージョンは？
2026年10月21日に公開された、今回の脆弱性を修正したPHPのバージョンは以下のとおりです。
| PHPの系列 | 今回の修正版 |
|---|---|
| PHP 8.2系 | 8.2.35 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.5系 | 8.5.12 |
例えば、PHP 8.3系を利用している場合、8.3.36より前のバージョンは今回の脆弱性の影響を受けます。
ただし、上記は今回の問題に対する修正版であり、将来にわたって安全性を保証するものではありません。サポート状況や、その後に公開されるセキュリティ更新も確認することが大切です。
また、古いPHPを利用している場合や、サーバー会社が独自の修正プログラムを提供している場合は、バージョン番号だけでは判断できないこともあります。
確認した結果、古いバージョンだった場合は、そのまま放置せず、サーバー会社やホームページの管理担当者に対応状況を確認しましょう。
PHPを更新すれば安心？知っておきたい注意点
「古いPHPを使っているなら、すぐに新しいものへ変更すればいいのでは？」
そう思われるかもしれません。
確かに、今回の脆弱性への対策として、修正版PHPの適用は重要です。しかし、企業のホームページでは、更新作業にあたって注意したい点もあります。
PHPの更新でホームページに不具合が起きることも
WordPressには、デザインを管理するテーマや、お問い合わせフォームなどの機能を追加するプラグインが使われています。
これらの中には、特定のPHPバージョンを前提に作られているものもあります。
そのため、PHPを更新した際に、一部の機能が正常に動作しなくなる可能性があります。
例えば、更新後にページの表示が崩れたり、お問い合わせフォームが正常に送信できなくなったりするケースが考えられます。
特に、長期間メンテナンスされていないホームページでは注意が必要です。
更新前のバックアップと動作確認が重要
PHPを更新する際は、ホームページのデータとデータベースのバックアップを確保し、必要に応じてテスト環境で動作確認を行うことが望ましいです。
更新後も、トップページが表示されるかどうかだけではなく、お問い合わせフォームや予約機能、管理画面などが正常に動いているか確認する必要があります。
ただし、今回のような重大な脆弱性については、動作確認を理由に対応を長期間先延ばしにすることも避けたいところです。
管理担当者と相談しながら、安全性とサイト運営への影響を考慮して、速やかに対応することが大切です。
今回の問題をきっかけに見直したいホームページの管理体制
今回のPHP問題で、改めて考えたいのが、ホームページを公開した後の管理体制です。
企業のホームページは、制作して公開すれば終わりではありません。
WordPress本体やプラグイン、PHPなど、ホームページを構成する仕組みは継続的に更新されています。新しい機能の追加だけでなく、セキュリティ上の問題を修正するための更新も行われています。
しかし、日々の業務に追われる中で、こうした情報をすべて把握することは簡単ではありません。
特に注意したいのは、ホームページの管理を誰が担当しているのか、社内で明確になっていないケースです。
「制作会社が管理してくれていると思っていた」
「サーバー会社が自動で対応してくれると思っていた」
「担当者が退職して、管理状況が分からなくなっている」
このような状態では、セキュリティ上の問題が発生した際に、対応が遅れてしまうおそれがあります。
保守契約をしていれば、すべて安心とは限らない
ホームページの保守契約を結んでいる場合でも、その内容は制作会社によって異なります。
WordPressやプラグインの更新だけを対象としている場合もあれば、PHPの更新、バックアップ、セキュリティ監視、不具合発生時の復旧支援まで含まれている場合もあります。
大切なのは、保守契約の有無だけでなく、何を、誰が、どこまで管理しているのかを把握することです。
今回のPHP問題は、普段あまり意識することのないホームページの管理体制を見直す、一つのきっかけにもなったのではないでしょうか。
ホームページの安全性は、企業の信頼にもつながる
ホームページは、企業の情報発信や集客を支える大切な窓口です。
商品やサービスを紹介するだけでなく、お問い合わせの受付、採用活動、予約など、さまざまな役割を担っています。
もしセキュリティ上の問題によってホームページが正常に表示されなくなったり、不正な改ざんが発生したりすれば、事業活動に影響する可能性があります。
また、問い合わせフォームなどで個人情報を扱っている場合は、情報管理の観点からも適切な対策が欠かせません。
もちろん、セキュリティ対策を行えば、すべてのリスクを完全になくせるわけではありません。
それでも、日頃から適切な更新やバックアップ、管理状況の確認を続けることで、リスクの低減や問題発生時の対応に備えることができます。
ホームページを安全に運用することは、企業の信頼を守るための大切な取り組みの一つです。
まとめ｜自社サイトの管理状況を一度確認してみませんか？
今回のPHPの脆弱性は、WordPressをはじめとする多くのWebサイトに関係する重要な問題です。
「今まで問題なく表示されていたから大丈夫」と考えるのではなく、現在のPHPバージョンやサーバー側の対応状況を確認することが大切です。
そして、今回の対応だけで終わらせず、今後も安心してホームページを運用できる管理体制が整っているか、一度見直してみてはいかがでしょうか。
ホームページは、公開してからが本当のスタートです。
AQMでは、WordPressを利用したホームページの制作だけでなく、公開後の運用・保守についてもサポートしています。
「自社サイトのPHPが対応済みなのか分からない」
「WordPressの更新やセキュリティ管理を任せたい」
「現在の保守体制に不安がある」
そんなお悩みがありましたら、お気軽にご相談ください。
全国のお客様を対象に、ホームページの状況やご相談内容に応じて、必要な対応をご案内いたします。
安全性を守りながら、事業の成長を支えるWebサイトへ。AQMは、制作から運用・改善まで、長く寄り添うWebパートナーを目指しています。
参考情報
- PHP公式サイト：2026年10月21日 セキュリティアップデート
- 独立行政法人情報処理推進機構（IPA）：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）
※本記事は2026年11月9日時点の公開情報をもとに作成しています。PHPの更新状況や各サーバー会社の対応については、最新の公式情報をご確認ください。